De dubieuze bedrijven die handelen in zero-days
Zero-days opsporen om lekke software beter te beveiligen, dat klinkt als een nobel streven, Maar de handel hierin is ook controversieel, vol met ethische dilemma’s, grote geldbedragen en corrupte buitenlandse regimes.
Lees ook: Wat is de prijs voor het vinden van zero-days?
De laatste jaren is er een wildgroei ontstaan van bedrijven die actief op zoek gaan naar zero-days, om daar zelf software omheen te bouwen. Die wordt kant-en-klaar verkocht aan bedrijven, overheden en inlichtingsdiensten, en kan worden ingezet om verdachten te hacken of om anderen te bespioneren.
Eén van de bekendste van die bedrijven is Hacking Team, een Italiaanse organisatie die vorig jaar in het nieuws kwam nadat duizenden interne documenten na een hack op het bedrijf online kwamen te staan. Uit de e-mails, prijslijsten, offertes en klantbestanden kwam een goed beeld naar boven van wat Hacking Team precies was: Een dubieuze handelaar van zero-days, softwarelekken, en de tools om ze uit te buiten.
In één van de uitgelekte agenda’s bleek dat onder andere de Nederlandse politie een afspraak had staan om met het bedrijf te praten, maar die afspraak werd te elfder ure weer afgezegd. Wat de politie precies wilde doen met de software van Hacking Team is niet bekend.
©PXimport
De hack op Hacking Team
Lange tijd was de handel in zero-days een publiek geheim. De bedrijven die erin handelden (zoals Hacking Team) waren niet per se illegaal, maar zaten in zo’n grijs gebied dat ze ook niet echt te koop liepen met hun diensten. Ze waren vooral bekend bij beveiligingsonderzoekers, maar niet bij het grote publiek.
Dat veranderde na de hack op Hacking Team, want hoewel er even commotie ontstond over het bestaan van zulke handelaren was de ophef van korte duur. Inmiddels zijn er meerdere bedrijven die hun diensten publiekelijk bekend maken. Neem Zerodium, een handelaar die een paar maanden geleden in het nieuws kwam door ‘en plein public’ te adverteren met een bug bounty van niet minder dan een miljoen dollar voor een lek in iOS.
Bedrijven als Zerodium ontlenen hun bestaansrecht grotendeels aan de handel in dergelijke software, maar ook grote bedrijven (vaak defensieaannemers) zoals Lockheed Martin en Northup Grumman hebben divisies die handelen in zero-days. Die worden over het algemeen gebruikt om spionagesoftware te maken die dan weer wordt verkocht aan het Amerikaanse leger of de inlichtingendiensten, en zelden aan malafide partijen.
©PXimport
Voor en tegen
In de beveiligingswereld zijn inmiddels twee kampen ontstaan. Aan de ene kant zitten beveiligingsonderzoekers zoals Chris Soghoian, een privacyactivist die al jaren een van de meest uitgesproken critici is van zero-dayhandel. Soghoian noemde verkopers en bedrijven die zo werken ‘merchants of death’ en vergeleek hen ooit met notoire wapenhandelaren als Victor Bout die miljoenen wapens verkocht – ook tijdens burgeroorlogen in Afrika.
Soghoian heeft vooral kritiek op het feit dat zero-dayhandel zorgt voor een wildgroei aan lekken waarvan niemand weet waar ze eindigen. Iedere ‘bad guy’ kan bijvoorbeeld ook achter het lek komen, misschien door het zelf te vinden, het van een andere handelaar te kopen, of zelfs van dezelfde. Er is namelijk geen enkele garantie dat een hacker een zero-day aan slechts één partij verkoopt.
Er zijn echter ook genoeg hackers en onderzoekers die heel erg vóór de handel in zero-days zijn, en daar ook voor uit durven te komen. Eén van de meest vocale hackers is een Zuid-Afrikaanse onderzoeker die bekend staat onder het pseudoniem The Grugq. “Zero-days verkopen is precies hetzelfde als het verkopen van een gewoon softwarepakket. Je levert het met een handleiding op, zorgt dat alles werkt. Het enige verschil is dat je slechts één licentie verkoopt en het daarbij laat”, zei hij ooit in een interview.
Ethisch hacken
Binnen de verkoop aan commerciële partijen kun je overigens nog steeds ethisch werken. Zo zeggen veel onderzoekers hun bevindingen alleen te verkopen aan Europese of Amerikaanse partijen, maar niet aan Russische of Chinese. Dat gebeurt zowel vanwege financiële motieven (laatstgenoemde landen betalen significant minder voor een vondst), maar sommige hackers zeggen op deze manier ook instellingen als de NSA ‘op scherp’ te houden omdat landen als China zich ook niet laten tegenhouden door handelsembargo’s op zero-days.
Wie kopen deze exploits precies?
De handelaren en verkopers mogen dan wel steeds opener worden over hun werkzaamheden, het blijft nog steeds lastig te zeggen aan wie de exploits nou precies worden verkocht. De hack op Hacking Team gaf voor het eerst een inkijkje in het klantenbestand van de handelaren, maar ook uit interviews is voorzichtig op te maken wie er interesse heeft in zero-days. Aan de ene kant zijn dat overheden en inlichtingendiensten, zoals de NSA of de Nederlandse politie.
Voor zover bekend maakt de politie nu nog geen gebruik van zero-days voor het hacken van computers, maar eind 2016 werd wel in de wet opgenomen dat die methode binnenkort tot de mogelijkheden van de Nederlandse opsporingsdiensten valt. Maar ook andere bedrijven, zelf softwarebouwers, kopen exploits.
Volgens Adriel Desautels van Hacking Team-concurrent Netragard gebruikt heus niet iedere koper de lekken om te spioneren bij gebruikers. Het is ook goed mogelijk dat een bedrijf een exploit gebruikt als een ‘proof of concept’ om op hackersconferenties mee te adverteren, of dat een lek wordt gebruikt voor ‘pen-testing’. “Als je een kogelvrij vest gaat testen, gebruik je kogels, geen waterpistool”, zegt Desautels in een interview.
Er is een levendige handel in zero-days, en hoewel die allang niet meer uitsluitend ondergronds plaatsvindt is de import en export van softwarelekken nog steeds controversieel. Veel Westerse landen hebben inmiddels eigen regels voor het gebruik van zero-days.
Wet Computercriminaliteit III
Zo is er de Nederlandse politie, die actief wil gaan zoeken naar datalekken om die vervolgens te gebruiken voor het hacken van verdachten. Het wetsvoorstel waarin dat staat ligt op dit moment bij de Tweede Kamer ter evaluatie. De Wet Computercriminaliteit III is een uitbreiding van een oudere wet die niet meer up-to-date was en niet voorzag in bepaalde onderdelen waar de politie wel behoefte aan heeft – zoals het zoeken naar gaten in de wet.
Maar daar zit een groot probleem. Als één partij weet van een lek, waarom zou een andere dat dan niet weten? Het is niet realistisch om te denken dat alléén de Nederlandse politie weet van een gat in Adobe Flash of Firefox, maar dat malafide overheden of hackersgroepen daar niet achter komen.
Het Wassenaar Akkoord
Het handelen in zero-days kreeg in 2013 dan ook een controversiële rol in het Wassenaar Akkoord, eentje waar politici én hackers op dit moment nog steeds maar moeilijk mee kunnen werken. Het Wassenaar Akkoord stamt al uit 1995, en is een verdrag tussen 13 landen waarin de export van wapens naar repressieve regimes zoveel mogelijk wordt beperkt. In 2013 vond een grote revisie van het Akkoord plaats, met als voornaamste update dat nu ook digitale wapens niet meer mochten worden verkocht.
©PXimport
De definitie van ‘digitaal wapen’ is echter nogal breed, want dat kunnen zowel virussen als Stuxnet zijn als simpele bekende gaten in Chrome. Volgens het Akkoord zou het in theorie mogelijk zijn om beveiligingsonderzoekers te verbieden om een kwetsbaarheid op een internationale conferentie te tonen – één van de bekendste en belangrijkste manieren waarop dat op dit moment gebeurt.
De handel in zero-days wordt steeds groter, en de geldbedragen die omgaan in het verkopen van softwarelekken gaan steeds verder omhoog. Toch blijft de regelgeving nog steeds achter, en ontstaat er een flinke tweedeling onder onderzoekers over de ethiek van het verkopen.
