De Geheime Oorlog (deel 3)

(deel 2)

En inderdaad werd in augustus 2012 een vernietigend virus losgelaten op de Saoedische Aramco, een gigantisch energiebedrijf in staatseigendom van Saoedi-Arabië. De malware infecteerde 30.000 computers en slaagde erin om een derde van de opgeslagen data te wissen, vernietigde alles zoals documenten, e-mails en spreadsheets en verving die met een plaatje van een brandende Amerikaanse vlag, aldus de New York Times. Slechts een paar dagen later sloeg een andere grote cyberaanval toe, ditmaal was RasGas het slachtoffer, het gigantische gasbedrijf van Qatar. Toen haalde een serie aan 'Denial of Service'-aanvallen grote Amerikaanse financiële instellingen offline. Experts beschuldigden Iran van al deze activiteit, die zijn eigen cybercommando had georganiseerd na de aanvallen van de VS. James Clapper, de VS hoofd van Nationale Inlichtingen verklaarde voor het eerst cyberdreigingen het grootste gevaar waar de VS mee te maken had, terrorisme naar de tweede plaats verstotend. In mei verspreidde het 'Department of Homeland Security’s Industrial Control Systems Cyber Emergency Response Team' een vage waarschuwing dat bedrijven alert moeten zijn op cyberaanvallen. Veel media meldden dat dit in reactie kwam van Iraanse cybersondes van industriële controle systemen. Een Iraanse diplomaat ontkende elke betrokkenheid.

Het kat-en-muisspel kan escaleren. "Het is een spoor," zegt James Lewis, een cyberveiligheidsexpert bij het Centrum voor Strategische en Internationale Studies. "De algemene consensus is dat enkel een cyberrespons vrijwel waardeloos is. En niemand wil een echte oorlog." Onder internationale wetgeving zou Iran het recht kunnen hebben op zelfverdediging als het slachtoffer is van een cyberaanval. William Lynn, plaatsvervangend minister van defensie, claimde het voorrecht op zelfverdediging toen hij de basis legde voor de cyberoperatiestrategie van het Pentagon. "De VS heeft het recht," zei hij, "onder de wetten van een gewapend conflict om te reageren tegen serieuze cyberaanvallen met proportionele en gerechtvaardigde militaire respons, op de tijd en plek naar onze keuze." Leon Panetta, voormalig chef van de CIA die mede hielp bij het lanceren van het Stuxnetoffensief zou later wijzen op de vergelding van Iran als een zorgelijk teken. "Het collectieve resultaat van dit soort aanvallen zou een cyber Pearl Harbor kunnen zijn," waarschuwde hij in Oktober 2012 tegen het eind van zijn dienst als minister van defensie, "een aanval die fysieke schade zou toebrengen en het verlies van levens." Als Stuxnet het bewijs is van het concept dan is het ook het bewijs dat een succesvolle aanval de andere uitlokt. Voor Alexander is dit de perfecte rechtvaardiging om zijn imperium uit te breiden.

In mei 2010, nog geen jaar nadat president Obama zijn intrek nam in het Witte huis en slechts weken nadat Stuxnet een publiek feit werd, ging een nieuwe organisatie met het uitoefenen van Amerikaanse macht over de in toenemende mate gemilitariseerde internet: het cybercommando. Keith Alexander, net gepromoveerd tot vier sterren generaal, kreeg de leiding. De strijdkrachten onder zijn commando waren nu echt formidabel te noemen- zijn duizenden spionnen zowel als 14.000 man nieuwe personeels voor het cybercommando inclusief marine, land- en luchtmachttroepen. Degenen die Alexander zouden helpen om deze arena te domineren waren de mede-groentjes uit zijn klas van '74 op West Point: David Patraeus, chef van de CIA; en Martin Dempsey, voorzitter van de Gezamenlijke Chefs Staf.

Dominantie was duidelijk al lange tijd hun motto. Het marinekorps van Alexander noemt zich de Informatie Dominantie-Korps. In 2007 beloofde de toenmalige secretaris van de luchtmacht om "cyberspace te domineren," net zoals "we vandaag lucht en ruimte domineren." En het legerkorps van Alexander waarschuwde: "Het is in cyberspace dat we onze strategische visie moeten gebruiken om de informatie-omgeving te domineren." Het leger ziet volgens berichten digitale wapens als een aanvullende vorm van offensieve capaciteit die de frontlinies van de optie voorzien van "cybervuur-ondersteuning" van het cybercommando net zoals ze een verzoek kunnen doen van lucht- of artillerie-ondersteuning.

Al deze capaciteiten vereisen een gigantische uitbreiding van geheime installaties. Duizenden bouwvakkers zullen snel beginnen aan het opzetten van kranen, besturen van grondverzetmachines en het lossen van cementwagens als ze de grenzen oprekken, de al enorme NSA met een derde uitbreidend. "Je kon aflezen dat sommige NSA senior officieren werkelijk bezorgd waren dat ze ondergesneeuwd zouden worden door cyber," zegt een voormalige senior NSA officier, "en ik denk dat het volledig terecht was."

In mei begon het werk aan een faciliteit op de basis Fort Meade in Maryland voor 3,2 miljard dollar die bekend stond als 'Site M', een terrein van een kleine 92 ha met zijn eigen 150 megawatt krachtcentrale, 14 kantoorgebouwen, 10 parkeergarages een koel- en warmtecentrale. Het servergebouw heeft ruim 8000 vierkante meter aan verhoogde vloerruimte, handig voor de koeling van supercomputers, maar biedt slechts werk voor 50 mensen. Ondertussen zal het operatiecentrum met 50.000 vierkante meter ruimte bieden aan meer dan 1300 mensen. Alles bij elkaar zullen de gebouwen zo'n 167.000 vierkante meter aan oppervlakte bestrijken. En zelfs nog meer ambitieuze plannen die bekend staan als fase II en III liggen op de tekentafel. De komende 16 jaar zal dit oppervlak verviervoudigen tot ruim 650.000 vierkante meter, genoeg voor meer dan 60 gebouwen en 40 parkeergarages. Kosten: zo'n 5,2 miljard dollar om zo'n 11.000 meer cyberkrijgers van een werkplek te voorzien.

Kort gezegd is het, ondanks de bezuinigingen in het federale apparaat een groeitijd voor Alexander. In april vroeg het Pentagon, als onderdeel van haar begroting in 2014, 4,7 miljard dollar voor de uitbreiding van "cyberspace operaties," bijna een miljard meer dan in 2013 werd toegewezen. Tegelijkertijd wordt er op de CIA en andere inlichtingendiensten voor ongeveer hetzelfde bezuinigd: 4,4 miljard. Een deel van het geld zal naar Alexander gaan om 13 cyber-aanvalteams op te zetten.

Wat goed voor Alexander is, is goed voor de fortuinen van het cyber-industrieel-complex, een snelgroeiende sector die bestaat uit veel van dezelfde private partijen die rijk werden van het leveren aan de oorlog in Irak en Afghanistan. Nu die conflicten voor het grootste deel achter ons liggen, kijken ze naar Alexander als een soort redder in nood. De VS geeft jaarlijks immers ongeveer 30 miljard uit aan cyberbeveiligingsgoederen en -diensten.

In de afgelopen vijf jaar zijn de private opdrachtnemers zelf bezig aan een eigen cybergebouwen-binge, parallel aan de constructiehausse op Fort Meade. General Dynamics heeft onlangs een installatie dat 2500 vierkante meter bestrijkt in de buurt van de NSA; SAIC knipte de lint door in z'n nieuwe 7 verdieping tellende Cyber Innovatie Centrum; de gigant CSC trok het doek van z'n Virtuele Cyber Beveiligingscentrum. En bij adviesbureau Booze Allen Hamilton, waar voormalig NSA chef Mike McConnel ingehuurd was om hun cyberinspanningen te leiden, werd een "cyber-oplossingen netwerk" bekend gemaakt dat negen intellingen bij elkaar brengt die allen cyber als focus hebben. Om niet overtroefd te worden heeft Boeing een nieuwe Cyber Betrekkingen Centrum. Om niets aan het toeval over te laten werd hiervoor Majoor Generaal Barbara Fast aangetrokken, een oude vriend van Alexander. (zij is inmiddels verder getrokken.)

Defensie contractanten zijn gretig geweest om te bewijzen dat ze het wereldbeeld van Alexander begrijpen. "Onze Raytheon- cyberkrijgers kunnen zowel aanvallend als verdedigend spelen," staat er op een vacaturesite. Advies- en ingenieursbureaus zoals Invertix en Parsons zijn voorbeelden van tientallen die online zoeken naar "computernetwerk- en exploitatiespecialisten." Vele andere bedrijven, soms niet identificeerbaar zoeken computer- en netwerkaanvallers. "Firma zoekt computernetwerk-aanvalsspecialist voor langdurig overheidscontract in King George country, VA," schrijft een recente advertentie. Een ander bedrijf uit Sunera, Tampa, Florida zei dat ze op jacht was naar "aanvals- en penetratie-specialisten."

Een van de meest geheimzinnige opdrachtnemers is Endgame Systems, een start-up die ondersteund wordt door investeringsmaatschappijen zoals Kleiner Perkins Caufield & Byers, Bessemer Venture Partners, en Paladin Capital Group.
Opgericht in Atlanta in 2008 is heel transparant ondoorzichtig. "We zijn heel zorgvuldig geweest om geen publiek gezicht te geven aan ons bedrijf," zei voormalig vice president John M. Farrell in een email aan een zakenpartner dat opdook in een Wikileaks openbaarmaking. "We willen onze naam nooit in de pers tegenkomen," voegde oprichter Christopher Rouland toe. Geheel volgens vorm weigerde het bedrijf Wired's interviewverzoeken.

Wellicht om gegronde redenen. Volgens nieuwsberichten ontwikkelt Endgame manieren om in te breken in apparaten die verbonden zijn aan het internet door zwakke plekken te benutten in hun antivirusbescherming. Net zoals kluiskrakers luisteren naar het getik van de cijfersloten door een stethoscoop. De kwetsbaarheidsonderzoekers gebruiken een breed scala aan digitaal gereedschap voor verborgen zwakke plekken in veelgebruikte programma's en systemen zoals Windows en Internet Explorer op te sporen. En aangezien ze op deze manier onbekende breuken vinden in de software zijn de ontwikkelaars er nog niet aan toegekomen om ze te repareren.

Aldus, om in het jargon van de branche te spreken, staan de kwetsbaarheden bekend als 'zero-day exploitaties" omdat het nul dagen is sinds dat ze zijn ontdekt en gerepareerd. Het zijn de Achilles' hiel van de veiligheidsbusiness, zegt een voormalige senior inlichtingenfunctionaris die betrokken was bij cyberoorlogvoering. Zij die manieren zoeken om in netwerken en computers in te breken, hebben er miljoenen dollars voor over ze te verkrijgen.

Volgens Defense News’ C4ISR Journal en Bloomberg Businessweek heeft Endgame voor zijn inlichtingenklanten- diensten zoals Cyber Command, de NSA, CIA en Britse inlichtingendiensten- een unieke kaart waarop precies aangegeven staat waar hun doelwitten gelokaliseerd zijn. Genaamd 'Bonesaw' (beenderzaag) laat de kaart vrijwel elk apparaat zien dat verbonden is aan het internet over de hele wereld. De klant kan een regio opzoeken het met wachtwoord beveiligde, op het internet aanwezige kaart, selecteren en dan een land en stad- laten we zeggen Beijing, China. Vervolgens kan de klant de naam intikken van een organisatie die het doelwit is zoals het Ministerie van Publieke Veiligheid Onderzoeksinstituut nr. 3, die verantwoordelijk is voor internetbeveiliging- of eenvoudigweg het adres invoeren, namelijk Zhengyistraat 6. Op de kaart verschijnt welke software er wordt gebruikt, wat voor malware sommige ervan heeft en een menukaart van op maat gemaakte exploitaties dat kan worden ingezet om stiekem toegang te krijgen. Het kan ook precies aangeven welke apparaten geïnfecteerd zijn met malware zoals de 'Conficker worm' en welke netwerken er zijn die veranderd zijn in botnets en zombies- hetzelfde als een achterdeur die open staat.

Bonesaw bevat ook data over bondgenoten van de VS en zal snel worden verbeterd met een nieuwe versie met de codenaam 'Velocity' (snelheid). Het zal de klanten van Endgame de mogelijkheid geven in real time te zien hoe wereldwijd hardware en software wordt verbonden aan het internet, toegevoegd, verwijderd of veranderd. Maar dit soort toegang is niet goedkoop. Een gelekt rapport geeft aan dat jaarabonnementen tot zo'n 2,5 miljoen dollar kosten voor het gebruik van 25 zero-day exploitaties.

Het aankoop en gebruik van een dergelijk abonnement door naties kan worden beschouwd als een oorlogsdaad. "Als je, je bezighoudt met het verkennen van de systemen van een tegenstander, dan ben je een elektronisch slagveld aan het maken en ben je in voorbereiding om het te gaan gebruiken," schreef Mike Jacobs, voormalig chef NSA voor informatieverzekering, in een rapport van McAfee over cyberoorlogvoering. "Naar mijn mening zouden deze activiteiten gelden als oorlogsdaden of op z'n minst de voorlopers van toekomstige oorlogsdaden." De vraag is wie staat er nog meer op de klantenlijst van het geheimzinnige bedrijf? Want er is op dit moment geen toezicht of regelgeving op de cyberwapenhandel, de bedrijven die deel uitmaken van het cyber-industrieel-complex mogen verkopen aan wie ze maar willen. "Het zou verboden moeten worden," zegt de voormalig senior inlichtingenfunctionaris die betrokken was bij cyberoorlogvoering. "Ik wist van Endgame toen ik nog in inlichtingen zat, de inlchtingengemeenschap vond het niks, maar ze waren de grootste klanten van het bedrijf."

Aldus, in hun bereidheid om grote sommen geld neer te tellen voor meer en betere zero-day-eploitaties zijn de spionnendiensten een lucratieve, gevaarlijke en ongereguleerde cyberwapenwedloop aan het aanwakkeren, een die zelf zijn eigen grijze en zwarte markten ontwikkelt. De bedrijven in deze arena kunnen hun waar verkopen aan de hoogste bieder, zij het het hoofd van een criminele hackergroep of terroristische organisatie of landen die terroristen van geld voorzien, zoals Iran. Het is ironisch dat, eerst geholpen hebbende bij de ontwikkeling van zero-day exploitaties en daarna de wereld in een cyberoorlog lancerende, zegt Alexander nu dat de mogelijkheid dat zero-day-exploitaties in de verkeerde handen terecht kunnen komen zijn "grootste zorg" is.

En hij heeft reden om bezorgd te zijn. In mei ontdekte Alexander dat vier maanden eerder iemand, of een groep of natie, in het geheim een afgeschermde Amerikaanse database had gehackt, bekend als de Nationale Inventarisatie van Waterkeringen. Onderhouden door het legerkorps der ingenieurs bevat het een lijst van alle kwetsbaarheden van de waterkeringen in het land, inclusief de schattingen van het aantal doden mocht een ervan falen. Ondertussen kreeg het onderhoud van de waterkeringen in 2013 een onvoldoende in een rapport die het in kaart bracht. Er zijn 13.991 waterkeringen en stuwdammen in de VS die geclassificeerd zijn als zeer gevaarlijk. Een gevaarlijke dam is er een die, mocht er iets misgaan, levens kost. "Dat is onze zorg over wat er aankomt in cyberspace, een vernietigend element. Het is slechts een kwestie van tijd," zei Alexander in een lezing aan een groep die zich bezighoudt met informatie-operaties en cyberoorlogvoering, erbij aangevend dat iets dergelijks binnen vijf jaar kan gebeuren. Hij maakte deze opmerkingen in september 2011.

www.wired.com