Het internet bestaat dertig jaar! Voor Tim Berners-Lee en Robert Cailliau – de oprichters en grondleggers van het world wide web – reden voor een feestje. Voor KIJK reden om een gratis artikel online te zetten.

We kunnen ons namelijk nauwelijks een offline-leven voorstellen. En het wegvallen van internet zal dan ook enorme gevolgen hebben – persoonlijk én economisch. Maar is het voor cyberterroristen of andere kwaadwillenden echt mogelijk om de boel pak-em-beet een maand lang helemaal plat te leggen? KIJK zocht het uit.

Tralalalala. Vakantie boeken. Autootje erbij. De wereld via Twitter laten weten dat we nieuwe gordijnen hebben, en in één moeite door gooien we een mailtje naar de jarige tante Truus in Australië. We kijken even op NU.nl of de wereld aan de andere kant van de voordeur nog bestaat, om daarna een paar rekeningen te betalen. Kortom, onze hele dag speelt zich op en met het internet af. We staan er niet bij stil, maar een gemiddelde inwoner van een moderne samenleving als de onze spreekt per dag zo’n 250 grote en kleine computersystemen aan. We zijn zo met het internet verweven en dat is – net als water en elektriciteit – zo vanzelfsprekend geworden dat we ons nauwelijks afvragen of het stuk kan.

Toch baart de kwetsbaarheid van het internet sommige mensen grote zorgen. Het zijn geen paniekzaaiers of complotdenkers, maar mensen met verstand van zaken die zich dagelijks bezighouden met dreiging en veiligheid. Een van hen is Rob Wainwright, directeur van Europol, het samenwerkingsverband van politiediensten binnen de Europese Unie. Hij zegt: “Het grootste en meest onderschatte gevaar op het gebied van internationaal terrorisme en cybercrime is de kwetsbaarheid en de instabiliteit van de infrastructuur waar het internet op draait. Ik ben zeer bezorgd over het misplaatste vertrouwen daarin. Internet is niet onkwetsbaar, en het zou best eens kapot kunnen gaan.”

Robert Mueller, het voormalige hoofd van de FBI, is het volledig eens met Wainwright. Vorig jaar zei hij tijdens een hoorzitting van de Amerikaanse Senaat dat cyberspionage, computermisdaad en aanvallen op de infrastructuur van het internet een steeds grotere bedreiging vormen. Volgens hem zou cyberterrorisme het ‘reguliere’ terrorisme weleens voorbij kunnen streven en de belangrijkste bedreiging voor de Verenigde Staten kunnen worden.

Maar hoe groot is dat gevaar? Hoe kwetsbaar zijn de systemen en de netwerken? Zou je het totale internet – of zelfs maar het internet in Nederland – met virussen of een paar goed geplaatste aanvallen een maand uit kunnen schakelen?

Geheime servers

We vragen het aan Arnd Marijnissen, netwerkbeheerder van internetprovider XS4ALL en medeoprichter van de Amsterdamse hackerspace Technologia Incognita. Hij vertelt: “Internet ontstond in Nederland als een soort hobbyproject van een stel wetenschappers. Die wilden inloggen op het Amerikaanse ARPANET, en daarom werd er bij het gebouw van de Stichting Academisch Rekencentrum Amsterdam (SARA) een computer via een telefoonlijn met het universiteitsnetwerk verbonden. Na een tijdje wilden andere faculteiten dat ook. Er werden meer switches geplaatst, er kwamen zwaardere computers, en zo werd SARA het internetcentrum van Nederland. Er was dus heel lang één plek in ons land waar je letterlijk een kast open kon trekken om met een bijl in één klap het internet in Nederland uit te schakelen.”

Dat is allang niet meer zo. Het internetverkeer loopt inmiddels over duizenden glasvezelkabels en dataswitches die niet langer zijn ondergebracht in één gebouw, maar in negen exchanges op verschillende locaties in Nederland. “Verreweg de grootste is de Amsterdam Internet Exchange oftewel AMS-IX”, vertelt Marijnissen. “Stel nou dat die compleet wordt uitgeschakeld doordat iemand precies weet waar hij een Boeing op moet laten vallen. Dan kun je al het dataverkeer vrij eenvoudig via een andere exchange omleiden. Tijdens de ‘internetboom’ van de jaren negentig is er in Nederland namelijk heel veel glasvezel getrokken. Dataverkeer omleiden vormt dus geen probleem. De prijs zal wel even sterk stijgen, maar binnen een dag kan iedereen weer naar hartenlust youtuben.”

Waar directeur Wainwright van Europol zich voornamelijk zorgen over maakt, zijn de DNS-servers. Het Domain Name System is in feite een enorme internationale database. Computers en internet werken in de vorm van IP-adressen met een heleboel nummertjes, maar onze hersenen zijn niet ontworpen om lange cijferreeksen te onthouden. Daarom kan iedereen gewoon een naam voor bijvoorbeeld zijn website bedenken, en die wordt dan via het Domain Name System aan een IP-adres gekoppeld. Als je www.kijkmagazine.nl intikt, gaat dat ‘verzoek’ naar een DNS-server die er het correcte IP-nummer bij zoekt, zodat je naar de juiste plek wordt geleid.

Die DNS-gegevens staan wereldwijd op duizenden servers, maar de toplaag wordt gevormd door dertien rootservers die over de hele wereld verspreid staan. Het feit dat die locaties geheim zijn (een van die rootservers bevindt zich ergens in Nederland) en als militaire objecten worden bewaakt, doet vermoeden dat het onmisbare stukken hardware betreft.

Volgens Marijnissen valt dat wel mee. “Als er eentje plat gaat, is dat geen probleem, maar als er een paar zijn uitgeschakeld, wordt de belasting voor die andere wel zo zwaar dat ze bezwijken. Het aantal zoekopdrachten dat ze aan kunnen, wordt dan te groot. Maar ook in dat geval kun je het verkeer vrij snel tijdelijk omleiden naar andere servers, zodat het internet blijft functioneren. Die dertien rootservers zijn geen magische machines. Het zijn flinke computers met een behoorlijk aantal processors en schijven om de informatie te kunnen opslaan. Maar als ze beschadigd raken, trek je zo een paar nieuwe van het schap. Vervolgens verzamel je de DNS-gegevens uit de laag computerservers eronder, en binnen een dag of vier heb je de rootservers weer up and running.”

Internetkaping

Een ander kwetsbaar punt van het internet is het Border Gateway Protocol. Dankzij dat BGP weet een internet-exchange welke IP-reeksen bij welke provider horen en dus naar welke poort hij ze moet sturen. Iemand die een site wil bezoeken of een e-mail wil versturen, belandt zo op de juiste plek. Met andere woorden: het BGP bepaalt hoe je op internet van A naar B komt. Die reeksen geven de providers zelf aan de exchanges door. Via een zogenoemde advertisement zeggen ze in feite tegen een exchange: de IP-nummers van 172.00.000.1 tot 172.00.100.1 zijn van ons en iedereen die naar een van die nummers wil, moet je naar die poort sturen.

Marijnissen: “Stel, ik ben een cyberterrorist met nare plannen voor het internet in Nederland. Dan huur ik voor pak-em-beet een ton een verbinding bij een internet-exchange, ik trek wat klanten aan en word provider. Dat is allemaal niet zo moeilijk. Als internet-exchanges en ‘collega-providers’ me na een tijdje vertrouwen, stuur ik opeens een advertisement voor IP-reeksen die niet van mij zijn. Daarmee kaap ik het internetverkeer van andere providers. Je kunt internet dus voor een deel platleggen door het verkeer naar jouw servers te leiden.”

Dat dit geen louter theoretisch gevaar is, blijkt wel uit een incident dat in 2008 plaatsvond. De regering van Pakistan besloot toen dat YouTube te veel godslasterlijke filmpjes (Fitna van Geert Wilders werd genoemd) en viezigheid bevatte. De internetproviders in het land kregen daarom de opdracht om de website ontoegankelijk te maken voor Pakistanen. Maar er ging iets mis met het configureren van een router, waardoor al het verkeer voor YouTube naar de server van een provider in Pakistan werd gestuurd. Het land had de populaire site als het ware gekaapt.

Maar kan een terroristische organisatie of een vijandelijke mogendheid met wat slimme aanslagen de infrastructuur uitschakelen en ons land op die manier voor langere tijd van internet halen? Volgens Marijnissen is zo’n scenario helemaal niet zo onwaarschijnlijk. “Ik denk dat met wat moeite best uit te vinden is waar de belangrijke kabels lopen of tegen welke gebouwen je een lading semtex zou moeten plakken.”

De negen Nederlandse internet-exchanges zijn makkelijk te lokaliseren, zegt hij. Pak de kaart erbij, trek wat lijntjes tussen bijvoorbeeld een grote Duitse exchange en de Nederlandse en je kunt de glasvezelkabels die ons met het buitenland verbinden opsporen. En anders is via crowdsourcen wel uit te vogelen waar de handholes (onderhoudsputjes) zitten waar de glasvezelkabels doorheen lopen.

Dat geldt trouwens ook voor de plekken waar de trans-Atlantische glasvezelverbindingen aan land komen. “Ik denk dat je op grofweg twintig locaties vervelende dingen moet doen om heel Nederland te isoleren. Maar vanwege die enorme hoeveelheid glasvezel die hier in de grond ligt, zal het waarschijnlijk niet meevallen om het internetverkeer binnen onze grenzen uit te schakelen. NU.nl blijft dus gewoon bereikbaar, maar CNN even niet.”

Voorwaarde daarbij is overigens wel, zo benadrukt Marijnissen, dat álle grensoverschrijdende glasvezelkabels worden uitgeschakeld. Als er eentje overblijft, heeft die voldoende capaciteit om in ieder geval het meest essentiële internetverkeer voor zijn rekening te nemen. Misschien moeten ‘bandbreedtevreters’ als YouTube dan een tijdlang worden teruggeschroefd en krijgen e-mail of andere belangrijke diensten voorrang.

Kortom, het is dus bijna onmogelijk om het internet in een land met (virus)aanvallen op DNS-servers, gatewayprotocollen of door het vernielen van de datakabels voor langer dan een paar dagen uit te schakelen. De enige manier waarop het écht kan, is als de internetproviders van hogerhand het bevel krijgen om de stekker eruit te trekken (zie ‘Egyptisch internetverbod’ op pagina XX).

Dat neemt niet weg dat zelfs een onderbreking van een paar dagen voor de Nederlandse economie al grote gevolgen kan hebben. Vorig jaar werden er bijvoorbeeld meer dan 78 miljoen online-bestellingen gedaan en voor meer dan 9 miljard euro aan goederen en diensten via internet verkocht – 10 procent meer dan het jaar ervoor. Grofweg een week geen internet betekent voor de online-branche dus een fikse aderlating.

Bovendien worden de glasvezelnetwerken ook gebruikt door SWIFT (Society for Worldwide Interbank Financial Telecommunication), de internationale organisatie die onder andere het grensoverschrijdende betalingsverkeer verzorgt. Dat zou dus ook stil komen te liggen. Saillant detail daarbij is dat het Europese datacentrum voor SWIFT ergens in Nederland staat. Het systeem had een back-up in Amerika, totdat de Europese Unie in 2006 bedacht dat het niet zo’n prettig idee was dat de VS (en daarmee de CIA) op die manier konden beschikken over alle Europese bankgegevens en alle transacties die via SWIFT werden uitgevoerd. Sindsdien wordt het bankverkeer ‘gemirrord’ in een datacentrum in Zwitserland.

Als het Nederlandse datacentrum platligt, kan het Europese betalingsverkeer dus worden overgenomen door de Zwitserse zus. Dat is fijn, maar als Nederlandse bedrijven geen betalingen kunnen doen, komt de in- en uitvoer waarschijnlijk piepend en krakend tot stilstand. En doordat er geen communicatie met het buitenland meer mogelijk is, zal de beurshandel stilvallen. Marijnissen: “Ook al wordt de boel gefikst en je zet de klok terug naar de situatie van vijf dagen eerder, dan nog hebben veel bedrijven de klap al gevoeld. Een paar dagen geen internetverkeer betekent een miljardenverlies.” (Meer over het belang van de internationale handel voor Nederland kun je lezen in de aflevering van ‘Wat als…’ op pagina 26 van deze KIJK.)

Nationale ramp

Volgens Paul Levinson, hoogleraar Communicatie & Mediastudies aan de Fordham University in New York, kunnen de meeste mensen zich nauwelijks een voorstelling maken van wat het betekent om geen toegang tot internet te hebben: “We realiseren ons niet op hoeveel manieren we er afhankelijk zijn van het internet. Als het internet wegvalt, kunnen we online even geen concertkaartjes bestellen. Oké, daar valt mee te leven. Maar we hebben het ook over medische gegevens, financiële transacties, zaken die de economie lam kunnen leggen. Ik verwacht dat het uitvallen van het internet rampzalige gevolgen zal hebben.”

Die gevolgen kunnen zelfs zo ingrijpend zijn dat er een rampenplan uit de kast moet worden getrokken. Maar als we de in juni bekendgemaakte resultaten van een onderzoek van het ministerie van Veiligheid en Justitie mogen geloven, kan dát weleens een probleempje worden. Aanleiding voor het onderzoek was een storing in het KPN-telefoonnetwerk in Rotterdam en omgeving. Een hardwarefout in een knooppunt van een telefooncentrale zorgde ervoor dat 112 niet bereikbaar was en de communicatiesystemen van de hulpdiensten niet meer werkten. Urenlang konden politie, brandweer en ambulance geen contact krijgen met de meldkamer. Bovendien viel de metro stil doordat de treinstellen geen onderling contact hadden, en ook niet met hun eigen meldkamer.

De onderzoekers stelden vast dat de regio’s geen goede rampenplannen hebben voor dit soort situaties. Als Nederland al niet eens voorbereid is op zo’n eenvoudig fuck-upje in een lokale telefooncentrale, dan klinkt het wegvallen van het internet als een nationaal doemscenario.

Dit artikel stond ook in KIJK 1/2014.