Zero Days (Alex Gibney over)

Zero Days is ondanks z’n licht sensationele toon een verontrustende documentaire over cyberoorlogvoering. Politici begrijpen nauwelijks iets van cyberwapens en kunnen de gevolgen ervan niet overzien. Regisseur Alex Gibney: ‘Ik ben aanhanger van de idioten­theorie van de mensheid.’

Door Ronald Rovers

Stelt u zich voor: u wordt op een maandagochtend wakker en er is geen elektriciteit, geen water uit de kraan, de stoplichten op straat en de betalingssystemen van de banken werken niet en het openbaar vervoer ligt plat. Of u wordt helemaal niet meer wakker omdat uw huis toevallig in de besmettingszone van een kernreactor staat nadat daar radioactieve straling is ontsnapt. Dit is allemaal onderdeel van wat de kritieke infrastructuur wordt genoemd.
Om een land te veroveren, zijn nauwelijks nog traditionele wapens en militairen nodig. Het kan onopvallender en goedkoper: je legt via cyberoorlogvoering die kritieke infrastructuur plat en wacht tot chaos ontstaat. Hoe lang zou het duren voor we met z’n allen de supermarkt binnen stormen om nog wat eten te vinden?

Nitro Zeus
Hoe ver met name Israël en de Verenigde Staten gevorderd zijn met cyberwapens, wordt duidelijk in Alex Gibneys documentaire Zero Days. De film schetst het verhaal achter het zogenoemde Stuxnet virus dat in 2010 werd ontdekt, op dat moment het meest geavanceerde malware virus ooit ontwikkeld. Zei men. Want zeker weten doen we weinig: als het om cyberoorlogvoering gaat, ligt 99 procent van de ijsberg onder water.
Stuxnet was een virus ontwikkeld door Amerikanen en Israëli’s dat bedoeld was om het nucleaire programma van Iran te saboteren, met name de nucleaire verrijkingsinstallatie in Natanz. Zoveel was al bekend. Gibney werkte onder meer samen met Amerikaanse en Russische antivirusbedrijven om meer details boven water te krijgen en ontdekte dat Stuxnet slechts onderdeel was van een tot in detail uitgewerkte cyberaanval op Iran, mochten diplomatieke onderhandelingen over Irans nucleaire programma stranden: operatie Nitro Zeus.
"Als Iran ver weg klinkt, is het goed om je te reali­seren dat met cyberwapens eenzelfde wedloop plaats­vindt als tijdens de Koude Oorlog met nucleaire wapens", zei Gibney in februari 2016 tijdens het filmfestival van Berlijn. En dat veel militairen en politici geen flauw idee hebben, zelfs de ontwikkelaars van militaire malware hebben dat niet, wat de gevolgen zijn wanneer zulke virussen in het wild worden losgelaten." Net als met echte, organische virussen.
Die wapenwedloop vindt grotendeels in het geheim plaats — achter de schermen inderdaad — omdat een cyberaanval in vredestijd kan worden opgevat als een oorlogsdaad. Om die reden zijn landen zeer terughoudend in het erkennen van ontwikkelingsprogramma’s op dit gebied, vertelde Gibney.

Alex Gibney

Evolutie
"Nitro Zeus was belangrijk", zei Gibney "omdat het liet zien dat de NSA en US Cyber Command veel verder waren met cyberoorlogvoering dan het ontwikkelen van virussen." Dat het Stuxnetvirus eerder in het wild werd losgelaten dan gepland, illustreerde volgens Gibney bovendien dat er barsten zaten in de relatie tussen Amerika en Israël. De Amerikanen waren bang dat Israël Iraanse nucleaire installaties zou bombarderen, waarna de VS meegesleurd zouden worden in een militair conflict. Om dat te voorkomen, begonnen de Amerikanen met het verspreiden van het virus.
Aan de andere kant stond Iran rond 2010 op het punt om uranium zodanig te verrijken dat het gebruikt kon worden voor nucleaire wapens, schreef The New York Times vorig jaar februari naar aanleiding van Gibneys documentaire. Bovendien liep de spanning op omdat Iran er vrij zeker van was dat Israël hun nucleaire specialisten liet vermoorden.
Gibney had eerder onderzoeksjournalistieke documentaires gemaakt over Scientology, Wikileaks en Lance Armstrong — en is nu bezig met een documentaire over Roger Ailes, de ontslagen CEO van Fox News — maar was nog nooit op zoveel geheimzinnigheid gestuit. Verrassend was het niet: Gibney beschouwt cyberoorlogsvoering als de volgende stap in de evolutie van militaire conflicten, ook al wordt dat door alle betrokken landen ontkend en heeft Sun Tzu er in De kunst van het oorlogvoeren niet één alinea aan gewijd.

Blackhat
Wat het virus uiteindelijk deed, dat wil zeggen fysiek, was centrifuges in Iraans nucleaire installaties zodanig over hun toeren laten draaien dat ze defect raakten. Met als gevolg dat op die locatie niet langer uranium verrijkt kon worden.
Michael Mann verfilmde in Blackhat uit 2015 een iets dramatischer scenario, waarin een terrorist — gespeeld door Yorick van Wageningen — een virus verspreid dat de kritieke infrastructuur saboteert om zo geld af te persen. Terroristen mogen dan moeite hebben om voldoende radioactief materiaal te verzamelen voor een nucleair wapen, cyberoorlogvoering ligt binnen handbereik. Het is relatief goedkoop en je bereikt er de hele wereld mee. Stuxnet werd ontdekt doordat het virus zich onbedoeld over de hele wereld had verspreid, ook al leek het op gewone huis, tuin en keukencomputers niets te doen.
Aan de andere kant, zei Gibney, bestaan vermoedens dat onze computers thuis maar ook onze kritieke infrastructuur al lang besmet kunnen zijn met een virus dat rustig een bepaalde datum afwacht om in actie te komen. Het venijnige is dat je geen idee hebt tot het te laat is. Tenzij iemand het virus toevallig ontdekt.

Dr. Strangelove
Er wordt trouwens ook nog steeds gewoon lekker ouderwets gehackt. In maart 2016 beschuldigde de VS zeven mannen van het hacken van systemen waardoor onder meer Bank of America, Nasdaq, de beurs in New York, Capital One, AT&T en PNC werden geraakt. Ze zouden betaald worden door Iran.
Problematisch is volgens Gibney dat van een echte wapenwedloop geen sprake is omdat betrokkenen ontkennen dat de wapens überhaupt bestaan. Het valt ook makkelijk  te ontkennen: een nucleaire raket kun je zien, een computervirus niet. In Kubricks gelijknamige film zegt Dr. Strangelove het zo tegen de Russische ambassadeur De Sadesky: "Het hele punt van een Doomsday Machine gaat verloren als je alles geheim houdt!" Want zonder wapenwedloop geen wederzijdse afschrikking die betrokken landen in toom houdt. Dat was de theorie in de Koude Oorlog tenminste, dat je vrede kon handhaven door allebei een enorm arsenaal nucleaire wapens aan te leggen. Tot iemand het verbluffende inzicht kreeg dat je samen ook steeds minder nucleaire wapens kunt fabriceren.

Idiotentheorie
Gibney zei niet bang te zijn voor samenzweringstheorieën die beweren dat onze computers al lang besmet zijn met een virus. "Ik ben aanhanger van de idioten­theorie van de mensheid — mensen doen domme dingen — en we moeten uitkijken om zulke complexe en slimme wapens in handen van idioten te geven. Betrokkenen die wel met me wilden spreken voor deze documentaire deden dat precies om die reden: omdat ze vonden dat een aantal van hun superieuren bij Cyber Command en een aantal politieke beleidsmakers echt niet lijken te beseffen hoe gevaarlijk cyberwapens zijn.
"Want kritieke infrastructuur is geen keurig geheel. Het is een verzameling systemen die over de jaren beetje bij beetje, laag voor laag is opgebouwd. Als je zulke systemen buiten werking stelt, kun je ze echt niet even snel met een knopje weer aanzetten. Dit is een groot probleem. Er zijn veel onvoorziene gevolgen."