Het was ergens tussen twee en drie uur ’s nachts. Ik was wakker
geschrokken en voelde het hart in mijn keel bonken. Wat was dat voor een geluid
dat mij wreed uit mijn slaap had gerukt? Het kwam duidelijk van buiten en klonk
als een luide sirene, maar anders dan alle sirenegeluiden die ik kende. Het was
geen voorrangsvoertuig en ook niet het luchtalarm. Eén keiharde toon, daarna
nog twee zachtere, wegstervend in de nacht. Had ik gedroomd? Nee, ik had die
herrie toch echt bewust gehoord? Was mijn vrouw ook wakker-geschrokken? Hè
verdorie, nee, die sliep gewoon nog lekker.
In de loop van de volgende ochtend publiceerde de Stentor het verlossende bericht: “Testtoon luchtalarm wekt deel
van Gelderland en Overijssel”. Volgens een woordvoerder van de veiligheidsregio
was “een collega” vergeten om bij de tweewekelijkse kalibratie “het vinkje bij
de testtoon weg te halen”. Het was dus wel degelijk het luchtalarm geweest,
maar dan niet het geluid dat we allemaal kennen van
de-eerste-maandag-van-de-maand-twaalf-uur.
Die hebben dus niets geleerd van hetgeen in januari in Hawaï gebeurd is.
Daar werd toen alarm geslagen vanwege een ballistische raket die op weg zou
zijn naar de eilandengroep. En drie dagen later meldde de Japanse publieke
omroep ten onrechte dat Noord-Korea een raket had gelanceerd. Inwoners werden
opgeroepen om te schuilen. Wat er in Japan misging weet ik niet, maar de
Hawaïaanse blunder bleek zijn oorsprong te hebben in een knullig ontworpen
gebruikersinterface: een lijstje met tekstuele links waaruit je gemakkelijk de
verkeerde kon kiezen. De hele wereld van interface-ontwerpers bespotte destijds
de HEMA (de Hawaii Emergency Management Agency).
Ik wordt wel eens wakker van koerende duiven, maar deze keer werd ik dus
gewekt door een vinkje. Dat is al net zo knullig als daar in de Grote Oceaan.
Je wilt toch op zo’n scherm niet meer dan een paar grote, verschillend gekleurde
knoppen zien waar superduidelijk op staat wat er gebeurt als je erop klikt? En
dan nog een weet-u-het-zekertje voor de opties waar het publiek iets van merkt?
En bovendien, zo’n kalibratie (het gelijkzetten van de klokken), kan dat niet
volautomatisch, met alle vinkjes in de juiste stand?
Leuk verhaal, hoor ik je denken, maar wat doet dat hier, in de Security
(b)log? Dat zal ik je vertellen. Valse alarmen komen ook voor in ICT-systemen,
en vanuit beveiligingsoogpunt zijn die schadelijk omdat ze het vertrouwen in de
alarmering ondermijnen (“het zal wel weer vals alarm zijn”) en omdat zij
mogelijk de aandacht afleiden van échte alarmen, die daardoor niet of te laat
worden gezien, met schade tot gevolg. Eindgebruikers hebben al genoeg moeite
met het interpreteren van gewone beveiligingsmeldingen (en dat kun je ze
nauwelijks kwalijk nemen), laat staan dat we daar ook nog een handjevol valse
meldingen tussendoor zouden gooien.
Ontwerpers zijn continu bezig met het verbeteren van belangrijke
meldingen. Dat merk je bijvoorbeeld als je naar een onveilige site dreigt te
gaan. Vroeger kreeg je dan veel te veel irrelevante tekst op je scherm,
tegenwoordig staat er alleen nog maar: het is hier niet pluis, haal me hier
weg! En als je toch een keer een goede reden hebt om de onveilige kant op te
gaan, dan moet je behoorlijk je best doen om je een weg te banen door extra
waarschuwingen – de eerder genoemde weet-u-het-zekertjes.
De waarde van informatie over de veiligheid van een site evolueert. Ooit
bedacht men dat je aan gebruikers moest laten zien dat een site veilig is. Het
groene slotje was geboren. Inmiddels hebben bijna alle sites dat groene slotje.
Dat is goed, want het betekent dat die sites beveiligd zijn. Maar het tonen van
dat feit heeft daardoor niet meer echt een functie. Je ziet ook maar nog weinig
auto’s met een sticker die trots het aantal behaalde botsproefsterren vermeldt.
Dat slotje kan dus wel weg, bedacht Google. Veilig is de norm – je hoeft alleen
nog te melden als een ónveilig is. Vanaf het najaar laat hun Chrome-browser
eerst alleen het woord ‘veilig’ achterwege, om in een latere versie ook het
slotje af te schaffen. Andere browsers zullen dit voorbeeld wel volgen, verwacht
ik.
Beste sirenemanagers, willen jullie asjeblieft eens naar het ontwerp van
jullie gebruikersinterfaces kijken? Dat kan vast beter. Alvast bedankt namens
slapend Nederland.
En in de grote boze buitenwereld …
... moet je nog steeds rekening houden met de beruchte “bedreiging van
binnenuit”.
... kunnen jouw klanten door jouw leverancier benadeeld worden.
... is er nu ook een Engelstalige versie van de site Laat je niet hack maken.
... kon de exacte locatie van elke Google Chromecast en Google Home
worden vastgesteld met een eenvoudig script op een website.
... was het al vreemd dat je een biometrisch beveiligd hangslot kon
openen door een paar schroefjes los te draaien, maar het ding is ook gewoon hackable.
... heeft een Duitse bandenfabrikant het zakelijke gebruik van WhatsApp
en Snapchat verboden (en dat zouden meer bedrijven moeten doen).
... is weer een nieuw lek in Intel-processoren bekend geworden.
... is er een gratis QR-code-scanner verschenen. Maar volgens de
commentaren onder dit artikel wil de app toegang tot de microfoon van je smartphone.
Wat zou die app daar toch mee doen?
... draaien fake webshops vaak op opgeheven domeinnamen.
... moet je bij apps die kunnen toveren altijd bedacht zijn op Trojaanse
paarden.
... geldt datzelfde ook voor gratis VPN-diensten.
... houden ook cybercriminelen van traditie.
... zijn terroristen nog niet in staat om grote cyberaanvallen uit te
voeren.
... kun je een redteam inhuren om je aan te vallen.
... valt er nog veel winst te boeken bij de beveiliging van industriële
besturingssystemen.
