Nederlands duo wint hackwedstrijd: ‘Tot op het laatst zenuwslopend’

Dat onderzoek leverde Keuper en Alkemade in 2021 een geldprijs van 200.000 dollar op. En voor Keuper was dat zelfs al de tweede keer dat hij deelnam aan de wedstrijd. In 2012 hackte hij samen met een team een nieuwe iPhone, waarmee hij 30.000 dollar won.

Legacysystemen aan het internet

Dit jaar lag de focus van Pwn2Own op industriële IT-systemen (OT), waar ook Keuper en Alkemade interesse in hebben. “We speelden al langere tijd met dat vraagstuk. Daar zit een enorme securitybehoefte en het is een ander speelveld dan de IT-wereld”, vertelt Keuper. Bovendien blijkt het hands-on testen van dergelijke systemen vaak een probleem: “Je kunt niet garanderen dat alles online blijft. Om gaten te vinden versturen we data die afwijkt van het normale gedrag naar een systeem, maar het kan zijn dat het apparaat dan in de war raakt en offline gaat. Daar schrikken klanten vaak van, dus dan doen ze het toch maar niet. De beschikbaarheid van systemen is alles in de OT-wereld. En dat is natuurlijk logisch, een energiebedrijf kan niet opeens plat liggen. Maar het maakt het lastig om hands-on iets te doen in zo’n omgeving. De competitie gaf ons wel die mogelijkheid.”

Alkemade en Keuper besloten dan ook om opnieuw mee te doen, wat ze opnieuw winst opleverde. Ze vonden in verschillende categorieën kwetsbaarheden, die grote gevolgen kunnen hebben voor de productieprocessen. Zo kunnen door Keuper en Alkemade gevonden fouten in het universele vertaalprotocol OPC Unified Architecture, dat door bijna alle industriële controlesystemen gebruikt wordt om data tussen de systemen van verschillende leveranciers te verzenden, ervoor zorgen dat de systemen niet meer met elkaar kunnen communiceren en stilvallen.

Maar wat vooral opvalt, is dat de fouten die het duo vond vergelijkbaar zijn met kwetsbaarheden die eerder in IT-systemen gevonden weden. “Ze hebben binnen OT een enorme inhaalslag te maken. Dat komt denk ik doordat security lange tijd niet echt een rol speelde binnen deze wereld, omdat al die installaties niet aan het internet hingen. Ze waren wel met elkaar verbonden, maar dat was via een intern, afgesloten netwerk. Een operator die onderhoud moest doen, moest er dus ook fysiek heen. Je ziet dat de trend nu is om alles aan het netwerk te hangen, want dat maakt het makkelijker en goedkoper. Maar dat is ook een nieuw risico, want deze componenten zijn vaak niet voor het internet bedoeld. Ze zijn meestal ouder en niet ingeregeld op dit niveau van security.”

Kasteel met duizend ophaalbruggen

Een veelgebruikte beveiligingsmethode is om het OT-netwerk gescheiden te houden van het IT-netwerk. “Dat heeft dan wel veel haakjes naar het IT-netwerk, maar het blijft een apart stuk. Alles is er dan op gericht om te zorgen dat aanvallers niet op dat OT-netwerk kunnen komen.”

Alkemade en Keuper beschouwen dit echter niet als een goede beveiligingsstrategie: “Er zijn nu zoveel connecties met het IT-netwerk dat het enorm met elkaar is verbonden. Vergelijk het met een kasteel: een kasteel met twee ophaalbruggen kun je nog wel beveiligen, maar één met duizend ophaalbruggen al niet meer. Deze strategie van security officers heeft lange tijd wel gewerkt, maar is naar de toekomst toe niet houdbaar.”

Dé oplossing voor het probleem vinden, is echter zo gemakkelijk nog niet. “OT heeft echt een andere uitdaging dan IT. Ze hebben met een enorm hoge beschikbaarheid en verouderde tech te maken. Maar wij merken wel heel erg dat je OT en IT security officers hebt, die hun eigen conferenties en netwerk hebben. Als je echt een verschil wil maken, dan moet je accepteren dat je een IT-netwerk hebt met alles van laptops tot PLC’s. Dat moet je allemaal beveiligen. Dit zo segmenteren en er twee mensen verantwoordelijk voor maken, dat is geen lange termijnoplossing. De eerste stap is echt om te erkennen dat het één groot, complex netwerk is.”

Spannend tot het laatst

Keuper en Alkemade hadden – net als alle andere deelnemers – drie maanden de tijd om kwetsbaarheden te vinden in de systemen van de deelnemende partijen. Hoewel ze de zerodays al binnen een paar weken gevonden hadden, bleef het spannend om te zien of ze ook daadwerkelijk gewonnen hadden. “Zelfs een paar dagen van te voren weet je nog helemaal niets”, vertelt Alkemade. “Er is een soort loting om te zeggen in welke volgorde de demonstraties zijn. Pas dan weet je wat er aan teams mee doet, wat zij hebben gevonden en wat voor kans je dus maakt.”

Maar die loting vond plaats toen Alkemade en Keuper in het vliegtuig naar Miami zaten, voor de demonstraties en de uitreiking. Keuper: “We wisten hoeveel punten wij maximaal konden halen, maar we hadden geen idee of het goed genoeg was voor de winst. We wisten alleen dat we meer punten hadden dan het team dat vorig jaar won. Maar is dat genoeg? Dat weet je niet. Zeker omdat de fabrikant tot het laatste moment updates mag uitbrengen. Dus het kan zijn dat het probleem al is opgelost als je aankomt en je dus niets meer hebt voor de demonstratie. En het moet op het podium goed gaan, dus het is tot op het laatst zenuwslopend.”

Dat ze toch met de winst naar huis gingen, hadden de twee dus niet per se verwacht. “Dat was echt heel tof”, aldus Alkemade. En of ze volgend jaar weer meedoen? “Dat zou zomaar kunnen.”