De Cyberlympics: hacken is belangrijker dan winnen

Deze week bleek maar opnieuw hoe actueel het probleem van hacken is. De NOS kopte gisteren: de NSA is mogelijk gehackt, maar door wie? en een dag eerder werd een man aangehouden die wordt verdacht van het versturen van besmette e-mails uit naam van incassobureau Intrum Justitia en PostNL.

Het zijn twee uiteenlopende voorbeelden die laten zien dat er behoefte is aan mensen die verstand hebben van online beveiliging en IT. Thijs Bosschert is zo iemand. Hij doet op 14 september met zijn 'Eindbazenteam' mee aan de Cyberlympics in Atlanta. De wedstrijd wordt dit jaar voor de zesde keer georganiseerd.

Online Stratego

Het idee: deelnemende teams voeren verschillende hackopdrachten uit. "Dat zijn allemaal legale opdrachten binnen gecontroleerde omgevingen", zei Bosschert bij NPO Radio 1. "Ze zetten bijvoorbeeld een website voor je op, en dan moet je kijken of je daar binnen kan dringen. Een onderdeel daarvan is: vind het beveiligingslek. Als je het lek hebt gevonden, kun je de flag vinden. Dat kan een zinnetje zijn, of een code." Een soort online Stratego dus.

Scorebord hacken

De deelnemers zijn slim, zegt Bosschert. Soms wordt zelfs het scorebordsysteem gehackt. "Op de Cyberlympics ontmoet je teams die je vaker hebt gezien. We hebben op veel plekken in de wereld finales gespeeld, waaronder in Zuid-Korea, Moskou, en daar zie je dan toch weer dezelfde teams. Na afloop drinken we een biertje."

Kennisoverdracht is belangrijk, zegt Bosschert. ''Zodra de wedstrijd afgelopen is, sta je meteen bij de tafel van een ander team om na te praten. Wanneer een team iets heeft opgelost wat jij niet hebt opgelost, ben je wel benieuwd hoe ze dat hebben gedaan. Een groot deel van hacken is informatie uitwisselen. Om gezamenlijk slimmer te worden.''

Te moeilijke beveiliging

"Security is altijd een kat-en-muis-spel'', zegt Bosschert. ''We zijn altijd bezig met beveiliging beter maken, en er zijn altijd mensen bezig met beveiliging kraken. Dat zal altijd door blijven gaan. Persoonlijk denk ik dat we de afgelopen jaren de beveiliging iets te moeilijk hebben gemaakt, zeker voor de gemiddelde, of ‘domme’ gebruikers. We hebben jarenlang mensen geleerd hoe je een bijlage van een mail moet openen, en nu mag dat niet meer, want dan infecteer je je pc. Het is moeilijk neppe bijlages te onderscheiden van echte.''

Er is veel vraag naar securitypartijen, zegt Bosschert. "Maar er is nog niet genoeg kennis in de markt. Er zijn veel mensen die heel graag de online beveiliging in willen, maar te weinig mensen met ervaring.'' Daarom gaat Bosschert volgende maand naar Atlanta. Om de hackwedstrijd te winnen, maar ook om te leren en de online beveiliging verder te helpen.