Journalist leert hacken. Dat blijkt moeilijker dan gedacht

Heb ik nu geleerd hoe ik moet hacken?

Ik heb de ingangen gevonden van de tunnels die achter deze wereld liggen. Ik kom nog niet ver, maar weet wat ik nog moet leren, en wat ik nog zou willen leren. Het enige wat ik nodig heb is tijd.

Veel tijd.

Wat hackers ‘laaghangend fruit’ noemen, hangt voor mij nog te hoog. Maar negentig procent van wat in de media hacken wordt genoemd, kan ik misschien wel. Het is het opzoeken van een wachtwoord in een database, het is het zoeken naar databases, die zonder enige bescherming met internet zijn verbonden.

Vergelijk het met auto-inbraak in de parkeergarage van Schiphol. Je kunt met een heel slim radioapparaatje proberen om auto’s op afstand open te maken, of op ingenieuze manier een raampje naar beneden drukken. Je kunt ook langs alle auto’s lopen om te kijken of iemand per ongeluk zijn deur niet op slot heeft gedaan.

Sterker nog, op internet zijn er ondernemers die dat voor je doen. Ze bieden hun bevindingen aan bij zoekmachines met namen als Shodan en Censys. Openstaande databases kun je vinden op de website Raidforums. Inloggegevens van werknemers van grote bedrijven kun je kopen op de zwarte markt. Het vergt iets meer oefening om het programma Metasploit te gebruiken, een adres in te vullen en de juiste exploit te lanceren.

Hierbij moet ik opmerken dat het in de praktijk vaak nog tegenvalt.

Er is ook sprake van een meesterschap bij eenvoudige dingen. Iedereen kan tegen een lantaarnpaal oplopen, maar weinigen kunnen het als een oude Italiaanse clown.

Diep in het spectrum

Als je vraagt of ik nu een hacker ben, dan kan ik volmondig antwoorden: nee.

Echte hackers noemen zichzelf sowieso geen hackers. Ze worden door anderen hackers genoemd. Echte hackers gaan al helemaal niet aan andere hackers vragen: ‘Hoe werkt dat nu, dat hacken?’

Ik heb wel echte hackers ontmoet. Mannen en vrouwen met vaak een uitzonderlijke intelligentie, gekoppeld aan tienduizenden, misschien wel honderdduizenden uren tijd die zijn gestoken in het creatief kapotmaken van ‘veilige systemen’. Mannen en vrouwen die een diepe technische kennis combineren met creativiteit en het vermogen om razendsnel heel veel informatie te verzamelen. En daarom zijn ze heel kritisch op de buitenwereld. Er zijn ook hackers die niemand te spreken krijgt, die alleen opduiken in chatgroepen. Die ergens ‘diep in het spectrum’ zitten, maar briljante dingen doen.

Een groot verschil tussen hackers en skaters is dat skaters met hun planken niet een atoomcentrale in Iran of een olieveld in Saoedi-Arabië kunnen platleggen.

Het makkelijkst vind ik de omgang met de wat oudere hackers. Ze zijn vaak grumpy. Ze hebben de tijd meegemaakt dat je nog echt lol kon beleven. Ze rijden in dure Audi’s en Tesla’s. Ze verdienen zo te zien geld als water, maar de lol is er een beetje af. Ze zijn te vergelijken met skaters of surfers, die hun anarchistische way of life zagen uitgroeien tot een miljardenindustrie. Er zijn er die letterlijk te rade gaan bij skaters. Hoe hadden zij het aangepakt? Welke corporate vaardigheden had je nodig? Wat deed je met het geld dat binnenstroomde? Hoe ga je met personeel om?

Een groot verschil tussen hackers en skaters is dat skaters met hun planken niet een atoomcentrale in Iran of een olieveld in Saoedi-Arabië kunnen platleggen. Hackers zijn niet alleen sadder and wiser geworden, maar ook een soort soldaten, met tegenzin.

Oude bomen

Op zijn best ben ik een social engineer, die probeert om lezers met een goed verhaal naar binnen te lokken, om ze vervolgens iets te laten doen wat ze eigenlijk niet willen. En dat is in dit geval leren dat er in Nederland een traditioneel rijke hackerscultuur bestaat, en dat we die moeten koesteren.

Ik zag overeenkomsten tussen de wereld van Spiderman en de wereld van de hackers. Het leek me leuk om daarover te schrijven. En spannende verhalen heb ik gevonden. Verhalen over bankroven, het hacken van Boeing, het binnendringen in het twitteraccount van Donald Trump. Hoe hackers binnenkomen in fabrieken en energiecentrales.

Ik ontdekte ook hoe moeilijk het is om de waarheid te schrijven. Hoe banaal het ook klinkt: de echte wereld is geen Marvel comic. De echte wereld is niet het Wilde Westen. De witte hoeden zijn niet helemaal goed, de zwarte hoeden zijn niet helemaal slecht. Er is geen alwetende verteller. En ook geen happy end.

Er zijn dingen die ik niet heb opgeschreven, om anderen niet in de problemen te brengen, en dingen die mij niet verteld zijn, om mij te beschermen. Er zijn dingen die ik echt niet weet. En dingen waar ik (nog) niet achter gekomen ben.

Het deed me denken aan bomen. Er zijn twee soorten oude bomen. Bomen die wetenschappelijk bewezen heel oud zijn. En bomen die volgens de volksverhalen heel oud zijn, maar waarvan niet wetenschappelijk kan worden bewezen dát ze zo oud zijn. Een van de manieren om ouderdom te bepalen is door de jaarringen te tellen. Dit kan door met een soort appelboor lange dunne cilindervormige staafjes hout uit de boom te halen, en de streepjes te tellen. Het probleem is dat veel oude bomen geen jaarringen hebben of hol zijn. Het binnenste en oudste gedeelte is vaak weggerot.

Sommige van deze bomen staan er volgens de overlevering al duizenden jaren. De meeste mensen geloven dit klakkeloos en vergapen zich aan de schoonheid van wat de oude Ieren een ‘bile’ noemen, een oude en magische boom. Maar boomwetenschappers hebben de neiging om met een grote boog om deze bomen heen te lopen, zich daarbij beroepend op het motto van de scepticus: ‘Het is niet dat ik me afsluit voor de onbewezen dingen, maar ik ben nog lang niet klaar met het begrijpen van de dingen die bewezen zijn.’

Eerder dan een scepticus ben ik een romanticus. Maar ik begrijp inmiddels dat het makkelijker is om een scepticus te zijn.

Paranoia

Wat ik niet voorzien had, was dat er iets onder mijn huid kroop. Toen ik mijn plan, leren hacken om zo goede verhalen te vinden, besprak met een hacker, zei die:

‘Welcome in the rabbit hole.’

Ik nam het met een korreltje zout. Tijdens het schrijven van dit boek ben ik opnieuw door de interviews heen gegaan die ik met vele hackers had.

Ik zag de wereld soms door een donkere bril. De macht van Boeing. De macht van het Witte Huis. De macht van Twitter. De macht van China. De oorlogsindustrie. De manipulatie door de pers. Werd de wereld bestuurd door psychopaten? Waren sommige hackers die ik gesproken heb niet gewoon Mossad-agenten of CIA?

Al lang praten hackers over Echelon, het programma waarmee wereldwijd satellietcommunicatie werd onderschept, of Prism, dat hetzelfde deed op internet. De hackers werden weggezet als complotdenkers, maar bleken achteraf wel gelijk te hebben.

Langzaam begon ik mezelf ook te ontwikkelen tot complotdenker

Er zijn momenten dat ik aan alles twijfelde. Zelfs aan de Grumpy Old Hackers. En aan mezelf. Door de vreemde dingen die er gebeurden rond de verhalen die ik schreef over het twitteraccount van Donald Trump. Maar ook door verhalen die ik hoorde van andere hackers. En de angst die ik soms bij ze zag, als het ging over de macht van grote bedrijven of overheden. Kon ik wel overzien waar ik over schreef? Bracht ik niemand in gevaar? Was ik zelf niet een pion in een false-flagoperatie?

Langzaam begon ik mezelf ook te ontwikkelen tot complotdenker. Ik realiseer me dat het menselijk brein een fantastisch talent heeft om verbanden te zien tussen dingen waar helemaal geen verband tussen bestaat, zoals het gezicht van Jezus Christus zien op een geroosterde boterham. Of een olifant in een wolk. Ook in mijn brein zit een kwab die overal een religieuze lading aan geeft, en zoekt naar ‘goed’ en ‘slecht’; en een dark side of the force.

Mijn prefrontale cortex kan ik goed tot de orde roepen. Desnoods pak ik de lijst met 150 cognitieve biases erbij, om er een paar af te vinken. (Of zou die lijst ook een CIA-complot zijn? Geintje). Maar dieper in mijn brein is er iets veranderd. Ik weet niet wat ik gezien heb, maar ik heb iets gezien wat ik niet meer kan ont-zien. En ik zou dat misschien wel willen.

Ik wil de serieuze media heel graag vertrouwen, maar het lukt me niet altijd meer. Ik ben achterdochtig geworden. De hele tijd denk ik nu: waarom wordt dit nieuws nu op dit moment naar buiten gebracht? Waarom wordt deze factcheck gedaan? Om de waarheid te achterhalen? Of om de angel uit een verhaal te halen? Waarom reageert deze twitteraar op deze manier? Is het wel een echte persoon?

Ik moest terugdenken aan een lezing van Richard ‘neural cowboy’ Thieme, een spirituele vaderfiguur in de hackersgemeenschap. Ik zag hem bij Hack In The Box in 2019, waar hij de afsluitende lezing gaf. Thieme is een voormalig priester. Hij raakte in de jaren tachtig en negentig in de ban van de spirituele beloftes van het jonge internet. Cyberspace als spiritueel antwoord op onze onvolmaakte meatspace.

‘Het leek of we een nieuwe ruimte binnengingen,’ zegt hij tijdens de lezing, ‘een hiërarchische structuur van abstractie die op de een of andere manier losstond van de wereld waaruit ze voortkwam, maar dat was natuurlijk niet zo.’ 

De ziel van internet heeft een lichte en een donkere kant, weerspiegeld in de moderne hackerscultuur.

Thieme wijst erop dat DARPA, het onderzoeksinstituut van het Amerikaanse ministerie van Defensie, aan de wieg stond van internet, een anarchistisch systeem waarin iets moois kon groeien. De ziel van internet heeft een lichte en een donkere kant, weerspiegeld in de moderne hackerscultuur.

Door zijn achtergrond als priester ontpopte Thieme zich als een soort biechtvader voor hackers, ook voor de hackers die voor inlichtingendiensten gingen werken. Hij werd geraakt door de dingen die ze hem toevertrouwden. Mensen die voor de CIA of de NSA werken, als hacktivisten, verkeren vaak in psychische nood. Hij hoorde over hun geheimen, over de false-flagoperaties, de martelingen door de CIA. Thieme ging symptomen van secondary trauma vertonen. Hoewel hijzelf geen getuige van martelingen en duistere geheime operaties was, raakten de verhalen hem diep. Hij vertelt over hoe die de grondvesten wegtrokken onder het – ogenschijnlijk – redelijke beeld van de realiteit dat hij had.

‘Ik ontwaarde mezelf in een spiegelzaal, en ik wist niet wat ik niet wist,’ zegt hij in een lezing.

Het leidde tot angstaanvallen.

‘Ik wist niet hoe ik om moest gaan met het niet-weten van hoe ik dacht dat de wereld in elkaar zat, en de rol die ik daar zelf in speel.’

Op een veel lager niveau denk ik dat ik een beetje begrijp waar Thieme het over heeft. Een gevoel van onzekerheid dat moeilijk met anderen te delen. Thieme sluit zijn lezingen steevast af met de mededeling dat hij altijd openstaat voor mensen die met hem willen praten.

Ik bel hem.

‘Ik wil het geen paranoia noemen,’ zegt Thieme, ‘want paranoia is een disfunctie. Dit is gepaste paranoia. Ik heb zelf momenten gehad, dat mijn vrouw zei: “Je ziet eruit alsof je een spook hebt gezien.” Je moet voorzichtig zijn, je moet manieren inbouwen om voor jezelf te zorgen. Het belangrijkste zijn collega’s met wie je kunt praten. Mensen die je kunt vertrouwen. Ik ken er niet veel, maar ik heb ze wel nodig gehad, op diverse momenten in mijn leven.’

Waarschijnlijk is dit een van de redenen dat de meeste hackers niet van journalisten houden. Ze willen vrijuit kunnen praten, ook over hun hersenspinsels, en daar begrijpen journalisten niks van.

En ik begrijp dat nu beter.