Hackers als bewakers van het energienet

Van privacyprobleem naar fysieke veiligheid

DIVD startte in 2019 als een platform voor wat directeur Chris van 't Hof “helpende hackers” noemt: mensen die met een goed hart en een scherp oog de digitale wereld veiliger maken. Chris herkent in hackers iets vertrouwds: “Ze passen niet in het gewone onderwijssysteem, proberen alles uit en leren van zichzelf. Dat is precies hoe ik ook in elkaar zit.”

De stap naar het energiesysteem werd gezet toen een van de hackers iets opmerkelijks ontdekte. Hij ontdekte een platform waar omvormers van zonnepanelen, de apparaten die de stroom van je zonnepanelen geschikt maken voor gebruik in het elektriciteitsnet, voor updates en monitoring standaard verbonden waren met servers in China. Die verbinding bleek open en onbeveiligd. “In eerste instantie zag hij het als een privacyprobleem,” vertelt Chris. “Je kunt zien wanneer mensen thuis zijn, of je kunt de elektriciteit aan- en uitzetten. Maar vanuit mijn achtergrond als elektrotechnicus zag ik meteen iets veel groters. Het zijn 1 miljoen omvormers en dat telt op tot 10 gigawatt. Dat is genoeg om Europa in een black-out te gooien als je dat laat stuiteren.” Dat moment veranderde de focus van DIVD. Waar cybersecurity lang draaide om de bescherming van persoonsgegevens, gaat het hier om iets veel concreter: fysieke veiligheid.

Kwetsbaarheden vinden, melden én laten oplossen

DIVD onderzoekt de voornaamste doelwitten in het energiesysteem: omvormers van zonnepanelen, laadpalen, slimme meters en, steeds belangrijker, energiemanagementsystemen (software die al deze apparaten met elkaar verbindt en op elkaar afstemt). “Alles wat slim is, is kwetsbaar,” vertelt Chris. “En alles wat online staat, wordt vroeg of laat gehackt. Wat DIVD uniek maakt, is niet alleen het vinden van die kwetsbaarheden, maar ook de juridische positie om dat te mogen doen. Wij hebben een zogeheten license to hack: we mogen kwetsbaarheden zoeken zonder voorafgaande toestemming van de eigenaar of leverancier, juist omdat die pas achterhaald zijn op het moment dat het systeem al lek blijkt te zijn.”

Als DIVD een kwetsbaarheid vindt, meldt het die aan de leverancier. “Die ziet dan wat er mis is met zijn spullen, zorgt voor een patch (een software-update die een specifieke kwetsbaarheid of fout in een programma repareert) en de consument krijgt een update op zijn apparaat,” legt Chris uit. Dat proces heet Coordinated Vulnerability Disclosure (CVD). De administratieve verwerking ervan, het officieel registreren van de kwetsbaarheid, heet een Common Vulnerability and Exposure (CVE), en elke CVE krijgt een uniek nummer. “Dat is belangrijk voor iedereen die het betreffende apparaat koopt, gebruikt, installeert of doorverkoopt: zij zien direct of hun versie kwetsbaar is en of er een update nodig is. Maar het helpt ook andere onderzoekers in de community. Ze zien wat al gevonden is en kunnen verder onderzoeken.”

CVE (Common Vulnerability and Exposure)

DIVD fungeert daarin als zogeheten CNA (CVE Numbering Authority): een erkende instantie die officieel CVE-nummers mag toewijzen. “Er zijn heel veel apparaten kwetsbaar en aardig wat mensen die er onderzoek naar doen,” legt Chris uit, “maar er was geen plek waar ze dat kwijt konden zodat er ook echt wat mee gebeurt. Nou, dat zijn wij.” Dat betekent ook administratief werk: onderzoeksrapporten verwerken, doorvragen naar bewijs, communiceren met leveranciers.

En als een leverancier vervolgens niks doet? Dan gaat DIVD een stap verder. “Er zijn genoeg kwetsbaarheden die gewoon niet opgelost worden,” zegt Chris. “Dan geven we het rapport aan de Rijksinspectie Digitale Infrastructuur (RDI).” De RDI beoordeelt de bevinding en dwingt de leverancier alsnog te handelen, op straffe van een boete. Op dit moment liggen er al 3 rapporten over omvormers bij de RDI. Chris: “En hoe grappig is het dat een collectief van hackers samenwerkt met de autoriteit?”

Hacking lab en lesmateriaal

Om apparaten fysiek te kunnen onderzoeken, richtte DIVD een hardwarelab in op een bijzondere locatie: de HermitHive, een oud bankgebouw in Nieuwegein. Kwetsbaarheden beginnen echter vaak al eerder: bij de installatie. DIVD.academy, een bestaande stichting die jongeren leert hacken en hen beoordeelt op vaardigheden in plaats van diploma's, ontwikkelt daarvoor lesmateriaal voor de installatiebranche. De urgentie van dat werk is door geopolitieke ontwikkelingen alleen maar toegenomen. “Energiesystemen zijn een aantrekkelijk doelwit,” vertelt Chris. “En ze zijn kwetsbaarder dan mensen denken.”

Steun van SIDN fonds

Voor een organisatie die grotendeels op vrijwilligers draait, is externe financiering essentieel. Maar funding werven bleek geen eenvoudige opgave. Chris: “DIVD is een goed doel, maar veiligheid wordt al snel als een taak van bedrijven of de overheid gezien. En commerciële diensten mogen we niet verlenen, dat zou de markt verstoren. Wij doen net dat deel wat de rest niet mág.”

SIDN fonds is al vanaf het prille begin betrokken bij DIVD. Ook de DIDV.academy krijgt steun van SIDN fonds. De allereerste financiering, voor een website en de eerste stappen, kwam van het fonds. Met de subsidie voor CVD in het Energiesysteem kon DIVD een projectleider aanstellen, apparatuur aanschaffen, evenementen organiseren, zoals Hack the Power Grid op de Green Village in Delft, en de samenwerking met de energiesector structureel opbouwen. Die cofinanciering maakte het ook mogelijk om andere partijen aan te haken, zoals Topsector Energie, die de hackingdemo's mede sponsort.

Elise van Schaik, SIDN fonds: “Het werk van DIVD is van onschatbare waarde voor een veilig en open internet. Dankzij hun inzet wordt zichtbaar hoe sterk onze energievoorziening inmiddels verweven is met het internet – en hoe belangrijk het is dat die systemen veilig blijven functioneren. We zijn trots dat we hun missie kunnen ondersteunen.”

Van energienet naar waterinfrastructuur

De aanpak van DIVD: onderzoekers verzamelen, kwetsbaarheden vinden, melden en zorgen dat ze opgelost worden, past ook op andere kritieke infrastructuur. Chris: “Watermanagement is de volgende stap. Pompen en systemen die riolen en waterkeringen aansturen staan vaak onbeveiligd online, met potentieel grote gevolgen voor de fysieke veiligheid. Als je die hackt, kan Nederland onder water lopen.” De missie blijft dezelfde: de wereld veiliger maken door kwetsbaarheden te vinden en op te lossen.

Meer weten? Kijk op divd.nl/energie of op de projectpagina van SIDN fonds.