Wat zit er nog verstopt in jouw oude systemen?

De PHP-lekken die op 21 oktober onder meer DigiD, MijnOverheid en de site van de Tweede Kamer uit voorzorg offline haalden, zaten al meer dan tien jaar in de code. Niemand vond ze, omdat zoeken te veel tijd en geld kostte. Met hulp van AI deed één onderzoeker in een week wat volgens beveiligingsbedrijf Wiz vroeger maanden werk was voor een topteam. Dat verandert de rekensom voor elke organisatie met oudere systemen. Fouten die verborgen bleven omdat zoeken duur was, worden nu goedkoop gevonden. Door verdedigers en door aanvallers. Het goede nieuws: jij kunt die zoektocht ook zelf als eerste doen.

Een fout van meer dan tien jaar oud, gevonden in een paar dagen

Woensdag 21 oktober gingen in Nederland websites uit voorzorg offline. DigiD, MijnOverheid, de Tweede Kamer, de Autoriteit Persoonsgegevens en Notubiz, het vergadersysteem van zo'n honderd gemeenten, meldde de NOS. De oorzaak: twee ernstige lekken in PHP, de programmeertaal waarop een groot deel van alle websites draait. Het NCSC noemde "ieder systeem dat PHP bevat en vanaf het publieke internet bereikbaar is vermoedelijk kwetsbaar".

In de meeste berichtgeving bleef onderbelicht dat de lekken met hulp van AI werden gevonden. Beveiligingsbedrijf Calif begon eind juli met een audit van PHP. Onderzoeker Ryan Austin vond de eerste fout een paar dagen na de start. Hij benadrukt dat er geen speciale opstelling en geen niet-publieke modellen aan te pas kwamen. Beveiligingsbedrijf Wiz vond beide lekken onafhankelijk daarvan.

Volgens Wiz zat de kwetsbare code er al meer dan tien jaar in, in vrijwel elke PHP-versie sinds 5.4. Een werkende aanval bouwen vergde een uitzonderlijk ingewikkelde reeks stappen. Wiz schrijft dat één onderzoeker met de nieuwste AI-modellen en de juiste tools in een week deed wat vroeger maanden werk was voor een team van wereldklasse.

Zoeken naar oude fouten is goedkoop geworden

Kijk, oude software zit vol fouten die nooit iemand vond. Ze zaten er gewoon. Alleen had niemand de tijd en het geld om ernaar te zoeken, dus bleven ze liggen.

Vergelijk het met een groot, oud kantoorpand. Ergens zit vast een raam waarvan het slot niet goed sluit, of een achterdeur waar al jaren niemand meer naar kijkt. Niemand loopt alle ramen en deuren na, want dat kost dagen. Zolang niemand het slot test, weet ook niemand dat het niet sluit. Stel dat er nu een apparaat komt dat in een middag elk slot in het pand test. Handig als je de eigenaar bent. Minder handig als een inbreker hetzelfde apparaat heeft.

Dat is wat hier verandert. De bescherming zat in de kosten van het zoeken. Die kosten vallen weg. Het aantal gevonden kwetsbaarheden steeg eerder dit jaar al mee met de komst van krachtige beveiligingsmodellen, al is een direct verband niet bewezen.

OpenAI, dat twee maanden lang de samenwerking rond de oplossing coördineerde, verwacht dat dit soort vondsten de komende maanden sterk toeneemt. Het bedrijf trekt 1 miljard dollar uit voor gesubsidieerde toegang tot zijn beveiligingsdienst Daybreak, voor organisaties die vitale diensten beveiligen.

De voorsprong van de verdedigers is klein

Voor zover OpenAI weet, vond AI deze lekken eerder dan aanvallers. Dat kan kloppen, maar het venster was smal. Amazon zag in zijn honeypot (een systeem dat als lokaas voor aanvallers dient) al op 17 oktober een poging om het lek te misbruiken, vier dagen voor de bekendmaking. Hoe die aanvaller aan de informatie kwam, is onduidelijk.

Dus: dezelfde AI die verdedigers helpt zoeken, helpt aanvallers ook. Wie het eerst zoekt, heeft de voorsprong.

Begin met zoeken in je eigen systemen

Dit klinkt als een klus voor de IT-afdeling. Het raakt elke organisatie met een website, een klantportaal of een systeem dat al wat jaren meedraait. Vier dingen kun je nu doen.

Weet welke verouderde software je draait

Het eerste lek dat je dicht wilt hebben, zit in software die geen updates meer krijgt. Vraag je IT-partner of hostingbedrijf welke systemen draaien op een versie die niet meer wordt onderhouden. PHP bracht dit keer ook reparaties uit voor oudere versies die het officieel niet meer ondersteunt, meldt Help Net Security. Reken daar de volgende keer niet op.

Laat AI je eigen code en instellingen doorlichten

De modellen waarmee Calif de eerste fout vond, zijn voor iedereen beschikbaar. Laat je ontwikkelaars of je IT-leverancier AI inzetten om je eigen code, koppelingen en instellingen te doorzoeken voordat iemand anders dat doet. Calif geeft er een praktische tip bij: AI begint graag bij de nieuwste, bekendste fouten. Wie de geschiedenis van zijn eigen systemen kent, kan het model gericht naar de oudere hoeken sturen.

Stuur op de snelheid van updaten

Als vinden goedkoop wordt, telt vooral hoe snel je repareert. Vraag hoe lang het duurt tussen het verschijnen van een update en de installatie ervan. Dat getal zegt meer over je kwetsbaarheid dan elk beleidsdocument. Leg ook vast wie mag besluiten om een systeem uit voorzorg offline te halen. Op 21 oktober moesten organisaties dat binnen enkele uren beslissen.

Kijk verder dan software

Het principe geldt breder dan beveiliging. Alles wat jarenlang ongecontroleerd bleef omdat controleren te duur was, komt binnen bereik: tegenstrijdigheden in contracten, vervuilde klantdata, afspraken in oude documenten die afwijken van wat er in de praktijk gebeurt. Nu een AI-beslissing bijna niets meer kost, wordt het opschonen van data ineens een klus van een middag. Goed nieuws, mits jij het als eerste ziet.

Elk oud systeem heeft wel een raam dat niet goed sluit

Elk systeem dat al tien jaar draait, heeft ergens een slot dat niet goed sluit. Met AI test binnenkort iedereen ze allemaal. Het verschil zit in wie er het eerst langsloopt.

Wil je weten waar AI in jouw organisatie de grootste impact heeft? Plan een kennismaking in, we denken graag mee.