Probeer maar eens ongezien onze satelliet binnen te dringen. Het was een opvallende oproep die de Europese ruimtevaartorganisatie Esa in april deed. Een van de bedrijven die de uitdaging wel aan wilde gaan was Thales, gespecialiseerd in onder meer defensieapparatuur en de beveiliging daarvan. Een groep hackers in dienst van Thales ging aan de slag.
De beveiliging van satellieten komt steeds hoger op de prioriteitenlijst van overheden en ruimtevaartorganisaties. Onze afhankelijkheid ervan is dan ook enorm. Satellieten zorgen voor onze telefoon- en internetverbindingen, brengen het weer en het aardoppervlak in kaart, verzamelen gegevens voor wetenschappelijk onderzoek. Sinds de Russische invasie van Oekraïne blijkt ook maar weer hoe cruciaal satellieten zijn voor defensiedoeleinden.
Op dit moment vliegen er zo’n 11 duizend satellieten rond de aarde, sommige zo groot als een dubbeldekker. ‘Heel dure apparaten. Maar je kunt geen monteur langs sturen voor een reparatie of om een onderdeel te vervangen’, zegt Roel van Rijsewijk, directeur van het cyberdefenceteam van Thales. ‘Zodra ze actief zijn, veranderen ze in een eigen eiland dat gegevens stuurt, maar waar je weinig invloed meer op hebt.’
Over de auteur
Simoon Hermus is techredacteur voor de Volkskrant. Ze schrijft onder meer over big tech, AI, sociale media en games.
Nu zijn kleinere satellieten in opkomst, die samen grotere taken uitvoeren of zelfstandig opereren. De microsatelliet (zo groot als een fiets), nanosatelliet (skateboard) en picosatelliet (Rubik’s kubus) zijn niet alleen goedkoper, maar kun je in sommige gevallen vanaf de grond nog een update meegeven. Net als bij een Tesla die met een software-update plots zelfrijdend is, kun je een satelliet die al in de lucht hangt nieuwe trucjes laten uitvoeren. Hierin schuilt wel een groot risico: alles wat de eigenaar met een satelliet kan, kan een succesvolle hacker in principe ook. Hoe meer toegang en aanpassingsmogelijkheden, hoe meer kansen om te manipuleren.
Maurits Mulder is een ethische hacker bij Thales. Om de kwetsbaarheden van het systeem op te sporen gedraagt hij zich zoals een kwaadwillende hacker dat zou doen – en slaagde erin volledige controle te krijgen. Ze fotoshopten een ruimteschip in de foto die de satelliet naar de aarde stuurde. De militaire toepassing laat zich raden: je zou op vergelijkbare wijze de vijand kunnen misleiden door een niet-bestaand oprukkend konvooi in de satellietbeelden te plakken. De hackers konden ook de camera de andere kant op laten wijzen, zodat een bepaald gebied buiten beeld bleef. Ook mogelijk: maanden of jaren niks doen om op een cruciaal moment de hele satelliet uit te schakelen – of, in theorie, honderden satellieten tegelijk. Hoe krijgen Mulder en zijn collega-hackers dit voor elkaar?
Het hacken begint niet bij de satelliet zelf, maar bij het grondstation waarmee hij contact onderhoudt. Mulder: ‘Daar moet je een beveiligingsmaatregel omzeilen die vergelijkbaar is met de virusscanner op je computer.’ De hackers maakten een soort paard van Troje: een onschuldige app die vervolgens de kwaadaardige opdrachten van de hacker vanuit het grondstation naar de satelliet stuurt. Maar daarmee waren ze er nog niet.
‘Nu hadden we een ingang als user’, zegt Mulder. ‘Dat is vergelijkbaar met het account op een werkcomputer: medewerkers kunnen niet zomaar externe programma’s installeren, maar de systeembeheerder kan dat wel. Voor volledige controle moesten we die status veroveren.’ Het lukte met reverse engineering, een proces waarbij ze de code helemaal uit elkaar trokken om te kijken hoe hij werkt. Zo vonden ze een ingang om als systeembeheerder commando’s te kunnen sturen. ‘Toen konden we alles met de satelliet doen wat Esa ook kan.’
Thales-topman Van Rijsewijk is trots op de prestatie, maar wil geen paniek zaaien: ‘ Esa stelde hiervoor een satelliet beschikbaar die speciaal is gebouwd om mee te experimenteren. Daardoor heeft die allemaal functionaliteiten en ingangen die normale satellieten niet hebben. Maar in de toekomst hebben ze die mogelijk wel, dus het is belangrijk om ermee te trainen.’
Bij het beveiligen van een satelliet (en eigenlijk alles wat te hacken valt) zijn er twee hoofdstrategieën: preventie en opsporing. Bij preventie kit je kiertjes in de beveiliging zo veel mogelijk dicht door een satelliet te strippen van overbodige software. ‘Nieuwe functies introduceren nieuwe inbraakmogelijkheden en maken je dus kwetsbaarder’, zegt Van Rijsewijk. ‘Maar je wil innovatie ook niet te veel remmen.’ Het opsporen is een kat-en-muisspel: je schat in wat de hacker zou kunnen doen en zorgt dat er een alarm afgaat als dat gebeurt. ‘Je kijkt naar anomalies, activiteiten die afwijken van de routine. Bij het fotoshoppen van een foto zie je dat het beeld misschien drie seconden later arriveert dan normaal, dat is een trigger om te kijken wat er aan de hand is.’
‘Het is geweldig dat de Esa dit doet’, zegt Van Rijsewijk. ‘Bij succesvolle cyberaanvallen wordt de gedupeerde organisatie vaak door de mangel gehaald of krijgt die zelfs een torenhoge boete. Daarmee moedig je mensen aan het zoveel mogelijk onder de pet te houden, terwijl we hier juist allemaal heel open over moeten zijn: alleen dan leren we er iets van.’
Simon Plum is operationeel manager bij de Esa. ‘Cyberaanvallen zijn een constante bedreiging in de ruimte. Wij trainen min of meer zoals een brandweerkorps dat ook doet: je onderzoekt de meest extreme situaties, zodat je overal op bent voorbereid. De satelliet waar Thales inbrak is niet representatief voor de satellieten die we voor onze operaties gebruiken, maar toch is zo’n test als deze heel waardevol. We zijn blij met het resultaat, omdat we hier veel van hebben geleerd. Deze inbraak heeft een directe invloed op toekomstige missies van Esa. En goed voorbeeld doet volgen: Nasa doet binnenkort hetzelfde.’
Om u deze content te kunnen laten zien, hebben wij uw toestemming nodig om cookies te plaatsen. Open uw cookie-instellingen om te kiezen welke cookies u wilt accepteren. Voor een optimale gebruikservaring van onze site selecteert u "Accepteer alles". U kunt ook alleen de sociale content aanzetten: vink hiervoor "Cookies accepteren van sociale media" aan.
U bent niet ingelogd
Op alle verhalen van de Volkskrant rust uiteraard copyright.
Wil je tekst overnemen of een video(fragment), foto of illustratie gebruiken, mail dan naar copyright @volkskrant.nl.
© 2023 DPG Media B.V. - alle rechten voorbehouden