TU gaat met de AIVD naar spionage speuren

Naarmate onze samenleving meer digitaal vervlochten raakt, groeit de kwetsbaarheid voor misbruik van digitale technologie. De digitale dreiging is inmiddels zo complex dat samenwerking cruciaal is, schrijft de veiligheidsdienst in een persbericht waarin ze een partnerschap met de TU aankondigt.

De AIVD neemt 80 procent van de financiering op zich van vier PhD-posities bij de afdeling organisation and governance van hoogleraar cybersecurity prof. Michel van Eeten en dr. Bram Klievink. Daarnaast komt er een postdoc te werken binnen het samenwerkingsverband. Wat kunnen we concreet verwachten van het project? Delta sprak hierover met Van Eeten.

Uw cybersecurity onderzoeksgroep breidt flink uit; van 8 promovendi naar 12. Gaan die vier nieuwe teamleden spannende zaken onderzoeken?

“Met dit project begeven we ons op nieuw terrein; we komen in een ander dreigingslandschap. We hebben ons tot nu toe veel bezig gehouden met cybersecurity in reguliere markten. Dan heb je het vooral over cybercriminaliteit. We zullen ons nu op geavanceerdere spelers richten: staten en criminele groepen die zich laten inhuren door landen.”

Maakt dat het onderzoek wezenlijk anders?

“Er zit natuurlijk overlap met hetgeen we al doen maar er komt toch ook echt wat anders bij kijken. Een statelijke speler heeft veel meer geduld. Een crimineel kijkt wat hij kan doen om snel winst te maken, die zal niet een jaar de tijd nemen om ergens in een systeem binnen te komen. Criminelen laten veel alarmbellen afgaan. Daar maken ze zich weinig zorgen om. Ze gaan achter een miljoen doelwitten tegelijk aan. Als ze bij 5 procent weten in te breken, is dat al mooi. Staten gaan veel behoedzamer ter werk. Als zij gedetecteerd worden, heeft dat grotere gevolgen. Er gaat een ander soort dreiging van uit.”

Welke data zullen jullie onderzoeken?

“Dat weten we nog niet. We hebben nog nergens toegang toe. We worden nu zelf door de AIVD gescreend, een standaardprocedure. Ik kan me voorstellen dat we data krijgen van beveiligingsbedrijven en detectiesystemen waarmee de AIVD nu al werkt. Die systemen verzamelen continu gegevens die met potentiële aanvallen te maken kunnen hebben. Het is voor een groot deel ruis.”

Hoezo is een groot deel van de data ruis?

“Op het internet zijn tal van groepen die op deuren kloppen om te kijken of ze ergens binnen kunnen komen. Meestal is het vrij onschuldig. Zo heb je bijvoorbeeld script kiddies, kinderen die het interessant vinden om uit te zoeken hoe beveiliging op het internet in elkaar steekt en het net afstruinen. Je hebt ook security onderzoekers die kijken waar kwetsbare apparaten staan. Al dat verkeer laat alarmbellen afgaan. En daar worden door firewalls vlaggetjes bij gezet. Hoe vis je uit die enorme berg data de gegevens die er echt toe doen, die wijzen op een gecoördineerde aanval? Daar richt het onderzoek zich onder meer op. We zullen geautomatiseerde analysetechnieken moeten ontwikkelen.”

Een van de andere onderwerpen is het internet of things. Het gegeven dat straks al onze apparaten – van koelkast tot wasmachine – aan het internet verbonden zijn waardoor IT-systemen mogelijk makkelijker te hacken worden. Wat zullen jullie op dat terrein precies doen?

“Internet of things is een nieuwe ontwikkeling die ons voor grote uitdagingen stelt. IT-systemen bestaan nu nog grotendeels uit reguliere computers. Maar die systemen bestaan over een tijdje veel meer uit apparaten. De implicaties die dit kan hebben bleek in 2009 toen Amerika met kwaadaardige software een uraniumverrijkingsinstallatie in Iran platlegde. Die software, Stuxnet, gaf foutieve informatie door aan de controller van de centrifuges. Sabotage dus. De sluizen in Nederland zijn in zekere zin ook computers. We zien ons geconfronteerd met tal van nieuwe uitdagingen. Aan ons onder meer de taak om kwetsbaarheden in kaart te brengen.”

En jullie kijken hoe instanties als de AIVD en ministeries informatie met elkaar kunnen delen. Dat klinkt dan weer vrij simpel.

“Dat is het niet. Iedereen heeft er altijd de mond vol van dat het belangrijk is om informatie te delen. Want dan weet je meer en kun je je beter verdedigen. Maar in de praktijk blijken er tal van belemmeringen. Allereerst zijn er juridische barrières. Sommige gegevens mogen simpelweg niet gedeeld worden. Soms is delen ingewikkeld wanneer de bron van informatie niet herleidbaar mag zijn. En instanties moeten elkaar vertrouwen. Aan vertrouwen schort het nog wel eens. Wederkerigheid is moeilijk te organiseren. Je deelt alleen informatie als je denkt er later andere informatie voor terug te krijgen.”  

Kunnen de promovendi straks wel publiceren over hun bevindingen? Wat de AIVD doet is meestal geheim.

“We hebben de expliciete afspraak dat het onderzoek onafhankelijk is en via peer-reviewed publicaties zal verschijnen. Dat is natuurlijk ook een vereiste om te kunnen promoveren. Er is een proces afgesproken om te zorgen dat er geen vertrouwelijke zaken in de papers terecht komen. Het kan natuurlijk zijn dat de promovendi de data waarmee ze hebben gewerkt niet mogen openbaren. Het is denkbaar dat ze bepaalde technieken die ze hebben ontwikkeld voor de AIVD ook toepassen op andere gegevens, waardoor het niet gevoelig ligt om er over te publiceren.”