Computervirus: schrikbeeld of studentengrap 'De realiteit is dat vrijwel alle systemen lek zijn Het pact met de dui\ ZATERDAG 19 AUGUSTUS 1989 PAGINA 21 83iM/ 11 Onlangs werd de komst van een kwaadaardig computervirus aangekondigd. Naar wordt beweerd zullen de geheugens van vele computers hopeloos in de war raken. In het bedrijfsleven wordt om de berichtgeving voornamelijk gelachen. Is er sprake van fake, of is het harde werkelijkheid? Ook drs. J.C.H. Aalders, universitair hoofddocent aan de Technische Universiteit van Delft, twijfelt aan het waarheidsgehalte van de berichtgeving. "Maar een virus is van tevoren wel degelijk te programmeren. De realiteit is dat vrijwel alle systemen lek zijn, onvoldoende beveiligd tegen krakers. En dat wordt lang niet altijd ingezien door Gerard van Putten Het zal je als toegewijd boekhouder maar gebeuren dat de computer niet de ge wenste verlies- en winstrekening op be stelling levert, maar het vraatzuchtige gezicht van een weerzinwekkend ge drocht. En wat te denken van een was lijst van schuttingwoorden, vloeken en beledigingen op het beeldschermpje? Ook dat kan namelijk voorkomen. Het is het schrikbeeld van menige computergebruiker dat het systeem door een of ander virus wordt ontregeld. Stel je voor dat het kunstmatige geheugen to taal op tilt slaat of dat een kraker in breekt in de databank, gegarandeerd dat de paniek in menige kantoortuin onver biddelijk toeslaat. Maar als door bepaalde media wordt bericht over een kwaadaardig virus dat over twee maanden de kop op zal steken, breekt achter vele toetsenborden een la cherige stemming uit. Zowel bij over heid als in het bedrijfsleven. Wat vooral opvalt: vrijwel niemand durft openlijk te praten over dit kennelijk gevoelig lig gende onderwerp. Bescheiden Meestal laten de anonimiteit claimende computerexperts keurig in het midden of hun bestand wel of niet bestand is te gen een invretend virus c.q. voldoende beveiligd tegen een inbraak. Een zekere mate van bescheidenheid siert in dit ver band ook de slimste programmeur, om dat eerder al door inventieve krakers is aangetoond dat in computergeheugens opgeslagen geheimen zich met zekere re gelmaat aan de openbaarheid laten prijs geven. Een beknopte bloemlezing van reac ties, opgetekend uit de monden van tal loze gebruikers die in geen geval hun na men vermeld willen zien in de krant. Luister naar een medewerkster van IBM-Info in Amsterdam, speciaal belast met het verstrekken van informatie aan derden: "Computervirussen en compu terkrakers? Ach, dat loopt wel los. Hoe bedoelt u, berichten in de pers over een virus dat op 12 oktober de computerwe reld onveilig zal maken? Ik zou wel eens willen weten uit welke bron de schrijver van dat stukje heeft geput. Is het trou wens geen komkommertijd?". Het relaas van een computerprogram meur, werkzaam bij een overheidsinstel ling, dringt al evenmin door tot de kern van de zaak: "Is dat echt zo? Nou, we zien wel". Een werknemer van een computerbe veiligingsbedrijf in Lelystad: "Ik heb er het fijne nog niet van gehoord. Maar ge steld dat er echt een virus zit aan te ko men, dan kunnen ook wij er weinig meer aan doen. Dan voorzie ik een ramp. Eer lijk gezegd ga ik er van uit dat het alle maal zo'n vaart niet zal lopen". Uitspraken die kenmerkend zijn voor de gedachten die onder gebruikers le ven, en die in feite niet veel meer inhoud hebben dan: mijn naam is haas, ik weet van niks en ik wil het ook niet weten. Kwetsbaar "G. Weinberg, auteur van het boek The Psychologie of Computerprograms heeft het mooi verwoord met de zin the human eye has an almost infinite capacity for not seeing what it doesn't want to see", vertelt drs. J.C.H. Aalders, universitair hoofddocent aan de Technische Univer siteit in Delft. De vrije vertaling van die zinsnede uit dat boek: de mens is prima in staat de ogen te sluiten voor datgene wat hij niet wil zien. "En vanzelfspre kend zal men ook niet direct staan te trappelen om openlijk toe te geven hoe kwetsbaar het systeem is dat men in huis heeft. Zeker als men daarmee het risico loopt dat als gevolg van die openhartig heid onrust ontstaat onder de relaties, onder de clientèle". Met prof. Herschberg licht hij in op dracht van overheid en bedrijfsleven al elf jaar lang computersystemen door. Bedachtzaam spuit Aalders zijn ervarin gen, maar niet dan nadat de nodige aarze lingen zijn overwonnen. Want: "Ik heb er geen behoefte aan de jeugd op bepaalde ideeën te brengen. Dat is namelijk het di lemma, waarschuwen tegen het gedach- tenloos vervaardigen van computervi russen betekent hetzelfde als het geven van een handleiding om ongecontro leerd virussen te verspreiden". Verwacht van hem dan ook geen ver handeling over de programmering van kwaadaardige virussen. In dit veld mag niemand worden onderschat, ook niet degenen die nog ver van de leeftijd des onderscheids zijn. "Door opdrachtge vers is tegen professor Herschberg wel eens gezegd: ach prof, alleen jij bent zo slim, anderen kunnen dat toch niet. Nou, vergeet het maar, intussen is genoeg- Tegen muren Bij herhaling heeft zowel drs. Aalders als prof. Herschberg moeten vaststellen dat managers en hoofden van dienst het op treden van computervirussen althans in hun bedrijven uitsloten. Een en ander ging dan meestal met minzaam gelach gepaard. "Het enige dat je dan te doen staat is het de mensen te laten zien. In een poging hen te overtuigen van de ernst van de situatie. Maar dan nóg ko men er reacties als: ach, zoiets gebeurt bij ons toch niet, zoiets kan toch alleen maar op een universiteit. Inderdaad, dan hebben wij I\et gevoel tegen muren te praten". "In beginsel is een virus verspreiden een onverantwoorde bezigheid. De re den is dat de verspreiding ervan moeilijk onder controle is te houden. En wat dan funest kan zijn: je weet niet welke neven effecten het heeft als je niet weet welk computersysteem het uiteindelijk zal treffen. Je kunt, als je het virus kent, we ten hoe het stoort. Maar bij ongecontro leerde verspreiding is het niet te voor spellen wat het gaat verstoren en wat de gevolgen ervan zullen zijn". computervirussen, niet onmiddellijk in opperste staat van paraatheid is gebracht door de aandacht die er aan is besteed op de radio en in dagbladen, heeft alles te maken met de strekking van alle publici teit over het brutale virus. "Relevant is de vraag waarom niemand nu weet wat het virus precies gaat doen. Terwijl het een kwestie is van de personal computer op 12 of 13 oktober instellen en dan maar kijken wat er van komt. Zou er nu echt niemand zijn die dat heeft uitgepro beerd? Is dan nog niemand besmet? Of is er soms helemaal geen virus en zou deze hele geschiedenis in verband kunnen worden gebracht met een congres van hackers dat op vrijdag 13 oktober in de •Verenigde Staten begint. Een spectacu lairder aankondiging van een krakersbij eenkomst is toch niet denkbaar". Tijd Even uitgaand van de hypothese dat die krakers er wel degelijk in zijn geslaagd vóór zich te houden hoe het virus straks te werk zal gaan, dan nog is het niet zo dat alle computersystemen meteen zijn besmet, zoals is gesuggereerd. "Het over brengen van een kwaal vraagt tijd. Hoe veel pc's staan er niet op de wereld? Wie even nadenkt kan toch niet geloven dat dan pakweg de automonteur die de voor- en nadelen van bepaalde auto's kent. Daarbij komt nog dat in het speciale ge val van computersystemen de ontwerper veiligheidsmaatregelen kan ontwerpen zonder dat hij er ondanks alle kennis zelf misbruik van kan maken. "Het is onze indruk dat vrijwel alle ge neral purpose computers lek zijn. Profes sor Herschberg en ik hebben een bedrijf eens geadviseerd bij het beveiligen van het financieel systeem. De door ons aan bevolen veiligheidsmaatregelen waren van dien aard dat we onze kennis van het systeem niet konden misbruiken. Omdat wij ervoor zorgden dat er een geheim overbleef, dat het bedrijf zelf moest in vullen. Anders gezegd: we gaven de me thode aan om een sleutel te maken, maar hoe die sleutel er uiteindelijk is gaan uit zien weten we niet en willen wij ook niet weten". Met studenten heeft hij wel eens een kraak gezet bij een opdrachtgever. Dat werd niet erg gewaardeerd, overtuigd als het management van de desbetreffende instantie was van de waterdichtheid van het systeem waarmee werd proefge draaid. "Maar is het niet zo dat een test juist ervoor bedoeld is onvolkomenhe den op te sporen?". van wachtwoorden werkt slordigheid in de hand, is zijn betoog. "Vroeger zat op geen enkele schrijfma chine een slot, en niemand die zich daar aan stoorde. De tijd ligt niet zo ver achter ons dat geen mens zich druk maakte om een kind dat een spelletje uit de kast haalde zonder het noemen van een wachtwoord. Nu wordt datzelfde kind er vertrouwd mee gemaakt dat voor elk computerspelletje een wachtwoord moet worden ingetikt. Ik durf te bewe ren dat op de doorsnee pc, zoals die in huis staat, niet datgene zit dat het ge bruik van wachtwoorden ook maar enigszins rechtvaardigt". Een toegangscode zou ter bescher ming moeten dienen van gegevens, cij fers en feiten waarmee direct de voort gang van het bedrijfsproces in het ge ding zijn. Al wat van eminent belang is voor dienst of onderneming zou in de vi sie van Aalders voor een beperkt aantal belanghebbenden toegankelijk moeten zijn. Het personeel dat niet in aanraking hoeft te komen met die vertrouwelijke informatie zou ook niet op de hoogte be horen te zijn van de wachtwoorden die binnen hun bedrijf in omloop zijn. "En ook geen wachtwoord opgedrongen moeten krijgen voor al die niet-vertrou- Computerveiligheid beoogt drie ele menten: de beschikbaarheid van gege vens uit het systeem; de correctheid van de systeemgegevens, alsmede de ver trouwelijkheid ervan. "De meeste com putervirussen plegen een aanslag op de beschikbaarheid van gegevens of pro grammatuur. Niet dat dit hoeft te leiden tot een totale vernietiging van een be stand, een virus kan ook de normale functie van een systeem verstoren. Er is een computervirus dat geheel onver wacht een gezicht toont dat om een koek je vraagt. Door het woord cookie in te ty pen wordt aan die wens voldaan. Daarna kun je gewoon verder gaan met je eigen lijke bezigheden. Het probleem is dat die veelvraat telkens weer terugkomt. En dan bestaan er ook tal van computerspel letjes als virus. Lastig voor een bedrijf als personeelsleden telkens worden ge dwongen een spelletje te spelen, terwijl ze druk met hun werkzaamheden bezig zijn. Op die manier worden hele bedrijfs processen verstoord". Studentengrap Niet dat dit op grote schaal over twee maanden hoeft te gebeuren, daarvoor komt de informatie over het zogeheten data-crime virus of liever het gebrek daaraan, hem nochtans te zeer voor als een studentengrap. "Ik heb een paar be denkingen tegen de berichtgeving over het virus dat in oktober zou moeten toe slaan. Ten eerste omdat ik heb gelezen dat dit op 12 oktober zou gebeuren, maar ergens anders weer een dag later. Afge zien daarvan kan de vraag of iemand van tevoren kan voorspellen of een com putervirus op die en die datum zal toe slaan volmondig met ja worden beant woord. De computer weet datum en tijd te vertellen. Daarom kan een virus wor den gemaakt dat op 12 oktober gelijk een tijdbom een systeem laat ontploffen". Dat Aalders, normaal toch gespitst op binnen twee maanden een virus in alle over de wereld opgestelde pc's kan zit ten. Bekijk de meeste computers, dan zie je dat er in zekere mate sprake is van standaardisatie. Eenheid, uniformiteit, maakt kwetsbaar. Maar verspreiding van eenvormige dingen naar verschillende plaatsen in een grote ruimte maakt tege lijk weer minder kwetsbaar. Vandaar dat als er één computer ziek wordt niet alle computers ziek hoeven te worden". Als het waar is dat iemands kennis ie mands macht bepaalt, mag Aalders op dit terrein een machtig man worden ge noemd. Zelf acht hij zich niet machtiger Ongeacht de gegevens die uit het be stand worden opgeroepen, de gebruiker zal een wachtwoord moeten intoetsen. Of het nu gaat om strikt vertrouwelijke mededelingen of om een onbenullig wip- wap spelletje. En juist daar ligt de oor sprong van veel ongemak en ellende, is zijn overtuiging. Het vervult Aalders met zorg dat de computerbranche zelfs voor de eenvoudigste huis, tuin- en keuken- pc een wachtwoord bedenkt. Hij vindt het eigenlijk te gek voor woorden dat voor het wekelijkse boodschappenlijstje een toegangscode moet worden inge toetst op de thuiscomputer. De veelheid Drs. J.C.H. Aalders, expert in het doorlichten van computersystemen: "Als één computer ziek wordt hoeven niet alle computers ziek te worden". welijke informatie waarmee ze moeten werken". Hoe gemakzuchtig er bij de overheid en in het bedrijfsleven met wachtwoorden wordt omgesprongen maakt Aalders duidelijk aan de hand van praktijkvoor beelden. Zo is het hem opgevallen dat in tal van bedrijven personeelsleden haar fijn weten te vertellen van welke toe gangscode hun collega's zich bedienen om in het systeem te komen. "Een wachtwoord of een sleutel dient ter beveiliging van het systeem en ont leent z'n waarde aan het geheim-zijn. Wat is het nut van een sleutel die bij iedereen bekend is? Wat heeft het voor zin wacht woorden te laten bestaan als iedereen precies weet hoe ze luiden? Met profes sor Herschberg heb ik een boek geschre ven over de beveiliging van een compu tersysteem. Daarin hebben wij ervoor gepleit het wachtwoord van een vertrek kend personeelslid in te trekken op de dag dat de arbeidsovereenkomst ten ein de is. Maar het gebeurt bij herhaling dat die wachtwoorden gewoon in leven blij ven. Pure gemakzucht is dat, ja. Want slaagt die ex-medewerker er in zich toe gang te verschaffen tot het bedrijfspand waar hij heeft gewerkt, dan kan hij zo in het systeem komen". De kraak die ooit is gezet bij de NASA heeft eens te meer de onzorgvuldige om gang van gebruikers met computers aan getoond. Aalders noemt het de wereld op z'n kop als strikt vertrouwelijke gege vens worden afgeschermd door wacht woorden die een kind kan verzinnen. "Persoonlijk vond ik die kraak niet eens erg. De NASA toonde zelf de ernst van haar onzorgvuldigheid aan door die kraak een half jaar geheim te houden. Daarmee werd aangetoond dat er iets on beschermd was gelaten dat in feite be schermd had moeten worden. Het zegt niet eens iets over de slimheid van de kraker wanneer die in het systeem van de NASA probeert te komen met wacht woorden als Apollo en Space-shuttle. Dat dergelijke wachtwoorden bij NASA in gebruik zijn geweest, tekent de on zorgvuldigheid in de omgang met wacht woorden door gebruikers van dat sys teem. Het is bijna: ik vertel jou lekker niet dat ik Jaap heet". Het gebeurt, zo heeft Aalders ondervon den, dat geheim of demo als wachtwoor den dienen. Vragen om moeilijkheden is dat, weet de informatica-deskundige. Zoals het systeem ook voor elke inven tieve computermaniak volledig toegan kelijk wordt, als het installatiewacht woord niet wordt gewist. "Een computersysteem wordt met be hulp van een installatiewachtwoord ge ïnstalleerd door de leverancier. Aan de hand van een handboek doet hij dat. In dat handboek staat ook dat het installa- tiewachtwoord moet worden verwijderd zodra het systeem voor gebruik gereed is. Maar in de praktijk gebeurt dat lang niet altijd. Is het dan gek dan een kraker probeert om in een systeem te komen met behulp van het installatiewacht woord dat in elk handboek staat ver meld?". Het is zeker denkbaar, meent Aalders, dat hier en daar professionele hackers voor bedrijfsspionage in dienst zijn ge nomen. Die mogen voorlopig ongestraft hun gang gaan, er is geen wet die ze dat verbiedt. Wel ligt er nu in Den Haag een wetsontwerp dat op termijn computer criminaliteit strafbaar stelt. Of daarmee alles opgelost zal zijn, ook daarover heeft Aalders zo z'n twijfels. "Je mag ook niet stelen, maar het gebeurt wel en zeker daar waar inbrekers met gemak hun slag kunnen slaan". In het bedrijfsleven is menige direc teur of manager geneigd om vooral te kij ken naar het eventuele economische voordeel dat een nieuw computersys teem kan bieden, is de ervaring van Aal ders. Of het wel voldoende is getest, of het wel beveiligd is tegen overvallen van buitenaf, dergelijke aspecten wegen voor sommigen kennelijk minder zwaar. Onverantwoord "Verblind door de wens om iets zo snel mogelijk in huis te hebben, worden soms onverantwoorde risico's genomen. Er zijn echt systemen in gebruik die niet of nauwelijks veilig genoemd kunnen wor den. Ik weet ook wel dat het voor een on dernemer verleidelijk kan zijn een eco nomisch voordeel snel binnen te halen. Desondanks hoop ik dat we naar een tijd toe gaan dat die verleiding ook wel eens wordt beheerst. En dat dan ook de veilig heid gaat meetellen bij het ontwerpen van systemen en bij de beslissing syste men wel of niet te ontwikkelen. Naar ik vernam heeft het ministerie van justitie enige tijd geleden besloten een aantal voorgenomen geautomatiseerde syste men niet te ontwikkelen. Ik ben blij met de mogelijkheid van zo'n heroverwe ging". Tot dusver zijn, voorzover hem be kend, grote rampen met computers uit gebleven. "De virussen waren, laat ik zeggen, matig kwaadaardig. En ook is er geen kraak gezet met noodlottige gevol gen. Maar als computerkrakers zich zou den verenigen met de intentie een com plot te smeden tegen een of ander bedrijf om zodoende een ramp te veroorzaken, nou, dan weet ik het zo net nog niet". Vervolg van de vorige pagina Ook de Neue Zürcher Zeitung suggereert dat het allemaal voorgekookt is: "De au toriteiten in Berlijn waren niet alleen voorbereid op de Russische actie, maar ook precies op de hoogte van alle bijzon derheden, ook wat betreft het tijdstip van het oprukken van de Russische troepen". De vijftig jaar lang door de Sovjetunie bewaarde 'vervalsing' is reeds na zegge en schrijve vijfentwintig dagen een pu bliek geheim. In de Baltische staten, die sinds 1920 tamelijk verrassend voor het eerst in hun geschiedenis onafhankelijkheid kenden, ziet men het teken aan de wand: "De Rus sische inval in Polen heeft in Estland en Letland, volgens een uit Parijs afkomsti ge Poolse radio-melding, ernstige be zorgdheid verwekt. Medegedeeld werd dat de Russische troepen bij de grenzen dezer beide staten worden geconcen treerd. De trein uit Moscou is Zondag niet te Riga aangekomen". Estland is als eerste aan de beurt. De regering ondertekent eind september 1939 een 'bijstandsverdrag', dat de Sov jetunie tien jaar lang het recht geeft 25.000 soldaten in de staat te stationeren. Letland volgt en moet 35.000 Russische soldaten toestaan. En ook Litouwen, aanvankelijk hoopvol gestemd over de teruggave van de oude hoofdstad Vilnius die in 1920 door Polen was ingenomen, wordt min of meer een vazal van Mos kou. Overeenkomstig het geheime protocol van het MRP, dat in de daarop volgende maanden nog enkele malen wordt aange vuld, neemt het Rode Leger in imperia listische stijl die gebieden in, die onder de laatste tsaar tot Rusland behoorden en nog een beetje meer: Finland, stuk ken van Roemenië, grote delen van Po len. Pleit beslecht In de Oostzeestaten wordt het pleit in de zomer van 1940 beslecht. Na beschuldi gingen over 'schending' van de bij standsverdragen, treden de drie landen na zorgvuldig gemanipuleerde verkie zingen 'vrijwillig' tot de Sovjetunie toe. Als dank worden tienduizenden Esten, Letten en Litouwers door Stalin naar Si berië gedeporteerd. In juni 1941 vallen de Duitsers de Sov jetunie binnen. Het 'Pact met Satan om de Duivel uit te drijven', waarmee Stalin tijd wilde 'kopen' om zich op de oorlog voor te bereiden, verliest feitelijk zijn be staansrecht. Na de oorlog verklaart Duitsland het MRP, inclusief de gehei me protocollen, voor nietig. Met Polen, Roemenië en Finland sluit de Sovjetunie officiële vredesverdragen. De Baltische staten gaan verder als de Sovjetrepu bliek die zij in 1940 werden. Met de glasnost van Michail Gor- batsjov is het 'nationalisme' in Estland, Letland en Litouwen nieuw leven inge blazen. In tegenstelling tot andere Sov jet-republieken is dat zonder geweld ge gaan en met veel succes. Stalins deporta tie-politiek is officieel in de Sovjetmedia als 'genocide' veroordeeld, de republie ken hebben van de Opperste Sovjet het groene licht gekregen voor een grote zelfstandigheid bij het bestieren van hun eigen economieën, de oorspronkelijke vlaggen zijn weer terug in het stadsbeeld en de eigen talen hebben het Russisch van de officiële eerste plaats mogen ver dringen. Dat alles is gebeurd met instemming van Moskou. Want in de drie Oostzeesta ten zien Gorbatsjovs economen niet in de laatste plaats een vooruitgeschoven post voor de financiële contacten met het Westen met onder meer vrijhandelszo- De Baltische staten zijn zich maar al te goed van die bijzondere status bewust en gaan iedere dag een stapje verder. Ook al betekent dat bijvoorbeeld stakingen in Estland onder de enorme Russische 'minderheid' van zo'n 40 percent van de bevolking tegen een nieuwe kieswet, die het vooral de ruim 200.000 'tijdelijke' im migranten van het Sovjetleger moeilijk maakt om aan het Estlandse bestuur deel te nemen. Een wet, die in de hoofdstad Tallinn wordt omschreven als "het op één na beste na een Estlands staatsbur gerschap". Ter discussie In het licht van al deze veranderingen is het slechts logisch dat ook de historische steen des aanstoots die het Molotov-Rib- bentrop Pact is, ter discussie staat. Een 25-koppige commissie bestudeert al sinds enkele maanden de 'echtheid' van het geheime protocol. Gorbatsjov: "De Baltische republie ken zijn in beroering over die kwestie en die moet daarom uitgezocht worden". Met de regering in Bonn is contact ge weest over een microfilm die nog van het protocol rest en een kaart, waarop de ver deling in 'invloedssferen' tussen Duits land en de Sovjetunie is vastgelegd. De vijftigste 'verjaardag' van het MRP lijkt de goede gelegenheid om de drie Baltische staten alsnog genoegdoening te schenken door de historische waar heid aan het licht te brengen en het pact nietig te verklaren. Wat er daarna kan ge beuren, is een heel andere zaak. Een Sovjetunie, waarin de republie ken op federatieve basis volledig zelfbe schikkingsrecht genieten, zoals Lemn eens voor ogen zweefde? Of meer nog, zoals de historicus Juri Afanasjev on langs aanstipte: "Men hoeft niet meteen onwel te worden bij de gedachte dat Est land een onafhankelijk socialistisch land zou kunnen worden, zoiets als Polen". Of het bij Baltische staten blijft, is dan een tweede. Ook in de Moldavische hoofdstad Kisjinev is onlangs massaal gedemonstreerd tegen het MRP.

Historische Kranten, Erfgoed Leiden en Omstreken

Leidsch Dagblad | 1989 | | pagina 21