COLUMN - Er is een hoogst curieuze veiling gaande: een groep hackers, de ShadowBrokers, slijt publiekelijk een roedel zogeheten zero-day exploits aan de hoogstbiedende. Zero-day exploits zijn beveiligingsgaten die nog niet zijn gepubliceerd en waar de betrokken software- of hardware-fabrikant geen weet van heeft, zodat ze geen verweer tegen de bewuste kwetsbaarheid hebben kunnen ontwerpen.
Het effect? Iedereen die zulke hardware of software gebruikt, kan worden gehackt door deskundigen – of door groepjes die zulke exploits verzamelen en heimelijk aan elkaar doorgeven – met mogelijk grote gevolgen. De fabrikant heeft niet door dat zijn product lek is, de klant weet niet dat zijn gegevens geoogst kunnen worden door kwaadwillenden. Beiden denken hun zaakjes op orde te hebben, maar verkeren in schijnveiligheid.
We weten al langer dat de NSA, de Amerikaanse afluisterdienst, dergelijke zero-day exploits verzamelt. De NSA zet zelfs deskundigen in om die als eerste op te sporen, teneinde ze later naar eigen goeddunken te gebruiken tegen mogelijk verdachte organisaties.
De NSA is terdege bekritiseerd om deze praktijk. Door gevonden exploits niet te publiceren, zoals serieuze veiligheidsexperts doen, maar ze te eigen bate geheim te houden, verzwakken ze uiteindelijk ieders veiligheid. Want welke zekerheid hebben we dat andere, minder nette clubjes, diezelfde exploits niet ook hebben gevonden? Vergroot het onze veiligheid wanneer de NSA denkt dat zij als enige dergelijke exploits heeft gevonden en die secuur kan beheren? Is het niet beter om zulke exploits bekend te maken, opdat ieders algemene veiligheid wordt verbeterd?
