Twee maanden geleden werden in van Tegenlicht de zegeningen van E-stonia bezongen. E-stonia is een koosnaam voor Estland, een land dat vooroploopt in digitale dienstverlening aan zijn burgers. Ook niet-Estlanders kunnen er een e-residency (digitaal burgerschap) aanvragen, waardoor allerlei bureaucratie wordt weggenomen. De ministerraad vergadert het liefst via iPads. E-stonia, een land als startup had Tegenlicht de uitzending genoemd.

Een paar dagen na de uitzending was er een bijeenkomst om na te praten over de Silicon Valley-mentaliteit van het land. Internetsocioloog Albert Benschop (Universiteit van Amsterdam) besteeg het podium, maar ging niet mee in het feestgedruis.

Zijn prikkelende stelling: als E-stonia ergens symbool voor staat, dan is het wel ons onvermogen vredespolitiek te bedrijven in de cyberspace.

Hij heeft een punt.

Want acht jaar geleden lag Estland nog onder digitaal vuur omdat het een Russisch oorlogsmonument wilde verplaatsen. Websites en netwerken van banken, het parlement, overheidsdiensten en nieuwsorganisaties werden platgelegd in een serie vermoedelijk georkestreerd in Rusland.

Estland was slechts het begin van de cyberwapenwedloop. Terwijl politici en militairen plannen maakten voor de opbouw van defensieve en offensieve cybercapaciteiten, werd in Amerikaanse en Israëlische laboratoria een digitaal wapen ontwikkeld dat daadwerkelijk fysieke schade zou veroorzaken.

Een internationale wapenwedloop

In juni 2010 stuitte Sergey Ulasen, een Wit-Russische computervirusonderzoeker, op een bijzonder stukje Een Iraanse klant had hem de code toegestuurd omdat zijn computer de hele tijd crashte. Ulasen lichtte en de internationale gemeenschap van De code kreeg een naam: Stuxnet.

In de zomer en herfst van 2010 werd Stuxnet verder geanalyseerd, onder meer door onderzoekers van antivirusbedrijf Symantec. Stukje bij beetje ontdekten ze hoe de werkte en wat het doel was. Eenmaal losgelaten, zocht Stuxnet naar een die in Iran werd gebruikt om centrifuges voor uraniumverrijking aan te sturen. Als de worm zich daar ingroef, werden de

De openbaring van Stuxnet sloeg - sorry - in als een bom. Geavanceerde cyberwapens konden daadwerkelijk schade aanrichten, in een nucleaire omgeving. Gevolg? Een versnelling van de wapenwedloop:

  • In 2010 werd in de VS het US Cyber Command opgericht, met een budget van drie miljard dollar per jaar. Het commando moet met ongeveer 12.000 manschappen de Amerikaanse overheersing van het digitale domein veiligstellen.
  • China heeft sinds 2010 ook een officieel cybercommando (naar eigen zeggen louter gericht op defensie). De schattingen over de omvang van het Chinese cyberleger lopen enorm uiteen, van 50.000 tot 100.000
  • Iran, het slachtoffer van Stuxnet, zou sinds 2010 zo’n 1 miljard dollar hebben geïnvesteerd in de opbouw van een cyberleger en enkele aanvallen
  • Israël heeft sinds 2011 een cybercommando. In 2012 werd besloten om de mankracht nog eens te verdubbelen. Het aantal manschappen is onbekend, maar Unit 8200, de Israëlische dienst die verantwoordelijk is voor cyberwapens, staat bekend als zeer geavanceerd.
  • De omvang van de Russische cybermacht is niet bekend, maar het land laat zich in het digitale domein niet onbetuigd gezien de op enkele buurlanden.
  • In NAVO-verband wordt samengewerkt aan gemeenschappelijke kennisontwikkeling en opbouw van reactiecapaciteiten op cyberaanvallen.
  • Frankrijk, Engeland en Duitsland zijn sinds kort cyberlegers aan het optuigen.
  • En in Nederland staat de oprichting van een cyberleger sinds 2011 hoog op de politieke agenda. Vorig jaar werd het Defensie Cyber Commando opgericht dat eind dit jaar operationeel moet zijn.

Wat zijn de gevolgen van deze wapenwedloop? Internet heeft weliswaar een oorsprong in militair onderzoek, maar is tegenwoordig in de kern een En grote delen van internet zijn versmolten met onze vitale infrastructuur, zoals elektriciteitscentrales, dammen, waterzuiveringen, fabriekcomplexen en netwerken van In zo’n omgeving knokken, kan tot veel schade leiden aan cruciale diensten in onze samenleving.

Veel internationale organisaties - van de Verenigde Naties tot het Internationale Rode Kruis, van de NAVO tot de EU en van de tot de onderzoeken daarom of dit nieuwe slagveld internationale afspraken vergt. De (mogelijke) praktijken van digitale oorlogvoering worden vergeleken met bestaande internationale verdragen, zoals het Handvest van de Verenigde Naties en andere humanitaire verdragen. Een moeilijke klus. Het digitale domein is namelijk een heel ander strijdperk dan het klassieke, niet-digitale.

Waarin verschillen cyberwars van traditionele oorlogen?

1. Van wie komt welke aanval?

Het eerste verschil tussen online en offline oorlog is dat een online daad van agressie nog niet zo makkelijk valt aan een van de twee strijdende partijen. Meestal weet je wel wie een raket op Maar op internet is het vaak veel moeilijker te achterhalen waar een aanval vandaan komt.

Een voorbeeld. Op 15 augustus 2012 werden minstens 30.000 computers van het Saoedische oliebedrijf Aramco, ’s werelds grootste oliebedrijf, gesaboteerd. Een onbekende groep, The Cutting Sword of Justice, eiste de verantwoordelijkheid op. De directeur van de CIA wees echter meteen naar Iran, die wraak zou hebben willen nemen voor Stuxnet. Virusonderzoekers meenden echter dat het virus het werk zou zijn van één of meerdere

Wie Shamoon, het virus, heeft gemaakt en verspreid, maakt nogal uit. Als het een eenzame hacker is, dan is de aanval een zaak voor de politie. Heeft de hacker een terroristisch motief, dan zullen vooral de inlichtingendiensten aan het werk moeten. Zit er een politieke groepering achter, dan rijst de vraag vanuit welk land die opereert en of dat land daar weet van heeft. Dat land kan dan verantwoordelijk worden gehouden. In dat geval is het oorlogsrecht mogelijk van toepassing.

2. Een online wapen is zo gekopieerd

Het tweede verschil is dat cyberwapens gemakkelijk na te maken zijn. De Amerikaanse journaliste Kim Zetter, die onlangs een schreef over Stuxnet, noemt de inzet van dit soort cyberwapens ‘opmerkelijk roekeloos.’ De blauwdruk van de wapens zit namelijk in de softwarecode en die staat na gebruik mogelijk bij de vijand op de computer en is dus kopieerbaar. Je vuurt kortom niet alleen een wapen af, je stuurt ook de handleiding mee. Een goede programmeur kan met een onderschepte versie aan de slag. Er zijn al onderdelen van Stuxnet opgedoken in andere malware die door criminelen worden gebruikt.

3. Cyberwapens zijn relatief goedkoop

Oorlogstuig is doorgaans in handen van overheden, die in de meeste landen in principe het monopolie op geweld en grootschalig wapenbezit hebben. Hoe machtiger een land, hoe groter het wapenarsenaal. Destructieve cyberwapens kunnen echter niet alleen door grote mogendheden ontwikkeld en gebruikt worden, maar ook door kleine groepen of landen. Tegen de kosten van één JSF-vliegtuig kun je met gemak een indrukwekkend cyberwapen ontwikkelen. Noord-Korea heeft met Bureau 121 een cyberleger van zo’n zesduizend programmeurs. Zuid-Koreaanse banken en zelfs kerncentrales moeten continu op hun hoede zijn. Maar Noord-Korea zelf is veel moeilijker te hacken omdat het land grotendeels is afgesloten Militairen spreken in dit soort gevallen van ‘asymmetrische oorlogvoering.’ En juist ontwikkelde landen, die afhankelijk zijn van complexe computernetwerken, zijn dan kwetsbaar.

4: De frontlinie bestaat uit burgers en bedrijven

Het vierde verschil tussen traditionele en hypermoderne oorlogsvoering is dat een cyberoorlog per definitie een ‘volksoorlog’ is. Dat is althans de benaming die Albert Benschop gebruikt. ‘Het zijn niet onze soldaten die straks bij de Grebbeberg staan,’ zegt hij een paar weken na de Tegenlicht-bijeenkomst in een café. ‘Aan het front staan de bedrijven, banken, burgers en verschillende overheidsdiensten. Zíj liggen als eerste onder vuur.’

Daar komt volgens hem bij dat de nevenschade moeilijk in te Het was bijvoorbeeld niet de bedoeling dat Stuxnet zich zou verspreiden, maar dat is toch gebeurd: de worm werd in meerdere landen op tienduizenden ‘Deze wapens zijn moeilijk te temmen en het is maar de vraag of ze altijd onderscheid kunnen maken tussen militaire en civiele doelen,’

Door deze verschillen is het voor internationale organisaties moeilijk om tot bindende afspraken te komen. Hoe denken militairen hier zelf over? Dreigt het echt uit de klauwen?

Het digitale domein is het Wilde Westen niet

Paul Ducheine en Hans Folmer benadrukken dat het internet echt geen Wilde Westen is voor de krijgsmacht. Ducheine is hoogleraar cyberoperaties aan de Nederlandse Defensie Academie en Folmer leidt als kolonel het Nederlandse Defensie Cyber Commando.

In de verlaten kantine van een Haags defensiegebouw stellen ze dat het optreden van de krijgsmacht altijd onderworpen is aan de Nederlandse grondwet en het oorlogsrecht, dus óók het optreden in het digitale domein. Folmer: ‘Het gebruik van internet om een militair doel te bereiken is niet anders dan gebruikmaken van een weg om een militair doel te bereiken. Ik als commandant moet zeker stellen dat ik die civiele infrastructuur niet raak, kwets of verstoor.’ De kolonel spreekt dan ook liever niet over de militarisering van internet, maar eerder over de ‘cyberization’ van de krijgsmacht.

Volgens Folmer worden de krijgsmacht meer mogelijkheden toegedicht dan ze in werkelijkheid heeft. Het preventief binnendringen van potentieel vijandelijke systemen om daar te plaatsen? ‘Zonder een regeringsbesluit hebben wij als krijgsmacht niets in het buitenland te zoeken. Ook digitaal niet.’ Het geheimhouden van om die later voor eigen gewin ‘Nee,’ zegt Folmer. ‘De veiligheid van Nederland gaat voor.’

De noodzaak van een brede maatschappelijke discussie over de grenzen van militaire inzet in het digitale domein zien Ducheine en Folmer niet echt. Ducheine: ‘De afspraken liggen al grotendeels vast in het oorlogsrecht. Op basis daarvan kan de regering nog enkele aanvullende beperkingen benoemen, vastgelegd in bijvoorbeeld de rules of engagement. En er is altijd politieke verantwoording.’

De vraag is: hoe interpreteer je het oorlogsrecht voor het digitale domein? ‘De NAVO en het Internationale Rode Kruis lopen opnieuw door die regels heen. Mocht blijken dat het oorlogsrecht in sommige gevallen ontoereikend is, dan kun je kijken of er aanvullende verdragen nodig zijn.’

In de praktijk komt er weleens zo’n aanvullend verdrag, bijvoorbeeld in het tegengaan van het gebruik van clusterbommen of antipersoneelslandmijnen. ‘Als je het hebt over vredespolitiek, dan zou dat hier van toepassing kunnen zijn,’ zegt Ducheine. ‘Let wel, er zijn veel benen de lucht ingegaan en burgerslachtoffers gevallen voordat er maatregelen zijn genomen tegen landmijnen en clusterbommen. En ik verwacht niet dat cyberwapens dit soort effecten zullen hebben. Als dat wel het geval is, dan hebben we het verkeerde wapen in handen en moet je dat middel aanpassen. Dat is overigens ook een oorlogsrechtelijke verplichting.’

Aan het einde van het gesprek buigt Ducheine zich vaderlijk voorover. ‘Hebben we je zorgen weg kunnen nemen?’

Nou, niet helemaal.

Nederland mag dan ruim binnen de grenzen van het oorlogsrecht blijven, datzelfde recht wordt wereldwijd nog dagelijks op grote schaal geschonden. Niet alleen door kleine, nare regimes, ook door de Staten kunnen streven naar het ontwikkelen van cyberprecisiewapens, maar wat als conflicten escaleren en de toolbox met geavanceerde en zorgvuldig geconstrueerde wapens opraakt? Zal dan vaker met digitaal hagel geschoten worden? En kunnen we de effecten van de inzet van wapens echt goed voorspellen in zo’n complex netwerk als het internet?

Het internet als wapenvrije provincie

Hoe meer cyberwapens er zijn, hoe groter de kans is dat ze worden gebruikt en burgerslachtoffers zullen maken. De vraag is of juridische uitpluizerij of een cyberaanval onder het oorlogsrecht valt wel genoeg is. Moeten we dan maar gewoon achterover leunen?

Het lastige is natuurlijk dat snelle oplossingen niet voorhanden zijn. En de richtingen waarin nu wordt gedacht, klinken nogal utopisch. Je kunt bijvoorbeeld denken aan ontwapening, afspraken over non-proliferatie, controle op elkaars arsenalen, bilaterale of multilaterale niet-aanvalsverdragen. Maar in dit stadium zijn dit soort initiatieven simpelweg niet aan de orde.

Zonder een flinke dosis idealisme hadden we nu niet het internet gehad waarvoor we bereid zijn om met elkaar op de vuist te gaan

Een andere oplossing die voorzichtig opgeld doet bij de Verenigde Naties en in academische kringen, is mogelijk iets haalbaarder: we zouden kunnen afspreken om delen van het internet wapenvrij te houden.

Benschop wijst erop dat dit vaker is gebeurd, zoals met het Antarctisch Verdrag, het Ruimteverdrag en de Maanovereenkomst. In die verdragen is, kort door de bocht, vastgelegd dat deze ruimten door hun bijzondere aard wapenvrij moeten blijven. Geen enkele staat mag er een territoriale claim op doen of andere staten gewapend verdrijven (of daarmee dreigen).

Benschop heeft zelfs een concreet voorstel voor een verdrag ‘Cyberspace is een provincie voor de hele mensheid,’ staat erin. ‘Het is een gemeenschappelijk erfgoed van de mensheid dat voor alle staten gelijkelijk en vrij toegankelijk is. [...] De Staten die partij zijn bij dit Verdrag erkennen dat het in het belang van de gehele mensheid is dat cyberspace uitsluitend voor vreedzame doeleinden wordt gebruikt en niet het toneel wordt van militaire strijd noch het voorwerp van internationale geschillen.’

Klinkt dit idealistisch? Misschien. Maar zonder een flinke dosis idealisme hadden we nu niet het internet gehad waarvoor we bereid zijn om met elkaar op de vuist te gaan.

Hoe kunnen we het internet beter besturen? Wie is eigenlijk de baas van het internet? Deze vraag is inzet van een strijd tussen overheden, academici, techneuten en bedrijven. In onze serie Red 't Web gaan we de komende maanden onderzoeken hoe het internet wordt bestuurd en hoe dat beter kan. Lees verder In deze virtuele oorlog vechten beide kampen voor jouw veiligheid Er woedt al ruim drie decennia een oorlog tussen opsporings- en inlichtingendiensten enerzijds en cryptografen en activisten anderzijds. De inzet: onze veiligheid en anonimiteit op internet. De strijd is onlangs weer opgelaaid. Hoe kan de strijdbijl begraven worden? Lees verder Elke mail die je verstuurt, heeft de NSA en AIVD in de cc Elke dag versturen we achteloos miljarden e-mails de wereld over. Die mails leggen enorme afstanden af voor ze een seconde later bij de ontvanger aankomen. Wij volgden een e-mail van begin tot eind en ontdekten: iedere mail die je verstuurt is een potentiële groepsmail, met talloze bedrijven en inlichtingendiensten als mogelijke onderscheppers. Lees verder Hoe wapenen we ons tegen de machine die nooit vergeet? De Amerikaanse hoogleraar en activist Eben Moglen wil ons wakker schudden over de gevaren van de surveillancestaat. 'Met de technologie van de NSA is het mogelijk om de menselijke vrijheid uit te roeien. Onze gedachten verdwijnen in een machine die nooit vergeet.' Lees verder