De drie biggetjes en cybersecurity

In de goede oude tijd waren mensen veel beter op hun hoede wat betreft cybersecurity dan nu. Ik weet zeker dat de meeste sprookjes die we tegenwoordig nog hebben specifiek zijn ontworpen om kinderen voor te bereiden op een wereld vol cyberdreigingen. Neem bijvoorbeeld het bekende Engelse sprookje De drie biggetjes. Het ogenschijnlijke simpele plot legt niet alleen het idee achter brute-force-aanvallen uit, maar tevens ingewikkelde concepten zoals honeypots en zelfs cryptocontainers!

Er bestaan vele versies van dit verhaal, en het hangt een beetje van de taal af, maar vandaag concentreren we ons op de tekst die in de 19e eeuw werd geschreven door James Halliwell-Phillipps. Het verhaal zelf is natuurlijk nog veel ouder.

Brute-force

Het sprookje begint met drie biggetjes die een hardeware-oplossing uitkiezen om zichzelf te beschermen tegen cyberdreigingen. Het lijkt om een soort internet-gateway te gaan. Het eerste biggetje kiest een apparaat dat van stro is gemaakt (goedkoop en onbetrouwbaar), de tweede gaat voor hout (betrouwbaarder, maar nog altijd niet geweldig), en de derde zorgt voor een echte firewall van stenen.

De wolf in het sprookjes wordt weergegeven als een niet heel vaardige hacker. Zijn aanpak betreffende de informatie-infrastructuur van elk biggetjes is om die aan te vallen met de enige tool die hij tot zijn beschikking heeft: blaaskracht. Zoals u vast wel zult herkennen, is dit analoog naar brute-force-hacking. In cybersecurity wordt brute kracht normaal gesproken toegepast voor het kraken van wachtwoorden.

Het sprookje laat zien dat deze techniek inderdaad succesvol kan zijn als het doelwit niet veel aandacht heeft besteed aan de cybersecurity: de eerste twee varkenshutjes kunnen niet tegen de brute-force-aanval op, en de aanvaller komt dus binnen. Maar bij de derde ondervindt hij problemen. In andere woorden: zelfs verhalenvertellers van twee eeuwen geleden wisten al dat het gebruik van goedkope routers met standaard-wachtwoorden vragen om problemen was.

Gecompromitteerd communicatiekanaal

Niet alle versies van het sprookjes vertellen ook over de tweede traditionele aanval. En dat is jammer. Die gaat namelijk zo: nadat de eerste aanval is mislukt, begint de wolf het derde biggetje met nuttige links te bestoken. Hij verstuurt de adressen van velden met knolrapen en appelbomen, en eentje van de kermis, met daarbij de beste tijd om ernaar toe te gaan vermeld.

Men zou kunnen denken dat die links een vorm van phishing zijn, maar deze oude Engelse verhalenvertellers waren een stuk geavanceerder. Wat zij destijds al beschreven was een volledig ander soort aanval. De “links” waren in dit geval niet nep, maar echt. En dat vindt de wolf best: het maakt hem niets uit waar het biggetje heengaat, want het enige wat hij wil is controle over het communicatiekanaal — maar alleen op bepaalde tijden, niet 24/7.

Het biggetje fopt de harige hacker door de nuttige websites te bezoeken, maar niet op de momenten waarop de wolf dit wil. Het enige gevaar schuilt in de kermis, want op de terugweg komt het biggetje de wolf tegen. Hij vindt een uitweg: op de kermis had hij namelijk een boterkarn gekocht, en hij klimt hierin en rolt de heuvel af, waardoor hij de wolf angst aanjaagt. In een moderne context: het biggetje downloadt gegevens van de website in een cryptocontainer, en slaagt er zo in om veilig te blijven, ondanks het gebruik van het gecompromitteerde communicatiekanaal.

Honeypot

In een laatste, wanhopige poging om de infrastructuur van het biggetje te penetreren, gaat de wolf op zoek naar een kwetsbaarheid in het apparaat. Hij vindt alleen een gat in de schoorsteen, dus hij probeert naar beneden te klimmen om via de open haard binnen te komen. Stuitte de wolf per toeval op deze kwetsbaarheid? Natuurlijk niet; het biggetje was zich hier allang bewust van. Hij had deze val vooraf opgezet en steekt het haardvuur aan en zet er een ketel op.

In cybersecurity wordt deze ketel ook wel een honeypot genoemd. Het voornaamste doel van het met opzet blootleggen van kwetsbaarheden is om de activiteiten van cybercriminelen te volgen. Maar als de daders onvoorzichtig genoeg zijn, kan de honeypot ze ook ontmaskeren.

Hier moet bij gezegd worden dat deze informatie weinig praktisch nut had voor kinderen in de 19e eeuw. Maar de originele verhalenvertellers hadden een ander doel in gedachten: om nuttige praktijken in de culturele code van de samenleving te introduceren, zodat mensen eeuwen later, bij de komst van de informatietechnologie, een diepgewortelde kennis hadden van het hele landschap aan bestaande cyberdreigingen. Zij die sprookjes aan hun kinderen vertellen, helpen hierbij dus effectief aan het bouwen van een veiligere wereld.