Een ‘responsible internet’: Meer vertrouwen in het fundament van de digitale samenleving (deel 1 van 2)

Het maatschappelijke probleem: toenemende afhankelijkheid, afnemende soevereiniteit

Economieën en samenlevingen zijn in toenemende mate afhankelijk van digitale diensten. Dit omvat ‘gewone’ diensten zoals video-vergaderen, dataopslag en ‘connected homes’, maar ook opkomende veiligheidskritische diensten zoals slimme energienetwerken, zelforganiserende bevoorradingsketens en ambulances die sensordata vooruitsturen naar het ziekenhuis. Hoewel van dit soort diensten wordt verwacht dat ze de samenleving veiliger, slimmer en duurzamer maken, bestaat er over de hele wereld ook steeds meer bezorgdheid over de manier waarop ze de ‘digitale soevereiniteit’ van de samenleving aantasten. Dit komt doordat de onderliggende computersystemen en -netwerken (bijvoorbeeld algoritmen, DNS-diensten en netwerkapparatuur) steeds vaker elders worden gefabriceerd of beheerd, terwijl organisaties en individuen slechts een beperkt inzicht hebben in en controle hebben over hoe ze afhankelijk zijn van deze systemen. Dit is een probleem omdat het uiteindelijk de mogelijkheden van samenlevingen beperkt om autonoom te beslissen en te handelen over hoe ze hun digitale infrastructuur gebruiken, ervan afhankelijk zijn en hoe ze het inrichten. Dit vormt een risico voor publieke waarden als veiligheid, transparantie, privacy en democratie. Het Europees Agentschap voor Cybersecurity (ENISA) onderstreepte onlangs in haar verslag over de digitale soevereiniteit van Europa het belang en de urgentie van het probleem. Ze benadrukte bijvoorbeeld dat de 15 grootste internetbedrijven ter wereld (bijv. Google, Facebook en Alibaba) afkomstig zijn uit de VS of China en niet uit Europa, en dat Europese technologiebedrijven vaak worden overgenomen door niet-Europese bedrijven (53 werden er tussen 2011 en 2016 bijvoorbeeld gekocht door Amerikaanse ‘tech giants’). De risico’s die het agentschap identificeert zijn onder meer dat Europa niet langer in staat is om aan de waarden en verwachtingen van haar burgers te voldoen, afnemende concurrentiekracht en wegvloeien van technische expertise. De Australische regering heeft soortgelijke zorgen en gaat de afhankelijkheden van hun vitale IT-infrastructuur in kaart brengen in het kader van de ‘Security of Critical Infrastructure Act’. Ze kijken daarbij bijvoorbeeld naar wie de eigenaren van bedrijven zijn, samenstelling van de toeleveringsketens en uitbestede projecten.

Relevant in meerdere technische gebieden

Het probleem van afnemende digitale soevereiniteit wordt op verschillende manieren en in verschillende technologische gebieden aangepakt. Zo hebben Artificial Intelligence (AI)-onderzoekers ontwerprichtlijnen ontwikkeld om de beslissingen van AI-algoritmen transparanter en verklaarbaarder te maken door middel van wat zij ‘responsible AI’ noemen. Op een vergelijkbare manier stimuleert de Europese Commissie de ontwikkeling van een Europese federatieve clouddienst met de naam ‘GAIA-X’, die de datasoevereiniteit van Europa moet verbeteren. De Europese Commissie heeft onlangs ook verschillende beleidsinstrumenten in kaart gebracht voor gebieden als 5G-mobiele toegangsnetwerken en het ‘internet of things’. Daarnaast vindt er op verschillende niveaus een intensiverend publiek debat plaats over digitale soevereiniteit, zoals te zien is aan recente publicaties in de reguliere media over publieke beleidsvorming, AI en datasoevereiniteit.

De internetinfrastructuur is de leemte

Hoewel deze ontwikkelingen aangeven dat digitale soevereiniteit een algemeen erkend en urgent probleem is, stellen wij vast dat in deze discussie de internetinfrastructuur grotendeels ontbreekt: de technische systemen (zoals routers, switches en DNS-servers) die het mogelijk maken dat internetapparaten met elkaar kunnen communiceren en waar alle andere ‘lagen’ (beleidsvorming, AI, data) van afhankelijk zijn. De uitzondering is het debat over vermeende veiligheidskwetsbaarheden in 5G-apparatuur. Die vormen volgens de Europese Commissie een risico voor de strategische autonomie van de Europese Unie, maar 5G-netwerken omvatten alleen het mobiele toegangsgedeelte van de internetinfrastructuur. Het specifieke soevereiniteitsprobleem in de internetinfrastructuur is dat gebruikers geen inzicht hebben in of controle hebben over hoe zij afhankelijk zijn van netwerkoperators en hun systemen, wat uiteindelijk een ernstige beperking vormt voor overheden, instellingen, bedrijven en individuen om te beslissen hoe zij veilig kunnen communiceren. Dit is vooral relevant voor vitale dienstverleners (zoals elektriciteitsnetwerken, transportsystemen, mobiele netwerken en productiefaciliteiten), die steeds afhankelijker zijn geworden van computernetwerken. Dergelijke providers willen bijvoorbeeld weten of het internet hun verkeer via netwerken routeert waarvan de apparatuur mogelijk backdoors heeft. Tegelijkertijd zijn internetgebruikers ‘by design’ afhankelijk van derden, omdat het internet een enorm gedistribueerd en mondiaal systeem is van zo’n 70.000 autonome netwerken. Zo maken gebruikers tijdens een typisch websitebezoek, zonder dat ze het weten, gebruik van de diensten van verschillende DNS-operators, transitproviders, clouddiensten en contentdistributie-aanbieders. Deze kunnen allemaal verschillende geografische locaties en verschillende jurisdicties hebben.

Onze visie: een responsible internet

Om deze leemte in de digital soevereiniteitsdiscussie op te vullen hebben we onlangs het concept van een ‘responsible internet’ ontwikkeld, een nieuwe ‘security-by-design’-uitbreiding van het internet (of toekomstige netwerken) die de gebruikers (zoals aanbieders van vitale diensten of individuen) extra securitygerelateerde mogelijkheden biedt waarmee ze meer grip krijgen op hun afhankelijkheden van het internet en zo hun vertrouwen in en hun soevereiniteit over internetcommunicatie verhogen. Een responsible internet bereikt dit door zijn netwerken transparanter, verantwoordingsplichtiger en beter controleerbaar te maken. Dit betekent dat gebruikers een responsible internet kunnen vragen om hoog-niveau-beschrijvingen van de ketens van netwerkoperators (bijv. ISP’s, datacenters en DNS-operators) die mogelijk hun datastromen afhandelen, bijvoorbeeld in termen van hun beveiliging en administratieve eigenschappen, onderlinge relaties en beheerswerkzaamheden die ze hebben uitgevoerd (transparantie). Een responsible internet stelt gebruikers in staat om te controleren of deze gegevens accuraat zijn (verantwoordingsplicht) en om vervolgens de infrastructuur opdracht te geven hun datastromen op een specifieke manier te behandelen, bijvoorbeeld door ze alleen via netwerkoperators met bepaalde verifieerbare beveiligingseigenschappen te laten lopen (controleerbaarheid). Onze notie van een responsible internet is geïnspireerd op responsible AI, een ontwerpparadigma dat zich erop richt om mensen meer inzicht te geven in hoe AI-systemen tot beslissingen komen en waarom, bijvoorbeeld voor vrijlatingen op borgtocht en luchtvervuilingsbeslissingen.

Illustratief voorbeeld: smart grid

Figuur 1 laat een voorbeeld zien waarin een aanbieder van een ‘smart’ grid (links) zijn diensten bouwt op een responsible internet (de grijze wolk in het midden). De grid-aanbieder gebruikt een Security Operations Center (SOC) om zijn elektriciteitsfaciliteiten in het veld (rechts) op afstand te bedienen, bijvoorbeeld om stroomleidingen aan of af te sluiten. In een responsible internet kan het SOC details tonen over de veiligheidskenmerken van de keten van netwerkoperators die de commando’s transporteren waarmee het SOC de veldstations bedient (netwerkoperators 2, 4, 5 en 6) of die deze mogelijkerwijs kunnen transporteren (1, 3, 7, 8 en 9), zelfs als de grid-aanbieder geen zakelijke relatie met hen heeft. Zo koopt de grid-aanbieder in figuur 1 internetconnectiviteit van netwerkoperator 2 voor zijn SOC en van operator 6 voor de connectiviteit in de elektriciteitsstations, maar het SOC kan van de andere netwerkoperators ook een beschrijving opvragen.

Figuur 1. Voorbeeld: grid-aanbieder die een responsible internet gebruikt. NOD is een afkorting van Network Operator Description (bijv. NOD4 voor operator 4).

Een netwerkoperatorbeschrijving is een automatisch te verwerken elektronisch document dat betrekking heeft op de eigenschappen van een operator die van invloed kunnen zijn op de manier waarop de operator met datastromen omgaat. Voorbeelden hiervan zijn beveiligingseigenschappen (bijvoorbeeld als de operator het mogelijk maakt om op afstand de veiligheid van zijn routersoftware te verifiëren), administratieve eigenschappen (zoals jurisdictie en geolocatie), relaties met andere netwerkoperators (bijvoorbeeld outsourcing-relaties) en wijzigingen die de operator aan zijn infrastructuur heeft doorgevoerd (bijvoorbeeld beveiligingspatches van routers). Het SOC in figuur 1 zou bijvoorbeeld de beschrijvingen van operators 2, 4, 5 en 6 kunnen gebruiken om te controleren of de routersoftware op het pad naar het veldstation geen backdoors bevat (transparantie) en om te controleren of al deze 4 operators de nieuwste beveiligingspatches op hun routers hebben geïnstalleerd (verantwoordingsplicht). Het SOC-team gebruikt vervolgens de beschrijvingen van de netwerkoperators om het responsible internet te instrueren de commando’s voor veldstations te transporteren via een keten van netwerkoperators die voldoet aan de eisen van het SOC, zoals dat de routers op het pad gepatcht zijn en gecontroleerd zijn op backdoors.

Een nieuwe manier van internetcommunicatie

Een responsible internet verandert de manier waarop organisaties en individuen over het internet communiceren fundamenteel, omdat het internet momenteel niet de mogelijkheden ondersteunt die het SOC uit figuur 1 ter beschikking staan. In plaats daarvan is het internet een ‘black box’ die gebruikers alleen toestaat om het eindpunt te specificeren waar het netwerk de gegevens naartoe moet sturen. Het pad wordt bepaald door mechanismen buiten de controle van de gebruiker en zelfs buiten de controle van de netwerkoperators. In het voorbeeld van figuur 1 betekent dit dat de grid-aanbieder meestal niet weet van welke netwerkoperator zijn diensten afhankelijk zijn en dat hij weinig controle heeft over welke soorten operators hij zijn verkeer het liefst zou laten transporteren (bijvoorbeeld op basis van de veiligheidseigenschappen van de netwerkoperators). Tegelijkertijd blijft een responsible internet zoals wij dat voor ons zien het open, bottom-up en multistakeholder karakter van het internet volgen. Ons concept van soevereiniteit gaat over serviceproviders en individuen die meer controle hebben over hun afhankelijkheden van de internetinfrastructuur. Het gaat uitdrukkelijk niet om het creëren van door de overheid gecontroleerde of zelfs geïsoleerde nationale netwerken (zoals het ‘Pekingse internet’ of het ‘Moskouse internet’), of om het uitsluiten van technologieën uit specifieke regio's.

Een responsible internet komt ten goede aan een breed scala van gebruikers

Het verbeterde palet van veiligheidsgerelateerde mogelijkheden van een responsible internet biedt niet alleen voordelen voor vitale dienstverleners zoals de grid-aanbieder in figuur 1, maar ook voor beleidsmakers, netwerkoperators en uiteindelijk ook individuele personen. Beleidsmakers: de netwerkbeschrijvingen die een responsible internet biedt, maken een meer datagestuurde en proactieve manier van beleidsvorming, bemiddeling en handhaving mogelijk. Ze stellen nationale beleidsmakers bijvoorbeeld in staat om risicogebieden in hun lokale internetinfrastructuur (bijvoorbeeld machtsconcentraties) te analyseren op basis van historische gegevens. Ook kunnen beleidsmakers netwerkbeschrijvingen invoeren in een platform dat aanbieders van vitale infrastructuren (bijvoorbeeld. grid-aanbieders en transportsystemen) in staat stelt feedback te geven over de veiligheid van de netwerkoperators op basis van empirische data. Netwerkoperators hebben baat bij een responsible internet omdat de netwerkbeschrijvingen hen in staat stellen om grootschalige beveiligingsincidenten proactiever af te handelen. Een netwerkoperator in een responsbile internet kan bijvoorbeeld in zijn beschrijving metadata opnemen die aangeeft welke metingen hij verricht bij de DDoS-aanvallen die hij heeft opgevangen. Hierdoor wordt het voor andere operators veel gemakkelijker om datasets over dergelijke aanvallen te vinden, waardoor ze betere en tijdigere beveiligingsinformatie kunnen verkrijgen. Uiteindelijk stelt dit netwerkoperators in staat om betere beveiligingsbeslissingen te nemen en de beveiliging en veerkracht van hun diensten en die van hun klanten te vergroten. Een responsible internet bouwt een dergelijke gezamenlijke aanpak van internetbeveiliging in het netwerk in. Individuen: op de lange termijn verwachten we dat ook individuen baat hebben bij een responsible internet. Gebruikers van videoconferenties zouden bijvoorbeeld een responsible internet kunnen vragen om te laten zien waar hun videostromen terechtkomen en hun eindpunt mogelijk veranderen naar een datacenter in een andere regio. Videoconferencetool Zoom voegde een dergelijke functie pas aan hun dienst toe als reactie op zorgen over de veiligheid van de dienst, zoals over de opslag van cryptografisch materiaal in datacenters buiten ‘vriendelijke’ jurisdicties. In een responsible internet zouden dit soort faciliteiten integraal onderdeel zijn van de netwerkinfrastructuur en dus beschikbaar zijn voor alle toepassingen, inclusief Zoom.

Deel 2

In deel 2 van deze blog zoomen we in op de aanpak die we voorstellen om een responsible internet te bouwen en geven we een overzicht van de onderzoeksvragen die het met zich meebrengt. Als je je liever meteen in de details verdiept, check dan onze paper.

Met dank aan

Dit werk maakt deel uit van het 2STiC-onderzoeksprogramma (Security, Stability, and Transparency for inter-network Communications). Website: https://www.2stic.nl/ SIDN en de Universiteit Twente zijn medegefinancierd door het onderzoeks- en innovatieprogramma Horizon 2020 van de Europese Unie in het kader van subsidieovereenkomst nr. 830927. Projectwebsite: https://www.concordia-h2020.eu/ De Universiteit van Amsterdam werd gefinancierd door de Nederlandse Stichting voor Wetenschap in het programma Commit2Data (subsidienummer: 628.001.001). Projectwebsite: https://dl4ld.nl/