Alleen al het woord hacken spreekt bij veel mensen tot de verbeelding. De gedachte dat geen computer veilig is voor jouw magische vingers klinkt erg stoer. Dat trekt dan ook een hoop kwaadwillenden aan. Maar gebruik je deze vaardigheden juist voor het goede? Dan is ethisch hacken jouw forte. Hoe begin je daar eigenlijk aan?

Om maar meteen met de deur in huis te vallen: het is een misvatting dat een hacker een crimineel is. De van origine Amerikaanse term staat in principe voor een computerexpert die in staat is om - meestal met technische middelen - een probleem op te lossen. Dat heeft dus met software en/of hardware te maken en ook beveiliging speelt vaak een rol. Het gaat in eerste instantie om het toegang krijgen tot verborgen data en soms ook om het verwijderen, aanpassen of stelen daarvan. Dat laatste is in de media en de volksmond de gangbare betekenis.

Een ethische hacker moet twee dingen zijn. Allereerst - jawel - ethisch en dus beseffend dat schade toebrengen, data stelen, data verminken of andere ongein uithalen onverantwoord gedrag is. Ethisch betekent je grenzen kennen, goed nadenken over wat je wel of niet doet en verantwoord handelen.

Hoe past dit bij hacken? Als hacker moet je obstakels zien als iets waar je slim mee om kan gaan, proberen technologie te begrijpen en daar creatief mee te spelen. De drie beste eigenschappen om dat mogelijk te maken, zijn dan ook leergierigheid (want je moet veel kennis van systemen verzamelen), optimisme (denken in oplossingen in plaats van problemen) en vasthoudendheid (je probeert veel en dat gaat ook vaak mis). Een beetje hacker deelt graag kennis dus wie eventjes zoekt op internet zal veel kennis online kunnen vinden. Beginnen is dus niet lastig, maar echt goede hacks zetten kost tijd.

6 regels van ethisch hacken

Al in 1984 verscheen het boek “Hackers: Heroes of the Computer Revolution” van Steven Levy, waarin hij mensen, computers en gebeurtenissen beschrijft die de hackercultuur bepalen. Door velen wordt het boek als een belangrijk werk gezien. Levy beschrijft er belangrijke kenmerken van ethisch hacken in:

1. Delen van kennis. Wie wat ontdekt deelt de kennis.

2. Transparantie. Informatie hoort vrij toegankelijk te zijn, hetgeen niet betekent dat iemand daar niet voor betaald mag krijgen, maar wel dat er geen belemmeringen worden opgeworpen.

3. Decentralisatie. Bij een hacker hoort een zeer kritische houding tegenover autoriteit. Centrale systemen geven een partij macht (of het nu een overheid of een bedrijf is). Door decentraal te werken wordt die heerschappij ingeperkt. Hackers behoren dat te promoten.

4. Vrije toegang tot computers. Technologie zou voor iedereen beschikbaar moeten zijn en het is ook belangrijk dat mensen hierin worden gesteund. Met een computer kan mooie software worden gemaakt, die kunst kan zijn.

5. Verbeteren van de wereld. Hackers geloven sterk in de mogelijkheid dat technologie de wereld beter kan maken. Daarbij is het uitgangspunt dat door het verspreiden van computers de hackerethiek meekomt, waardoor de wereld beter kan worden.

6. Beoordelen op basis van het hacken en niet op andere zaken, zoals ras, leeftijd of uiterlijk.

Is ethisch hacken strafbaar?

De strafrechtelijke term voor digitaal inbreken is computervredebreuk. Onder computer wordt dan een ‘geautomatiseerd werk’ verstaan: alles dat is ingericht om gegevens op te slaan, te verwerken en over te dragen. Dus bijvoorbeeld computers, laptops, servers, mobiele telefoons, routers en smartwatches worden allemaal als geautomatiseerde werken beschouwd. Die computervredebreuk moet wel opzettelijk en ‘wederrechtelijk’ (dus zonder toestemming) gebeuren om strafbaar te zijn.

Op alleen het inbreken staat al twee jaar cel, maar dat kan snel oplopen naar vier jaar als er bijvoorbeeld informatie wordt gestolen of afgetapt. Het platleggen van systemen met een DDoS (Distributed Denial of Service)-aanval kan zelfs tot vijf jaar cel opleveren als om vitale infrastructuur gaat. Het zijn dus zware misdrijven volgens de wetgever.

Toch hoeft computervredebreuk niet altijd problematisch te zijn. Wanneer je de digitale kraak zet om een misstand aan te tonen die anders niet te bewijzen is, dan is het soms niet strafbaar. Dat vloeit voort uit het Europese recht op vrije meningsuiting en nieuwsgaring. Vaak wordt dat gezien als ethisch hacken. Belangrijk is dat de aanvaller niet verder gaat dan strikt noodzakelijk om het punt te maken, waarbij er geen andere mogelijkheden zijn.

Dat was het geval toen ik op een gekraakte OV-chipkaart heb gereisd om duidelijk te maken dat de zwakheden helemaal niet zo theoretisch waren. Het Openbaar Ministerie ging dan ook niet tot vervolging over. Toen politicus Henk Krol digitaal inbrak bij een diagnostisch bloedlab om aan te tonen dat de beveiliging slecht was, werd hij wel vervolgd.

Niet vanwege het feit dát hij inbrak, maar vanwege het feit dat hij het zeker tien keer had gedaan. Dat was namelijk niet noodzakelijk in de ogen van de rechter en Krol werd dan ook veroordeeld voor computervredebreuk. Goede bedoelingen of niet: het overtreden van de wet brengt behoorlijk wat risico’s met zich.

Responsible disclosure

In veel gevallen heeft een aanvaller geen kwade bedoelingen en is de hack vooral bedoeld om gaten in de beveiliging aan te tonen. Als bedrijven of overheden dan toch aangifte zouden doen, zouden ethische hackers niet snel de door hen gevonden lekken melden.

Die koudwatervrees kan worden weggenomen met een ‘responsible disclosure-beleid’, waarin de melder wordt beloofd niet met aangiftes of schadeclaims lastiggevallen te worden, als deze zich tenminste aan bepaalde spelregels heeft gehouden. Daarbij kun je denken aan het niet zomaar data ophalen, geen schade maken of zomaar informatie naar buiten brengen zonder dat het lek is gedicht. Zo’n melding staat vaak op de website van een organisatie.

Toch is zo’n ‘afspraak’ tussen organisatie en hacker maar een beperkte zekerheid. Het Openbaar Ministerie mag altijd zelf het initiatief nemen tot een strafzaak en heeft aangegeven dat ook te doen. Er bestaat dus geen vrijbrief om te gaan hacken. De scheidslijn tussen ethisch hacken en crimineel hacken is flinterdun en wordt – soms met terugwerkende kracht - bepaald door het OM, niet door de hacker.

Penetratietest

Er zijn verschillende vormen om te beginnen met ethisch hacken. Wanneer mensen zeggen dat “een hacker naar het systeem heeft gekeken” dan bedoelen ze vaak dat er een penetratietest is uitgevoerd. Er is dan gekeken of het mogelijk is om in te breken. Meestal is zo’n onderzoek prima uit te voeren met standaard software, waarbij de kwaliteit van het onderzoek afhankelijk is van de beheersing en het begrip van de software waarmee de aanval wordt uitgevoerd.

Sommige onderzoekers schrijven eigen aanvallen. Dat is meer werk, maar je bereikt ook meer. In die fase wordt er ook vaak gekeken naar de versies van gebruikte software en bekende zwakheden in de programmatuur. Een andere vorm van ethisch hacken betreft het dieper kijken naar de software. In zo’n geval kijkt de onderzoeker of aanvallen gebaseerd op kennis van de broncode mogelijk zijn.

Soms komen nog niet ontdekte zwakheden bij penetratietesten naar boven, maar soms zit het net iets ingewikkelder in elkaar. Ook hiervoor zijn hulpmiddelen beschikbaar, maar soms is het echt lezen en studeren op de broncode.

VPN

Als ethisch hacker wil je wel veilig op internet bivakkeren. Daarom is het nuttig om een vpn-service te nemen. Hierdoor beveilig je niet alleen onbeveiligde draadloze verbindingen, maar help je ook voorkomen dat een eventuele tap op je internetverbinding informatie weggeeft. Sommige vpn-providers bieden daarbij ook anonimiteit door bijvoorbeeld geen logbestanden bij te houden. Handig om juridisch gezeur voor te zijn.

VPN.ac, CyberGhost, Private VPN, IPredator, Private Internet Access, ExpressVPN, NordVPN, TorGuard, HideMe, SlickVPN, Mullvad, IPvanish en Cryptostorm zijn VPN-providers die zelf zeggen geen logbestanden bij te houden. In hoeverre ze de waarheid vertellen is natuurlijk lastig te zeggen.

Hazelight Studios, de ontwikkelaar van de succesvolle coöperatieve games It Takes Two en Split Fiction, heeft een nieuwe game in ontwikkeling en is op dit moment bezig met de opnames ervoor.

Enige tijd geleden gaf regisseur Josef Fares al aan dat er een nieuwe game in ontwikkeling was bij de studio, maar nu heeft hij op social media een foto geplaatst waarop Fares te zien is met drie acteurs in motion capturing-pakken. Daarmee wordt dus duidelijk gemaakt dat de opnames voor de game in ieder geval al in volle gang zijn.

Overigens is de identiteit van de acteurs niet bekend. Fares houdt zijn arm voor de gezichten van de acteurs. Mogelijk zijn het dus bekende acteurs en wil hij dat nog verhullen, al is dat speculatie. Over speculatie gesproken: het feit dat er drie acteurs te zien zijn, doet sommige fans vermoeden dat de nieuwe game van Hazelight mogelijk met drie spelers tegelijk te spelen valt in plaats van twee, maar ook dat is nog alles behalve bevestigd.

Over de games van Hazelight Studios

Hazelight Studios is gespecialiseerd in het creëren van games die coöperatief doorlopen moeten worden. No Way Out, It Takes Two en Split Fiction vergen allen twee spelers. Daarbij draait het om samenwerken, wat hun games een populaire bezigheid maakt voor gamende koppels en vrienden.

It Takes Two bleek een grote hit voor de studio. In het spel spreekt een dochter van een ruziënd stel een vloek over het tweetal uit, waardoor ze minuscuul worden. Ze zullen moeten leren communiceren en samenwerken om zich uit deze hachelijke situatie te redden, terwijl ze als kleine poppen door een uitvergrote versie van hun huis en tuin reizen.

Na het succes van It Takes Two bracht Hazelight het conceptueel vergelijkbare Split Fiction uit. Die game draait om twee schrijvers, Mio en Zoe, die worden ingehuurd om verhalen te creëren voor een technologie die deze verhalen levensecht kan simuleren. De vrouwen worden door het bedrijf achter de technologie echter gevangen in een simulatie, en in de game wordt er constant tussen de twee verhalen van Mio en Zoe geschakeld. Dat levert zowel fantasievolle als futuristische settings op.

Zowel It Takes Two als Split Fiction komen met een Friend Pass. Dat houdt in dat maar één speler de game hoeft te kopen, en de tweede speler gratis online mee kan spelen. De games zijn ook via splitscreen samen op de bank speelbaar.

Apple heeft de volledige rechten op de Apple TV-serie Severance overgenomen, en gaat de serie voortaan binnenshuis produceren.

De eerste twee seizoenen van Severance staan al op Apple TV, maar de serie werd geproduceerd door Fifth Season. Apple Studios was alleen de distributeur. Daar is nu verandering gekomen: Apple heeft iets minder dan 70 miljoen dollar betaald voor de volledige rechten op de serie.

Dat betekent dat het bedrijf de productie van de serie voortaan ook zelf gaat doen, al zal Fifth Season wel als executive producer aangesteld blijven. Ook showrunner Dan Erickson en uitvoerden producent Ben Stiller (die we natuurlijk ook kunnen van vele comedyfilms) blijven hun rollen bekleden, dus aan de kwaliteit van de serie verandert als het goed is niets.

Financiële stabiliteit

Volgens Deadline zou de overname mogelijk gedaan zijn om de productie van de show financieel stabiel te houden. In het tweede seizoen waren de productiekosten naar het schijnt zo'n 20 miljoen dollar per aflevering, en Apple kan door zijn formaat dit beter dragen.

Het plan is dat Severance in totaal vier seizoenen krijgt - al worden een vijfde seizoen en een spin-off ook niet uitgesloten. De opnames van het langverwachte derde seizoen moet aankomende zomer starten. De makers van de serie willen eerst de scripts zover mogelijk afkrijgen, zodat ze bij schrijfwerk van de laatste afleveringen van het seizoen nog relatief goedkoop terug kunnen gaan naar scripts van eerdere afleveringen om wijzigingen aan te brengen waar nodig.

Over Severance

De Apple TV-serie Severance draait om Mark S., die een opmerkelijke kantoorbaan bij het bedrijf Lumon Industries heeft: zodra hij op kantoor komt, weet hij niets van zijn leven buiten kantoor. Wanneer hij klaar is en weer naar huis gaat, weet hij niets van zijn werk. Dat komt door een speciale procedure waardoor de herinneringen van de werkplek in het privéleven gescheiden worden.

Dit concept is de voedingsbodem voor een ingewikkelde en verrassende serie waarin Mark samen met zijn collega's langzaam maar zeker probeert te achterhalen hoe de vork precies in de steel steekt bij Lumon. Zoals gezegd zijn er inmiddels twee seizoenen uitgekomen, die beiden op streamingdienst Apple TV te zien zijn.