Fabian van den Broek is postdoc bij Informatica, onderdeel van de faculteit Management, Science & Technology. Hij is gepromoveerd op de beveiliging van mobiele telefonie en houdt zich met name bezig met authenticatie en privacyvraagstukken. Ook in de DDoS-problematiek (Distributed Denial of Service) is Van den Broek goed thuis. 'Bij zo’n aanval probeert de aanvaller zijn doelwit onbereikbaar te maken, door zo veel internetverkeer naar het doelwit te genereren, dat de server van het doelwit het begeeft, of de infrastructuur die het doelwit met het internet verbindt. De dienst wordt in zo’n geval onbereikbaar. Denial of service, dus.'

Botnet

Voor een geslaagde aanval moet heel veel internetverkeer worden gegenereerd. Hiervoor maakt een hacker vaak gebruik van een ‘botnet’, een netwerk aan gehackte computers die de opdracht kunnen krijgen om het doelwit massaal informatie te sturen (Distributed). Ook maken de aanvallers vaak gebruik van amplificatie-aanvallen. 'Hierbij zoekt een aanvaller servers op het internet die op verzoek antwoord sturen naar een opgegeven adres', verduidelijkt Van den Broek. 'Zijn de antwoorden veel groter in omvang dan de vragen, dan kan een aanvaller deze servers gebruiken om aanvalsverkeer te vergroten door vragen te stellen aan de servers en de grote antwoorden naar het doelwit te laten sturen.'

Motieven

Volgens Van den Broek zijn er meerdere motieven voor DDoS-aanvallen. 'Je kunt ze zelfs inkopen en er geld mee verdienen. Hackers bouwen dan een botnet van geïnfecteerde computers op en laten tegen betaling hun botnet DDoS-aanvallen uitvoeren. Maar er kunnen ook andere redenen zijn. We hebben DDoS-aanvallen gezien als activisme, als puur vandalisme, als afpersing of uit nijd naar een organisatie toe. De 18-jarige verdachte van de recente aanvallen heeft aangegeven het simpelweg voor de lol te hebben gedaan. Hij kocht de aanvallen in voor circa veertig euro. Met weinig middelen kun je dus al veel bereiken!'

Risico’s

Ongeacht de motieven leveren de aanvallen veel problemen en een hoop leed op. 'DDoS-aanvallen maken een doelwit tijdelijk onbereikbaar. Er worden dan misschien geen data of geld buitgemaakt, maar de onbereikbaarheid op zich kan al flinke schade met zich meebrengen. Is bijvoorbeeld het internetbankieren onbereikbaar, dan heeft dit directe gevolgen voor banken en webwinkels. Ook kost het afslaan van dit soort aanvallen geld. Organisaties moeten immers tijdelijk extra capaciteit inhuren en het personeel maakt langere dagen. Ook voor de burger zijn onbereikbare services erg vervelend. Denk aan internetbankieren, of een onbereikbare DigiD, juist op het moment dat de deadline voor de inkomstenbelastingaangifte verloopt. Daarbij moet ik wel nadrukkelijk aantekenen dat burgers niet het risico lopen dat hun geld of gegevens worden gestolen.'

Oplossingen

Hoe kunnen we ons wapenen tegen DDoS-aanvallen? Volgens Van den Broek is het vooral een kwestie van filteren van inkomend verkeer en het vergroten van de capaciteit. 'Dit zijn wel reactieve oplossingen, die worden ingezet terwijl een aanval al bezig is. Het duurt even om te bepalen welk verkeer waarschijnlijk van de aanvaller afkomstig is, zodat dit gefilterd kan worden en je de kans hebt om de capaciteit op te schalen. Beide verdedigingen moet je ook al van te voren klaar hebben staan, om nog enigszins snel te kunnen reageren.'

De vaak genoemde ‘blockchain’ als middel tegen DDoS-aanvallen berust volgens Van den Broek op een mythe. 'De blockchain is een soort gedistribueerde dataopslag, waarbij data nooit meer aangepast of verwijderd kan worden. Het is nog erg onduidelijk of deze techniek überhaupt ergens nuttig ingezet kan worden, zeker gezien de grote beperkingen door het enorme energieverbruik en de traagheid van transacties. Met bescherming tegen DDoS-aanvallen heeft het echt helemaal niks te maken. Misschien denken blockchain-evangelisten dat de inherente distributie van gegevens in blockchains beveiliging tegen DDoS-aanvallen oplevert. Maar een hypothetische blockchain die je als bank zou kunnen inzetten zou de back-end, de opslag van een bank, vervangen, niet de front-end, de website. En daar is een DDoS-aanval nu juist op gericht.'