Een geschiedenis van cybersecurity

• Inleiding
• Hoofdstuk 1 De dageraad van het computeren en vroege beveiligingszorgen
• Hoofdstuk 2 ARPANET en de eerste netwerkwormen
• Hoofdstuk 3 De jaren zeventig: Mainframes, phreaking en de geboorte van crypto
• Hoofdstuk 4 De persoonlijke computerrevolutie en de opkomst van virussen
• Hoofdstuk 5 De jaren tachtig: De Morris-worm en de Computer Fraud and Abuse Act
• Hoofdstuk 6 De geboorte van het World Wide Web en nieuwe beveiligingsparadigma's
• Hoofdstuk 7 De jaren negentig: De opkomst van firewalls en antivirussoftware
• Hoofdstuk 8 De dot-com-bel en de explosie van e-commerce-criminaliteit
• Hoofdstuk 9 Y2K: De wereldwijde bug die er niet was
• Hoofdstuk 10 De post-11-september-eb en de opkomst van cyberterrorisme
• Hoofdstuk 11 De jaren 2000: Botnetten, phishing en geavanceerde permanente dreigingen
• Hoofdstuk 12 De opkomst van sociale media en nieuwe aanvalsvectoren
• Hoofdstuk 13 Stuxnet: 's werelds eerste digitale wapen
• Hoofdstuk 14 De Snowden-onthullingen en het debat over massa-opsichting
• Hoofdstuk 15 De jaren 2010: Ransomware en het Internet of Things (IoT)
• Hoofdstuk 16 De groei van cloudcomputing en de beveiligingsuitdagingen ervan
• Hoofdstuk 17 De proliferatie van mobiele apparaten en mobiele malware
• Hoofdstuk 18 De opkomst van door staten gesteunde hacking en cyberspionage
• Hoofdstuk 19 De ontwikkeling van kunstmatige intelligentie in cyberverdediging
• Hoofdstuk 20 De opkomst van machine learning in cyberaanvallen
• Hoofdstuk 21 De cryptocurrency-boom en de beveiliging van blockchain
• Hoofdstuk 22 De Algemene Verordening Gegevensbescherming (AVG) en de verschuiving in privacy
• Hoofdstuk 23 De COVID-19-pandemie en de golf van cybercriminaliteit bij thuiswerken
• Hoofdstuk 24 Het huidige landschap: Zero Trust-architectuur en SASE
• Hoofdstuk 25 De toekomst van cyberbeveiliging: quantumcomputing en verder

Lang voordat de gloed van een computerscherm een alomtegenwoordig kenmerk van het dagelijks leven werd, werden de zaden van cyberbeveiliging gezaaid. De drang om informatie te beschermen is even oud als de informatie zelf. Maar het verhaal van het beveiligen van onze digitale wereld begint niet met siliciumchips en glasvezel, maar met telegraafdraden en grapjesmakers. In 1834 hackten een tweetal dieven in Frankrijk het nationale mechanische telegrafiesysteem om een oneerlijk voordeel op de financiële markten te behalen. Een paar decennia later, in 1903, toen Guglielmo Marconi zich voorbereidde om zijn vermeend veilige draadloze langeafstandstelegraaf te demonstreren, onderscheptte een rivaliserende tovenaar de transmissie en zond beledigende gedichten uit naar het versamelde publiek van de Koninklijke Academie van Wetenschappen.

Deze vroege episodes, hoe charmant ze ook kunnen lijken, benadrukken een fundamentele en duurzame waarheid: voor elke nieuwe communicatiemethode zal er iemand zijn die op zoek is naar een manier om te luisteren, het te verstoren of het te buigen naar eigen doeleinden. Dit boek is het verhaal van die constante strijd, een geschiedenis van de lopende, hooggespelde wapenwedloop tussen degenen die digitale sloten bouwen en degenen die er genoegen in vinden ze te knippen. Het is een kroniek die zich uitstrekt van de theoretische onderbouwing van zichzelf replicerende code in de jaren veertig tot de kwantumweerstandige encryptie van morgen.

De term "cyberbeveiliging" is een relatief moderne uitvinding, zijn voorvoegsel "cyber" traceert zijn wortels terug naar het Griekse woord voor "stuurman" of "gouverneur." Het werd populair in de midden van de 20e eeuw door het vakgebied van de cybernetica, de bestudering van controle en communicatie in dieren en machines. Echter, zijn intogang in de populaire woordenschat werd gecementeerd door de sciencefiction van de jaren tachtig, die plaatjes schilderde van enorme, miteinander verbonden digitale werelden—"cyberruimte"—die zowel wonderbaarlijk als gevaarlijk waren. Vandaag de dag heeft de term een veel meer gegronde en urgente betekenis. Het is de praktijk van het beschermen van onze computers, netwerken, programma's en data tegen onbevoegde toegang, crimineel gebruik of schade.

Dit is geen verhaal puur over technologie. Diep menselijk. Het gaat over de briljante onderzoekers die de gevaren van een verbonden wereld voorspoorden en de onvermoeide verdedigers die in de schaduw werken om onze digitale levens veilig te houden. Het gaat ook over de kwajongens, de criminelen en de door staten gesteunde acteurs die kwetsbaarheden uitbuiten voor winst, macht of zuivere chaos. En, cruciaal, het gaat over de alledaagse gebruiker, wiens acties—een aangeklikte link, een zwak wachtwoord—vaak het beslissende factor kunnen zijn in deze onzichtbare oorlog. Studies tonen herhaaldelijk aan dat een significante meerderheid van de beveiligingsincidenten een menselijk element omvat, wat elk individu tot een onwetende soldaat op de frontlijn maakt.

De inzet van dit conflict is exponentieel gegroeid. Wat begon als academische experimenten en tienerscherts is uitgegroeid tot een wereldwijd bedrijf dat voorspeld wordt om schade te veroorzaken van in totaal 10,5 biljoen dollar per jaar tegen 2025. Ware het een land, dan zou cybercriminaliteit de derde grootste economie van de wereld zijn, alleen de Verenigde Staten en China voorbij. Deze ontzagwekkende cijfer vertegenwoordigt een van de grootste overdrachten van economische rijkdom in de geschiedenis, de illegale handel in drugs verduisterend en de jaarlijkse schade door natuurrampen ver te boven gaand. De kosten van een gemiddelde datalekkage voor een bedrijf blijven stijgen, het bestaan van kleine bedrijven bedreigend en aanzienlijke financiële en reputatieschade verursachend bij zelfs de grootste corporaties.

Het begrijpen van de geschiedenis van cyberbeveiliging is essentieel omdat het verleden een voorproef is. De uitdagingen waarmee we vandaag geconfronteerd worden, zijn vaak echos van gisteren problemen, opgeschaald en gewapend met krachtigere technologie. De fundamentele principes van het beschermen van vertrouwelijkheid, het waarborgen van de integriteit van data en het garanderen van de beschikbaarheid ervan zijn constant gebleven, zelfs als de methoden van aanval en verdediging zich met een duizelige snelheid hebben ontwikkeld. Elke technologische sprong voorwaarts—van mainframecomputers naar het internet, van mobiele telefoons naar de cloud—heeft onvoorziene beveiligingsuitdagingen met zich meegebracht.

Dit boek zal door die evolutie reizen in chronologische volgorde. We zullen beginnen in een tijdperk waarin "computerbeveiliging" niet veel meer betekende dan een op slot gegaan deur en een brandblusser, een tijd waarin de eerste theoretische concepten van een "computervirus" pas net geformuleerd werden. We zullen het ARPANET verkennen, de voorloper van het moderne internet, en getuige zijn van de geboorte van de eerste, relatief onschuldige, zichzelf replicerende programma's zoals de "Creeper," die niet met kwaadwillige intentie werd geschapen maar als een beveilingstest. Dit speelse experiment werd snel gevolgd door "Reaper," de eerste antivirussoftware ontworpen om het op te sporen, de toneel zettend voor het kat-en-muisspel dat tot op de dag van vandaag voortduurt.

De reis zal ons meenemen door de jaren zeventig en het tijdperk van "phone phreaking," waar vroege hackers telefonenetwerken manipuleerden, vaak met iets zo simpels als een speelgoedfluitje gevonden in een graanpakket. We zullen zien hoe de persoonlijke computerrevolutie van de jaren tachtig computing naar de massa's bracht en, daarmee, de eerste wijdverspreide virusuitbraken, zoals de "Brain"-virus die zich verspreidde via diskettes. Dit was het decennium dat hacken in het publieke bewustzijn trad, mede dankzij populaire films en echte inbraken in gevoelige overheidsystemen, wat leidde tot de eerste grote wetgevingsstukken zoals de Computer Fraud and Abuse Act.

Terwijl we de jaren negentig betreden, zullen we getuige zijn van de geboorte van het World Wide Web, een gebeurtenis die de maatschappij transformeerde en een volledig nieuwe grens schep voor zowel handel als misdaad. Deze nieuwe, met elkaar verbonden wereld vereist nieuwe verdedigingslinies, wat leidde tot de opkomst van firewalls en een commerciële antivirusindustrie. Het verhaal zal dan doorgaan in de nieuwe millennium, de ontploffing van e-commercemisdrijven tijdens de dotcombellen, de misplaatste vrees voor de Y2K-bug, en de verschuiving van de focus naar cyberterrorisme in de post-11 september-wereld.

De jaren 2000 en 2010 brachten een escalatie in de schaal en sophisticatediteit van dreigingen. We zullen de opkomst van botnetten onderzoeken, enorme legers van gecompromitteerde computers; de bedrogkunst van phishing; en de opkomst van Advanced Persistent Threats (APT's), vaak gesteund door naties. Het verhaal zal de opkomst van sociale media en de nieuwe aanvalsvectoren die het opende, de implementatie van Stuxnet, het eerste echte digitale wapen, en de seismische impact van de Snowden-onthullingen op de mondiale discussie over surveillance en privacy dekken. Meer recente hoofdstukken in deze geschiedenis omvatten de pest van ransomware, de kwetsbaarheden van het met elkaar verbonden Internet of Things (IoT), en de beveiligingsuitdagingen die gepaard gaan met cloudcomputing en de proliferatie van mobiele apparaten.

Ten slotte zullen we het huidige landschap bestuderen en naar de toekomst kijken. Dit omvat de opkomst van door staten gesteunde cyberespionage, het tweeenschneuzige zwaard van kunstmatige intelligentie en machine learning in zowel aanval als verdediging, en de beveiligingsvragen rond cryptocurrency en blockchain-technologie. We zullen de impact van mijlpaal privacyregelgeving zoals de AVG en de toename van cybercriminaliteit die gepaard ging met de mondiale verschuiving naar thuiswerken tijdens de COVID-19-pandemie overwegen. Onze geschiedenis zal afsluiten met een kijk naar de grenzen van cyberbeveiliging, van de ontwikkeling van Zero Trust-architecturen tot het paradigma-verschuivende potentieel van kwantumcomputing.

Dit is het verhaal van een verborgen wereld die elk aspect van ons moderne leven beïnvloedt. Het is een geschiedenis van innovatie geboren uit noodzaak, van blootgelegde kwetsbaarheden, en van de constante, stille inspanning om een wereld te beveiligen die onlosmakelijk verbonden is geraakt met het digitale rijk. Het is een menselijk verhaal van genialiteit en foutgevigheid, een strijd van wijsheid uitgevoerd in regels code, met de beveiliging van onze persoonlijke informatie, onze financiële systemen en onze cruciale infrastructuur in de balans. Het verhaal begint niet in een sterile datacenter, maar in de reusachtige, kamergrote rekenmachines van een wereld in oorlog, waar het concept van computing zijn eerste broos stappen zette.

In de formatieve jaren van de digitale computing droeg het concept van "beveiliging" nauwelijks gelijkenis met de complexe digitale vestingwerken van het moderne tijdperk. De dreigingen waren geen onzichtbare reeksen kwaadaardige code die een wereldwijd netwerk doorkruisten, maar tastbare gevaren als spionage, sabotage en brand. De computers zelf waren kolossale wezens, die hele kamers vuldden met hun ingewikkelde webbingen van bedrading, zoemende buizen en electromechanische relais. Deze reuzen, geboren uit de smeltkroes van de Tweede Wereldoorlog, leken minder op de persoonlijke apparaten van vandaag en meer op unieke, onschatbare industriële machines gehuisvest in speciale, geclimatiseerde kamers. Gevolgd was de eerste laag van computerbeveiliging brutaal fysiek: een op slot gegane deur, een waakzame bewaker en een robuuste brandblusser.

De primaire drijfveren van deze nieuwe technologie waren militaire noodzaak en wetenschappelijke ambitie. In Groot-Brittannië beheerde het ultrageheime faciliteit op Bletchley Park de Colossus-machines, een serie computers ontworpen door ingenieur Tommy Flowers om te helpen ontcijferen van de gecodeerde berichten van het Duitse Hoofdkwartier. De informatie die deze machines verwerkten, was van zo immensen strategisch belang dat beveiliging van het hoogste belang was. Toegang werd geregeld door strikte militaire protocollen en need-to-know-principes. Het bloot bestaan van Colossus was een nauw bewaarde geheim, een feit dat zijn pionerende rol in de geschiedenis van de computing decennialang zou verbergen. Fysieke beveiliging was onlosmakelijk verbonden met de nationale veiligheid; een inbraak in het faciliteit had het verloop van de oorlog kunnen veranderen.

Aan de overkant van de Atlantische Oceaan speelde een vergelijkbaar drama zich af. De ENIAC (Electronic Numerical Integrator and Computer), vaak geprezen als de eerste algemene elektronische digitale computer, werd ontwikkeld aan de Universiteit van Pennsylvanië voor het Ballistics Research Laboratory van het Amerikaanse leger om artillerievuurtabellen te berekenen. Met bijna 18.000 buizen en een gewicht van 30 ton was de ENIAC een monster van een machine die constant onderhoud vereiste. De beveiligingskwesties waren tweevoudig: de militaire berekeningen beschermen tegen vijandelijke agenten en de machine gewoon draaiende houden. De buizen waren berucht onbetrouwbaar, met storingen die verschillende keren per week voordeden, waardoor de machine vaak maar ongeveer de helft van de tijd operationeel was. In deze context was "het systeem beveiligen" evenveel een kwestie van het waarborgen van de operationele integriteit en betrouwbaarheid als het voorkomen van onbevoegde toegang.

Al voor deze oorlogsreuzen legden andere pioniers de basis. In Duitsland creëerde Konrad Zuse, in relatieve isolatie werkend, een reeks programmeerbare computers, geculmineerd in de Z3 in 1941, de werelds eerste functionele programma-gestuurde computer. Zijn werk werd gebruikt voor aerodynamische berekeningen, maar zijn machines werden uiteindelijk vernietigd door bombardementen, een scherpe herinnering aan de fysieke kwetsbaarheid van deze ontluikende technologie. In de Verenigde Staten ontwikkelden John Atanasoff en zijn graduate student Clifford Berry aan Iowa State University de Atanasoff-Berry Computer (ABC) tussen 1939 en 1942. Ontworpen om systemen van lineaire vergelijkingen op te lossen, introduceerde de ABC cruciale concepten als binaire rekenkunde en regeneratief geheugen, maar de ontwikkeling werd afgekapt door de oorlog, en de machine werd uiteindelijk gedemonteerd en grotendeels weggegooid.

Voor deze handjevol rare machines was de mens-machine-interface ver verwijderd van de toetsenborden en schermen van latere decennia. Programmeren was een arbeidszame, fysieke daad. Instructies werden niet getypt, maar met zorgvuldigheid gecodeerd op een fysiek medium, meest voorkomend papieren punchkaarten. Elke kaart vertegenwoordigde een enkele regel code of een stuk data, de informatie opgeslagen in een specifiek patroon van uitgestempelde gaten. Een programma bestond uit een "stapel" van deze kaarten, die in een precieze volgorde in een kaartlezer moesten worden ingevoerd.

Deze afhankelijkheid van een tastbaar medium introduceerde de eerste echte uitdagingen op het gebied van dataintegriteit en beschikbaarheid. Een enkele verlegde of beschadigde kaart kon een heel programma corrumpteren. Een programmeur die per ongeluk een grote stapel kaarten liet vallen, stond voor een pijnstakend, en vaak fatale, reconstructieproces. Om dit te mitigeren, ontwikkelden programmeurs simpele maar effectieve beveiligingsmaatregelen: ze nummerden hun kaarten of gebruikten een marker om een diagonaal streepje over de bovenrand van de hele stapel te trekken, wat het makkelijker maakte ze in de juiste volgorde terug te zetten. Programma's werden geback-upt niet door bestanden te kopiëren, maar door de hele kaartstapel fysiek te dupliceren. Het corrigeren van een programmeerfout betekende een heel nieuwe kaart uitstempelen om de defecte te vervangen.

Het proces was gletsjerslangzaam. Programmeurs schreven hun code op papier formulieren genaamd coderingsformulieren, die vervolgens aan keypunch-operators werden gegeven om de kaartstapel te maken. Deze stapel werd dan aan de computeroperators overhandigd, die het programma in een batch zouden draaien. De programmeur moest misschien uren, of zelfs een hele dag wachten om een printout van de resultaten te ontvangen, om dan ontdekken dat een enkele syntaxisfout het proces dwong heltemaal opnieuw te beginnen. Deze lange feedbacklus bevorderde een cultuur van extreme zorgvuldigheid en "desk checking", waarbij programmeurs hun code handmatig op fouten controleerden voordat ze hem ooit aan de machine overhandigden. In deze omgeving was een "datalekkage" minder een kwestie van elektronische diefstal en meer van een rivallend onderzoeker die je kaartstapel stahl of een schoonmaakster die hem per ongeluk in de prullenbak gooide.

De pure fysicaliteit van deze vroege computers gaf ook aanleiding tot een van de meest duurzame termen in de technologische lexicon: de "bug". Op 9 september 1947 probeerden ingenieurs aan Harvard University een probleem met de Mark II-computer te diagnosticeren. Na een intensieve zoektocht ontdekten ze de schuldige: een mot was in een van de electromechanische relais van de machine geraakt, wat de werking fysiek belemmerde. De technici verwijderden het insect zorgvuldig en plakten het in hun logboek, met de nu beroemde annotatie: "First actual case of bug being found" (Eerste daadwerkelijk geval van bug die gevonden werd).

Hoewel deze incident vaak het verdienst krijgt de term te hebben bedacht, werd het woord "bug" al decennialang door ingenieurs gebruikt om een fout of defect in een systeem te beschrijven. Thomas Edison gebruikte de term al in 1878 in zijn notities om moeilijkheden met zijn uitvindingen te beschrijven. Echter, de Harvard-mot leverde een tastbare en onvergeetbare oorsprongsverhaal dat de term definitief verankerde in de wereld van de computing. De logboekinschrijving, met de overleden mot, wordt bewaard in het Smithsonian's National Museum of American History. Het verhaal dient als een perfecte illustratie van het tijdperk: in de dageraad van de computing was debuggen vaak een letterlijk, fysiek proces van het verwijderen van een obstakel uit de machinerie.

Midden in het gekletter van relais en de gloed van buizen vond een diepgaande theoretische ontwikkeling plaats die de intellectuele grondslag zou leggen voor de beveiligingsuitdagingen van de verre toekomst. De briljante wiskundige John von Neumann, terwijl hij werkte aan projecten voor het Amerikaanse leger en bijdroeg aan het ontwerp van de opvolger van ENIAC, EDVAC, raakte gefascineerd door de logische structuur van computing. Hij begon na te denken of een machine ontworpen kon worden om zichzelf te reproduceren, net als een biologisch organisme.

In 1949 formaliseerde Von Neumann dit idee, door het concept van een zichzelf replicerende automaat voor te stellen. Dit was geen fysieke robot, maar een zuiver logisch, theoretisch construct — een computerprogramma dat een beschrijving van zichzelf bevatte en een universele constructor capabel was om elke machine te bouwen, inclusief een kopie van het originele. Zijn "Theory of Self-Reproducing Automata", postuum gepubliceerde, beschreef hoe een programma zijn eigen code kon lezen en die informatie als blauwdruk kon gebruiken om een exacte, functionele duplicaat te creëren.

Von Neumanns werk was een adembenemende intellectuele sprong, die de abstracte wereld van de computing verbond met de fundamentele processen van het leven. Het moet benadrukt worden dat hij niet probeerde een computervirus te vinden. Zijn motivaties waren puur academisch en filosofisch, het verkennen van de definie van het leven en de ultieme mogelijkheden van complexe systemen. Hij zag deze theoretische machine als een manier om de logische vereisten voor reproductie en evolutie te begrijpen. Toch had hij, door een reeks instructies te beschrijven die zichzelf kon voortplanten, ongewild het fundamentele concept geschreven voor elke computerworm en virus die zou volgen. De geest in de machine was geroepen, ook al zou het nog twee decennia een theoretisch spookblijven.

De cultuur rondom deze eerste computers was klein, academisch en geïsoleerd. De machines waren geen hulpmiddelen voor de massa's, maar complexe instrumenten toegankelijk slechts voor een selecte groep wetenschappers, ingenieurs en militair personeel. Deze exclusiviteit, gecombineerd met de intellectuele nieuwsgierigheid van de operators, gaf aanleiding tot de eerste "hacks" — niet in de kwaadwillige zin, maar in de geest van slim, verkennend programmeren. Deze vroege hackers wilden de grenzen verleggen van wat deze reusachtige rekenmachines konden doen, vaak voor geen andere reden dan de puur plezier ervan.

In plaats van zich uitsluitend te richten op ballistiek en vergelijkingen, begonnen deze pioniers de machines te programmeren om simpele spellen te spelen. Al in 1951 werd de Nimrod-computer getoond op de Festival of Britain specifiek om het spel Nim te spelen. In 1952 creëerde een Cambridge-student een grafische versie van boter-kaas-en-eieren genaamd OXO om zijn proefschrift over mens-computer-interactie te demonstreren. Deze vroege spellen waren belangrijke bewijzen van concept, die aantoonden dat computers voor meer gebruikt konden worden dan alleen serieus rekenwerk; ze konden interactief en zelfs vermakelijk zijn.

Deze speelse geest was een cruciale ingrediënt in de oersoep van de computercultuur. Op instellingen als MIT ontstond een gemeenschap van knutselaren die genooten van het ondernemen van slimme projecten puur voor de uitdaging en het genot — ze noemden deze projecten "hacks". Dit ging niet om onbevoegde toegang, maar om het systeem op nieuwe en geniale manieren gebruiken die niet voorzien waren door de scheppers. Hoewel de beveiligingsimplicities niet bestonden op dat moment, is deze mindset — de verlangenza om te verkennen, regels te buigen en een systeem iets nieuws te laten doen — een directe voorouder van de hackcultuur die decennia later zou ontstaan.

Naarmate de jaren vijftig aanbraken, begon de Koude Oorlog het ontluikende veld van de computerbeveiliging te vormgeven. De focus verschuifde van de directe fysieke dreigingen van een wereldoorlog naar de meer insidieuze gevaren van spionage en inlichtingendiensten. In 1952 richtte de Amerikaanse overheid de National Security Agency (NSA) op, wat de rol van de staat in het beschermen van gevoelige communicatie en het verzamelen van buitenlandse inlichtingen formaliseerde. Dit markeerde het begin van institutionele inspanningen om digitale informatie te beveiligen, zelfs toen de technologie nog beperkt was tot een paar overheidsinstanties en onderzoekslabs. De kernprincipes van cyberbeveiliging — vertrouwelijkheid, integriteit en het voorkomen van onbevoegde toegang — waren nu stevig gevestigd, zelfs als het toneel nog bestond uit op slot gegane kamers en papieren kaarten in plaats van onderling verbonden netwerken. De tijdperk van de enkele operator in een beveiligde, geïsoleerde computerkamer zette het toneel voor een volledig nieuwe wereld van onderling verbonden, en daarmee kwetsbare, machines.