Stuff Michiel Leenaars has written

Ga naar het overzicht  | homepage

Gevoel voor veiligheid

[IT's Business, 12/5/2002]

Veiligheid is nauwelijks uit te drukken in termen van voldoende of onvoldoende. Wat nu nog als bijzonder veilig geldt, is over een maand misschien lachwekkend. Wat solide lijkt, kan door een minuten geleden ontdekt beveiligingslek ineens zo lek als een zeef blijken. Om te weten wat 'veilig genoeg' betekent, moet je weten wat de risico's zijn en afwegen wat de kosten van een eventuele inbreuk op de veiligheid zouden zijn. Een doos verse eieren die midden op de snelweg ligt, is iets heel anders dan een pasgeboren baby op dezelfde plek.

Toen ik nog studeerde, was ik een keer een studieboek aan het kopiëren in een supermarkt. Na inwerping van een gulden sprong het tellertje met mijn kopietegoed naar tien eenheden en kon ik beginnen met kopiëren. Omdat het omslaan van pagina's nogal een geestdodende taak is, drukte ik telkens redelijk gedachtenloos op de groene knop van de kopieermachine. Na tien kopieën wierp ik opnieuw een gulden in en maakte zo'n twaalf, dertien afdrukken. Ik keek naar het tellertje, dat op nul stond, en tikte opnieuw op de groene knop. Er werd gewoon een kopie gemaakt. Er was dus klaarblijkelijk iets defect in het afschermmechaniekje, waardoor het kopiëren niet naar behoren geblokkeerd werd door de geldmeter.

Op dat moment kwam er iemand aangelopen die even snel een paar kopietjes tussendoor wilde maken. Omdat ik nog een heel boek moest doen, liet ik hem maar even voor met de woorden 'Ga maar even voor, hij staat nu toch precies op nul'. Hij wierp een gulden in, maakte precies tien kopiëen, keek tevreden op de teller die weer op nul stond ('geen dubbeltje verspild') en bedankte me voor de gunst. Daarna kon ik weer gewoon verder gaan waar ik gebleven was. De routine waarmee deze man handelde en dus voorbijging aan de werkelijke situatie, is de open zeer van ieder goedbedoeld systeem. We zijn al te zeer geneigd om er van uit te gaan dat iets werkt zoals het lijkt te werken, of zoals we vinden dat iets zou moeten werken, of zoals het gewerkt heeft. Hoe complexer het systeem, hoe minder dat vertrouwen een basis blijkt te hebben. Iedere vorm van beveiliging is te omzeilen, te kraken of te misbruiken. De kosten ervan wegen alleen vaak niet op tegen het nut, en daar moet je gebruik van maken. Als je je fiets zonder slot op straat zet, dan kun je verwachten dat iemand hem meeneemt. Als je er vijftien sloten op doet, dan zal men in ieder geval overwegen om een andere fiets (of zelfs een ander beroep) te nemen.

Op het internet is veiligheid soms een issue, en soms niet. In Nederland is sinds vorig jaar een aftapwet van kracht, die dusdanig absurde eisen stelt dat ISP's in Nederland er niet aan kunnen voldoen. Iedereen die in Nederland op internet zit, is medeschuldig aan de 'misdaden' die deze bedrijven begaan. Gelukkig wordt het momenteel nog 'gedoogd'. Maar waterleidingbedrijven zijn er toch ook niet schuldig aan dat mensen die 's ochtends gedoucht hebben 's middags een bank beroven? Autoleveranciers hoeven toch geen ingewikkeld systeem op te zetten voor het geval dat iemand een ramkraak pleegt met een door hen geleverde auto. In iedere plastic balpen zit toch ook geen sensor die ons op de hoogte brengt van eventuele handtekeningen die onder dubieuze contracten worden gezet?

Dit gezegd hebbend, moeten we natuurlijk wel een instrumentarium hebben om ons van de meest voor de hand liggende misdrijven te verlossen en de kosten voor inbreuk erop hoger te maken. Dat is een vak op zich, en ik kan iedereen aanraden om experts in dienst te nemen om dit te regelen (al was het alleen maar omdat je dan lekker kunt afreageren als er onverhoopt toch iets mis loopt). Want de echt gevaarlijke veiligheidsovertredingen zijn helemaal niet zichtbaar, en raken nauwelijks bekend. Vrijwel alle gevallen die we kennen, gaan over min of ludieke acties om iemand er op te attenderen dat hun systemen al te eenvoudig open te breken zijn. Daarom is de veelgehoorde kritiek op hackers ook zo misplaatst: zij bewijzen de maatschappij in feite een grote dienst door op haar zwaktes te wijzen.

De maatregelen die we nemen om ons veilig te voelen, kunnen ons werk en ons leven aardig onder druk zetten of via een omweg in gevaar brengen. Als we uit angst voor een biochemische aanval onze brieven eerst door iemand anders laten scannen, bestaat er een aanzienlijk risico dat informatie op verkeerde plekken terechtkomt. Als we vinden dat documenten die electronisch versleuteld zijn altijd door de overheid geopend moeten kunnen worden, dan betekent een enkel lek van de procedure om dat te doen het openleggen van alle beveiligde documenten ter wereld (en we gaan er van uit dat die beveiliging niet in alle gevallen volledig triviaal was). Als we onze webservers compleet dichtgooien, wordt de deployment in veel gevallen significant duurder of zelfs praktisch onmogelijk. Ook bij computers en ICT zit het gevoel van veiligheid uiteindelijk tussen de oren, en niet onder de knoppen van ons toetsenbord. Veiligheid is een afweging, geen zekerheid.

NB. Voor mensen die meer dan gemiddeld geïnteresseerd zijn in de stand van zaken op het gebied van internet en security, is er een unieke gelegenheid om op 28 mei 2002 deel te nemen aan een masterclass van Jeff Schiller. Schiller (werkzaam bij MIT) is binnen de internationale internetgemeenschap een van de leidende figuren op het gebied van security en het internet, en area director op security-gebied binnen de IETF. De masterclass wordt georganiseerd door ISOC.nl en de Advanced Internet Research-groep van de Universiteit van Amsterdam. Van harte aanbevolen!