Nu het computergebruik wereldwijd razendsnel toeneemt en virussen alsmaar ingenieuzer worden, moeten softwareproducenten dringend werk maken van een betere beveiliging.

Copyright Financial Times/ Vertaling: Gerry Meeuwssen

Ook op het internet ontstaan voortdurend nieuwe levensvormen, zowel vriendelijke als minder vriendelijke. Eerder dit jaar werd een boosaardig beestje ontdekt dat naar de naam Gaobot luistert. Gaobot is een softwareprogrammaatje dat het hele internet afspeurt naar kwetsbare computersystemen. Het programma stuurt voortdurend automatische elektronische boodschappen uit naar willekeurig gekozen pc’s. De computers die er – ook al automatisch – op reageren, tonen op die manier hun eigen kwetsbaarheid aan en verraden zo zichzelf als potentieel slachtoffer van virussen en hackers.

Snode stukjes softwarecode zoals Gaobot duiken steeds vaker op. Waarschijnlijk bestaan er zelfs al evenveel van dit soort internetscanners als er virussen zijn. Dat zegt althans Vincent Weafer, directeur bij het Amerikaanse beveiligingsbedrijf Symantec. Op het internet, zo lijkt het, kan niemand nog ongestoord in een hoekje schuilen.

Weafer: ‘Wanneer je machine verbinding maakt met het internet, duurt het maar enkele minuten voor men je apparatuur scant. En binnen vijftien à twintig minuten zal men proberen om de kwetsbaarheden in je systeem uit te buiten.’

Recent dook een zo mogelijk nog geniepiger stukje software op. Phatbot plaatst elke computer die het aantast in een geheim netwerk. Een hacker kan dat netwerk van pc’s gebruiken om er aanvallen mee uit te voeren op andere systemen – zonder dat de eigenaars van de machines in het netwerk ook maar iets beseffen.

Phatbot maakt gebruik van het systeem van rechtstreekse bestandsuitwisseling dat de illegale Napster destijds zo geliefd maakte in de surfende gemeenschap. Net zoals (het intussen legale en betalende) Napster creeert Phatbot een netwerk zonder centraal commandocentrum, wat het volgens experts uiterst taai en moeilijk uit te schakelen maakt.

Gaobot en Phatbot behoren tot een nieuwe, rebelse soort computerprogramma’s die de professionele computerbeveiligers voor grote uitdagingen plaatst. De informaticasector is er totnogtoe niet in geslaagd om de vliegensvlugge verspreiding van gewone kwaadaardige bestanden een halt toe te roepen. De nieuwe bedreiging zal de zaken dus waarschijnlijk alleen maar verergeren.

Zombiecomputers

‘De beveiligingsindustrie bevindt zich momenteel op een niveau waarop de geneeskunde zich rond 1820 bevond’, zegt Paul Kocher. Hij is directeur van Cryptography Research, een bureau dat bedrijven adviseert op het vlak van beveiliging. De razendsnelle groei van het computergebruik wereldwijd, de standaardisering van de technologie en de trend om meer en meer met permanente breedbandverbindingen te werken, vergroten alleen het gevaar. Voeg daarbij nog de vlotte beschikbaarheid van software om zelf virussen te maken, en het plaatje is compleet.

De echte bewustwording kwam er vorig jaar, na de aanvallen van Blaster en Slacker: twee wormvirussen die zonder menselijke sturing naar kwetsbare doelwitten zochten. Blaster en Slacker slaagden erin om in luttele minuten computers over de hele aardbol te besmetten.

‘Elke pc, waar dan ook, is momenteel verbonden met alle andere computers die over een internetverbinding beschikken. Virussen verspreiden zich daardoor nu veel verder dan vijf tot tien jaar geleden’, zegt Shaygan Kheradpir, persverantwoordelijke bij Verizon Communications, de grootste telecomgroep in de Verenigde Staten. ‘Iemand flanst ’s avonds iets in elkaar in Zuid-Korea en de volgende morgen is heel New York besmet.’

Twee elementen maken de jongste aanvallen gevaarlijker dan die van het vroegere type. Het eerste is dat ze de klassieke bronnen van ergernis zoals spam (massaal verstuurde ongevraagde e-mail, meestal commercieel van aard) en virussen samen in stelling brengen voor hun geautomatiseerde aanvallen, en dit om de geviseerde computers op meerdere fronten tegelijk te belagen.

De andere nieuwigheid is dat deze nieuwe bedreiging een losse verzameling samenbrengt van virusschrijvers, hackers en internetdieven. Een beveiligingslek, ontdekt door de ene, kan in no time misbruikt worden door een andere.

Op die manier bouwen de hackers voortdurend verder aan een steeds groter gemeenschappelijk arsenaal van codes. Of het nu gaat om hobbyisten die er plezier in scheppen om professionele beveiligers te slim af te zijn, of om criminelen die erop uit zijn om persoonlijke informatie of kredietkaartgegevens te stelen, de middelen die ze daarvoor inzetten, halen ze allen uit datzelfde arsenaal – dat voortdurend door hen en andere hackers wordt aangevuld.

Een scanner zoals Gaobot wordt door hackers geprogrammeerd om te speuren naar computers die al geïnfecteerd zijn door een zogenaamd Trojaans paard – een minuscuul programma dat een achterpoortje openzet in een computersysteem en op die manier de beveiliging een hak zet.

Een Trojaans paard is meestal gecreeerd door iemand anders dan de ontwerper van de scanner. En heel wat virussen met een Trojaans paard aan boord worden dan weer in massale hoeveelheden verspreid met methodes die van spammers afgekeken zijn.

Eenmaal een scanner een kwetsbare pc vindt, kan een hacker die machine overnemen. Soms worden die besmette machines gegroepeerd. De botnets die zo ontstaan, kunnen een leger van tienduizenden zombiecomputers doen ontstaan, geprogrammeerd om op commando een aanval in te zetten op een ander geviseerd systeem.

Software als kunst

Sciencefiction? Verre van. Het MyDoom-virus bracht dit jaar nog zo’n computerleger op de been om de softwarefirma’s Microsoft en SCO aan te vallen. De websites van de twee bedrijven werden door alle computers in het zombienetwerk tegelijk bestookt, met een tijdelijke panne bij SCO als gevolg.

Geavanceerde hulpmiddelen maken hacken en virusschrijven nog makkelijker. Op gespecialiseerde websites zijn softwarepakketten te vinden die onervaren programmeurs een handje helpen bij het schrijven van hun eerste virussen. De pakketten bevatten onder meer programma’s die varianten van virussen kunnen produceren. Gewone amateurs – script kiddies in het jargon – kunnen zo heel eenvoudig een massa schadelijk materiaal op het internet loslaten, en dit zonder uren te moeten programmeren – enkele muisklikken volstaan.

Heel wat computerexperts geloven dat de groei van het aantal scanners, virussen en computerinbraken niet toevallig parallel verloopt. En Vincent Gullotto, vice-directeur bij Network Associates, meent zelfs dat de recente golf van virusaanvallen louter experimenten kunnen zijn waarmee hackers nog maar voorzichtig uittesten ‘wat er zoal mogelijk is’.

De vrees groeit voor zogenaamde ‘gecombineerde aanvallen’, waarbij besturingssystemen, gewone toepassingen en communicatiepoorten gelijktijdig, maar elk op een andere manier zouden worden bestookt. Zo’n offensief op meerdere fronten kan netwerken op tilt doen slaan, beveiligingssystemen platleggen, en mogelijk zelfs de ware bedoelingen van de hackers verhullen. Gullotto vermoedt dat een goed gecoördineerde actie, die verschillende toepassingen, websites en netwerken tegelijk viseert, zo snel over het internet zou kunnen razen dat beveiligingsexperts hoe dan ook te laat zouden komen.

Hoewel de bedreigingen dus steeds sluwere vormen aannemen, blijven de inspanningen om computersystemen te beveiligen ontoereikend. De weinige aandacht richt zich vooral op de softwarecodes (waarvan de meeste computers gebruikmaken) en de netwerken (waarlangs het globale internetverkeer verloopt). Aan de enige oplossing op lange termijn – een structurele wijziging in de werking van de netwerken zélf – wordt voorlopig nog te weinig gedacht.

De meeste software in de winkelrekken bulkt van de fouten. Volgens kenners is dat voornamelijk te wijten aan het prille stadium waarin de computerindustrie zich nog bevindt. ‘Softwareprogramma’s schrijven is nog altijd eerder een kunst dan een exacte wetenschap’, zegt Bill Guttman, directeur van Cylab, een universitair onderzoekscentrum voor computerveiligheid. ‘Daarbij komt dat de meeste bedrijven willen profiteren van de razendsnelle verspreiding van het internet en dus hun producten zo snel mogelijk willen afleveren. Een overvloed van onvolmaakte en dus kwetsbare toepassingen is het resultaat.’

Shaygan Kheradpir van Verizon schat dat er miljoenen fouten of zwakke plekken zitten in de computersystemen van zijn bedrijf. ‘Gemiddeld bevat elke pagina code één fout. Sommige van de softwaretoepassingen die wij gebruiken, bevatten 40 miljoen pagina’s code. Veiligheid werd met andere woorden niet echt in het systeem ingebouwd.’

Voor leken lijkt die overvloed aan mankementen opmerkelijk. Waarnemers menen dat softwarebedrijven te weinig stimulansen krijgen om het aantal fouten te beperken. Om contractuele redenen kunnen klanten bijvoorbeeld geen omvangrijke schadevergoedingen eisen in geval van problemen.

Het voornaamste mikpunt van kritiek is softwaregigant Microsoft, dat volgens de critici voortdurend producten op de markt brengt die vol gaten zitten. Maar Microsoft is niet het enige bedrijf dat schuld treft. Zowat elke softwarefabrikant van betekenis heeft boter op het hoofd. Toch is de software van Microsoft het geliefkoosde doelwit van de meeste hackers (en de script kiddies in hun gevolg). Maar dat komt dan vooral omdat de Microsoft-software zo ruim verspreid is, én door de monopolistische trekjes van de Amerikaanse multinational.

Het probleem is dat kopers van computers en software tot nu toe altijd meer belang hebben gehecht aan snelheid en gebruikscomfort dan aan veiligheid. Dat bevestigt ook Mike Nash, hoofd beveiliging van Microsoft. ‘De klant lijkt nu eenmaal gebruiksgemak te verkiezen boven veiligheid.’

Toch lijken bedrijven als Microsoft stilaan hun houding bij te stellen. De softwarereus heeft de laatste tijd al zo vaak waarschuwingen of beveiligingsupdates naar zijn klanten moeten sturen dat het een beetje beschamend wordt. Daardoor pompt Microsoft momenteel meer middelen in de beveiliging van zijn huidige besturingssysteem dan in het klaarstomen van een nieuwe versie van Windows.

Dat betekent wel dat consumenten zullen moeten leren leven met iets trager werkende computers, computers die bovendien ook wat minder toeters en bellen zullen bevatten.

Microsoft heeft intussen al de eerste applausberichten laten horen. In de tien maanden na het uitbrengen van de jongste Windows-server heeft het bedrijf nog maar negen ‘essentiële’ of ‘belangrijke’ veiligheidswaarschuwingen moeten uitsturen. Bij de vorige versie, in 2000, waren er dat over dezelfde periode nog 38.

Kwaadwillige geesten

De netwerken waarvan het internet gebruikmaakt, zijn ontworpen in een tijd dat virussen nog geen beduidend gevaar vormden. Maar vandaag maakt een lakse netwerkbeveiliging het mee mogelijk dat schadelijke programma’s vrij circuleren op het internet.

Ondernemingen zoals Cisco Systems en Juniper Networks maken de routers en switches die de data op het internet in de juiste richting sturen. Ook deze netwerkbouwers geven toe dat ze hun klanten beter zouden moeten bijstaan op het vlak van beveiliging. Zo wordt er over gedacht om routers te ontwerpen die toezicht kunnen houden op het voorbijflitsende dataverkeer.

Routers bekijken het adres op elk pakketje data dat passeert om te bepalen waar het naartoe moet. De volgende generatie routers zou in staat moeten zijn om die pakketjes te scannen op patronen die op een virus zouden kunnen wijzen. Mogelijke virussen zouden op die manier afgestopt kunnen worden.

Ook het volgende internetprotocol (IPv6), dat de huidige standaard binnen enkele jaren zou moeten vervangen, zou meer veiligheid moeten garanderen. En specialisten werken intussen volop verder aan programma’s die bressen in de netwerkbeveiliging automatisch kunnen opsporen.

Eva Chen, directeur Technologie bij netwerkbeveiliger Trend Micro, waarschuwt alvast dat de datacommunicatie onvermijdelijk trager zal verlopen als beveiliging echt tot een prioriteit wordt verheven. Volgens haar zullen bedrijven hoe dan ook de afweging moeten maken tussen snelheid en veiligheid.

De netwerkbouwers knutselen momenteel ook aan technologieën die het mogelijk maken dat systemen zelfs na een geslaagde inbraak nog blijven functioneren. Bob Gleichauf van Cisco vergelijkt het concept met het menselijke immuunsysteem. ‘In het verleden’, zegt Gleichauf, ‘probeerden de meesten om vooral heel hoge en dikke muren rond hun systemen te bouwen. Vandaag hanteren we een andere filosofie. Als je ervan uitgaat dat je virussen nooit helemaal kunt weren, kun je beter proberen om hun impact zo klein mogelijk te houden. Zoals ons eigen afweersysteem dat doet met gewone virussen en ziektekiemen.’

Hoe het ook zij, op een algemene verspreiding van die meer robuuste software en die beter beveiligde netwerken is het waarschijnlijk nog enkele jaartjes wachten. In tussentijd zullen virussen meer schade aanrichten dan ooit tevoren. Zo is Phatbot niet alleen zo geconcipieerd dat het e-mailadressen uit pc’s kan roven om er spam mee te verzenden, het kan ook dienen om namen, data en paswoorden uit bestanden te vissen. Met het veelzijdige stukje software zijn kwaadwillige geesten in staat om servers van bedrijven over te nemen, en zelfs om antivirussoftware te vernietigen.

Het zal waarschijnlijk niet lang duren – zo leert de geschiedenis ons toch – voor de hackers van deze wereld alweer de opvolgers van dit soort kwelduivels op onze pc’s zullen loslaten. Het internet zal er niet gezelliger op worden. Voor niemand.

Copyright Financial Times/Vertaling: Gerry Meeuwssen

Microsoft pompt momenteel meer middelen in de beveiliging van zijn huidige besturingssysteem dan in het klaarstomen van een nieuwe versie van Windows.

Consumenten zullen moeten leren leven met iets trager werkende computers, computers die bovendien ook wat minder toeters en bellen zullen bevatten.