I samband med militära konflikter har krigen även förts på Internet, med propaganda via Youtube och Twitter, blockering av sajter och nedstängning av hemsidor via påtryckningar på leverantören av tjänsten eller ägaren av servern. Det förekom under Irakkriget och Libyenkriget och det är ett inslag i konflikten i Syrien. Men det finns också en annan krigföring, där anfallen sker direkt mot programvaran i de enskilda datorerna.

I Counterpunch kan man läsa en artikel om Stuxnet, den ”mask”, datorvirus, som orsakade stora problem i de datorer som används för att styra processen i Irans viktigaste anläggning för anrikning av uran.(1) När Iran anklagade USA och Israel för att ligga bakom virusattacken så avfärdades det som typisk iransk propaganda. Nu är det emellertid klarlagt att Iran hade rätt. Det som kom att kallas Stuxnet var resultatet av ett stort samarbetsprojekt mellan USA och Israel som gick under namnet Olympic Games. New York Times har en artikel om detta och om den undersökande journalistik som klarlagt den intrikata processen bakom installationen av viruset i det iranska datorsystemet.(2) President Bush godkände den första användningen av detta vapen, och Obama har godkänt att nya versioner av Stuxnet har satts in mot Iran.

CounterPunch berättar också en annan historia som belyser hur det kan gå till när världens underrättelsetjänster, ”agencies”,  bryter sig in andra länders datasystem. Eller i de vanliga hemdatorerna hos personer som de vill hålla koll på eller trassla till livet för.

Den som via Internet vill ta sig in i någon annans dator, för att placera ”skadlig kod”, till exempel en ”mask” i den, brukar använda sig av de buggar som finns i alla datorprogram, även de största och finaste, till exempel i webbläsare som  Internet Explorer eller operativsystem som Windows. Buggarna, programmeringsfelen, kan göra att det blir luckor i programmens säkerhetssystem. Nu visar det sig att det har utvecklats en marknad för säkerhetsluckor, där kunskaperna om dem säljs och köps precis som andra varor i en marknadsekonomi.

I princip är det ju så att den som av en slump eller genom systematiskt testande hittar en säkerhetslucka i ett dataprogram, kontaktar programutgivaren och rapporterar sina iakttagelser. Alla tjänar ju på att ha så pålitliga program som möjligt, eller hur? Men en skicklig hacker eller säkerhetsexpert som hittar en intressant bug kan välja att i stället sälja sitt fynd på marknaden. Det finns datorsäkerhetsföretag som ser en konkurrensfördel i att veta sånt som inte andra företag vet, och de kan vara beredda att betala för den kunskapen.

Ekonomitidskriften Forbes berättar emellertid i en artikel på sin hemsida att även olika länders säkerhets- och underrättelsetjänster uppträder som köpare på denna marknad.(3) Och de är beredda att betala rejält. Det kan handla om hundratusentals dollar för exklusiv kunskap om en säkerhetslucka. Dessa säkerhetstjänster har inte för avsikt att informera programutgivaren så att buggen kan rättas till. Tvärtom, ju längre tid som går utan att luckan täpps till desto fler datorer kan  ”säkerhets”-tjänsten bryta sig in i. Tar de sig in i datorer för att bekämpa brottslighet? Knappast, då betalar man inte sådana summor.

En hackare som har något intressant att sälja kan inte bara ringa upp CIA och förhandla om priset. Affärerna sköts naturligtvis via mellanhänder som hemlighåller vilka som är köpare. Forbes återger en intervju med en sådan mellanhand, kallad Grugq, som berättar att försäljning till Kina inte är lönsamt, alltför många hackare i det landet gör att priserna pressas ner. I Ryssland vill maffian gärna köpa, men det är för osäkert, för stor risk att bli lurad. USA är den överlägset största köparen, och den bästa betalaren.

Om cyberkriget, kriget i datorvärlden, är det nya sättet att föra krig, vad är då de som handlar med buggar i datorernas säkerhetssystem? Den nya tidens vapenhandlare?

/Dan Gmark

Länkar:
1) Stuxnet Unbound, CounterPunch 8/6 2012
2) Obama Order Sped Up Wave of Cyberattacks Against Iran, NY Times 1/6 2012
3) Shopping for Zero-Days: A price list for hackers´ secret software exploits, Forbes 23/3 2012