De cyberhubris van de troefadministratie

Cybersecurity hielp Donald Trump te kiezen. Tijdens de presidentiële campagne hebben hackers alle geheimen van de Democraten ontrafeld en voor iedereen zichtbaar gemaakt, terwijl Hillary Clinton over de kolen is geharkt voor het gebruik van een onveilige server voor haar eigen persoonlijke e-mail. De communicatie van de republikeinen bleef ondertussen uit het oog van het publiek.

Maar succes kan hubris veroorzaken, en er zijn enkele verontrustende trends in de eerste paar dagen van de regering Trump. Niemand heeft Trump gehackt, maar hij doet alsof niemand dat kan.

Waarom niemand een Galaxy S3 zou moeten gebruiken

Volgens de New York Times gebruikt president Trump nog steeds zijn oude Android-telefoon om te tweeten. Volgens Android Central kan dat een Samsung Galaxy S3 zijn.

De S3 is gevoelig voor de ergste Android-bug die ooit is ontdekt, Stagefright. Genezen in Android 5.1.1, biedt Stagefright hackers volledige toegang tot uw telefoon met een aantal speciaal vervaardigde MMS-berichten. Er zijn in de VS niet heel veel bevestigde hackers met Stagefright geweest, maar de meesten van ons zijn niet zo belangrijk als een doelwit als de president van de Verenigde Staten. De Galaxy S3 heeft nooit een upgrade gekregen die verder gaat dan Android 4.3. Het is verschrikkelijk onzeker.

Het feit dat hij een Galaxy S3 gebruikt om te tweeten, wil natuurlijk niet zeggen dat hij er toegang toe heeft tot geclassificeerde gegevens. Maar willekeurige code-kwetsbaarheden zoals Stagefright kunnen bijvoorbeeld de microfoon van een telefoon inschakelen om deze als spionage-apparaat te gebruiken, zelfs als de telefoon geen toegang heeft tot iets dat gevoeliger is dan een openbaar Twitter-account.

Over die e-mailaccounts

Volgens Wired en Newsweek onderhouden invloedrijke stafleden van het Witte Huis, waaronder Sean Spicer en Jared Kushner, e-mailaccounts op RNC-servers; en een tijdje wees het officiële POTUS Twitter-account terug naar een Gmail-account. Ook lijkt Spicer willekeurig dingen te hebben getweet die op wachtwoorden leken.

Het bewaren van e-mail op niet-gouvernementele servers kan een goede manier zijn om het buiten het zicht van het publiek te houden, zolang uw servers veilig zijn. (Onthoud al die verwijderde Hillary Clinton-e-mails?) Natuurlijk zijn die servers vaak niet veilig. (Herinner je al die Wikileaked DNC-e-mails?)

Het is in ieder geval geen goed idee voor overheidsfunctionarissen om hun informatiebeveiliging uit te besteden aan e-mailproviders van consumenten. Hoewel Trump beroemd geen e-mail gebruikt - waardoor hij zo veilig mogelijk is - zouden stafmedewerkers nog steeds berichten kunnen verzenden met informatie die ze liever niet in handen van buitenlandse regeringen zouden krijgen.

Het goede nieuws is dat het personeel zich lijkt aan te passen. Alleen vandaag is het wachtwoordresetadres voor het POTUS Twitter-account van Gmail naar een Witte Huis-adres verplaatst. Hopelijk is dat een teken van hoe dingen achter de schermen worden opgeruimd.

Maar de getweet wachtwoorden vertonen nog een andere kwetsbaarheid: het ziet er niet naar uit dat veel van de communicatie van het Witte Huis wordt bewerkt of dubbel gecontroleerd voordat ze uitgaan.

Moet Trump zich zorgen maken?

De werking van Trump is gezegend in het rijk van informatiebeveiliging. Zelfs toen de RNC werd gehackt, werd de informatie niet vrijgegeven op een manier die de organisatie kon beschadigen. Het zou dus logisch zijn dat de president vindt dat zijn operatie onneembaar is.

De vraag is wanneer, en of, competente tegenkrachten het Witte Huis zullen aanvallen in een cyberspionage aanval. Dat kan een buitenlandse overheid zijn, zoals China, die in het geheim gegevens probeert te verzamelen om de bewegingen van Trump te voorspellen en te anticiperen, of burgerwachters die de administratie proberen in verlegenheid te brengen door play-by-play vrij te geven van hoe de beleidsworst wordt gemaakt.

We hebben dat nog niet zien gebeuren, maar kom op, het is pas een week geleden. Trump geeft persoonlijk misschien niet veel om de moeren en bouten van cyberbeveiliging, maar zijn personeel moet zijn voeten neerzetten en zijn elektronische hygeine blijven vergrendelen. Het lot van de wereld staat op het spel.