Kaster den første cybersteinen

Direktør for nasjonal etterretning James Clapper kaller cyberangrep et nasjonalt sikkerhetsproblem, men disse amerikanske alarmene høres hyklerske ut etter den felles amerikansk-israelske cyber-sabotasjen av Irans atomindustri, som den nederlandske dataeksperten Arjen Kamphuis forklarer.

Av Arjen Kamphuis

For noen år siden utviklet israelsk og amerikansk etterretning et datavirus med et spesifikt militært mål: å skade iranske atomanlegg. Stuxnet ble spredt via USB-pinner og satt seg stille på Windows-PCer. Derfra undersøkte det nettverk for spesifikke industrielle sentrifuger ved bruk av Siemens SCADA-kontrollenheter som spinner i høy hastighet for å skille Uranium-235 (bombestoffet) fra Uranium-238 (ikke-bombestoffet).

Iran, som mange andre land, har et atomprogram for kraftproduksjon og produksjon av isotoper for medisinsk bruk. De fleste land kjøper sistnevnte fra spesialister som Nederland som produserer medisinske isotoper i en spesiell reaktor. Den vestlige boikotten av Iran gjør det umulig for Iran å kjøpe isotoper på det åpne markedet. Å lage dem selv er langt fra ideelt, men det eneste alternativet som gjenstår.

Kaskade av gassentrifuger som brukes til å produsere anriket uran. (Fotokreditt: US Department of Energy)

Hvorfor boikotten? Offisielt, ifølge USA, er det fordi Iran ikke vil gi tilstrekkelig åpenhet om sine våpenprogrammer, spesielt militære anvendelser av sitt atomprogram. Denne bekymringen er ganske nylig og har av en eller annen grunn først blitt reaktivert etter det amerikanske angrepet på Irak i 2003 (mye av det originale kjernefysiske utstyret i Iran ble levert av amerikanske og tyske selskaper med finansiering fra Verdensbanken før revolusjonen i 1979 ).

Det mest kuriøse aspektet ved Vestens påstander om Iran er at de aldri er mer enn vage insinuasjoner. Da alle 16 amerikanske etterretningsbyråer i 2007 produserte en felles studie var det en klar konklusjon: Iran utvikler ikke et atomvåpen. (For å se en nylig tale av lederen av denne studien, klikk her..)

Og det er det som er rart. For hvis de 16 amerikanske etterretningstjenestene og deres israelske kolleger, Mossad, alle kan være enige om at Iran ikke lager atomvåpen, hvordan rettferdiggjør du et angrep mot Irans sivile industrielle infrastruktur via dataviruset Stuxnet? Og dette tilsvarer et militært angrep som det ville være klart hvis du tenker på hva som ville skje hvis Iran hadde blitt fanget i et nettangrep på vestlige installasjoner i boresele or Indian Point.

Stuxnet er designet for ett enkelt formål: skaden på atomanrikningsanlegg i Iran, et land som kanskje nettopp utfører disse aktivitetene i samsvar med de internasjonale avtalene fastsatt i Ikke-spredningstraktat. Iran, som de fleste andre land i verden, undertegnet denne konvensjonen. Landene utenfor NPT er Israel, India, Pakistan, Nord-Korea (som trakk seg ut) og det nylig uavhengige Sør-Sudan.

I henhold til PT er en sivil atomindustri tillatt, en detalj som noen ganger unnslipper redaksjonens oppmerksomhet. Jeg sier ikke at den iranske regjeringen er fylt med kjære, men Iran har ikke angrepet noen de siste 200 årene, i motsetning til enkelte NATO-land.

Men Stuxnet har gjort noen ting veldig tydelige for Iran og resten av den ikke-vestlige verden. Det spiller ingen rolle at du overholder etablerte avtaler og traktater. Det spiller ingen rolle at du ikke er en trussel mot Vesten. Det spiller ingen rolle at landene som anklager deg mest for brudd på ikke-spredningsavtalene (for eksempel USA og Israel) selv er grove overtredere; USA ved å levere plutonium til Israel og Israel ved å ikke signere traktaten og i hemmelighet holder 100-200 atombomber.

Så det ser ikke ut til å være noen grunn for deg å holde deg til avtaler eller traktater fordi det ikke garanterer at partene på den andre siden vil gjøre det samme. I tillegg kan det ha en strategisk ulempe. Og hvis du kommer til å ha ulempen med slik påstått oppførsel (mot boikott og trusler om bombing når du ikke bygger et atomvåpen), er det logisk at du kanskje vil ha fordelene.

Det er nesten rasjonelt for Iran å utvikle et militært atomprogram. Nord-Korea ser ut til å slippe unna med det. Som en bonus har Nord-Korea nå noen få atomvåpen, og det er fortsatt den beste garantien for at USA ikke vil dukke opp med uønskede pakker med "demokrati" (selv om mangel på oljebrønner også ser ut til å hjelpe).

På samme måte viste invasjonen av Irak i strid med internasjonale lover mot aggressiv krigføring at USA igjen ikke overholder standardene som de med glede prøver å pålegge andre. Angrepet på Irak ble utført basert på løgner. Sentrale amerikanske og britiske tjenestemenn visste at Saddam Hussein ikke hadde noen masseødeleggelsesvåpen.

Nå, med det amerikansk-israelske cyberangrepet på Iran, er det klart at ingen tar standarder som fordømmer offensiv bruk av cyber-krigføring på alvor heller. Verden og cyberspace er i ferd med å bli et Wild West-skytegalleri.

Og det er akkurat det du ikke vil ha i en verden hvor en håndfull sinte hackere fra Kina, Russland, Iran, Irak eller et hvilket som helst annet land anonymt og i hemmelighet kan ta ned den kritiske infrastrukturen din. Vestlige land er mye mer sårbare på grunn av sin høye grad av automatisering enn land som nettopp har vokst ut av sin tredjeverdensstatus.

Cybervåpen er relativt rimelige og utvikling av dem er vanskeligere å oppdage enn konstruksjon av missiler og hangarskip. Det beste forsvaret mot cyberkrig er å forhindre et våpenkappløp. Alle taper i en nettkrig. Trygghet i en slik sammenheng skapes av moralsk ledelse (starter med: følg dine egne regler) og aktivt arbeid med deeskalering. Og det er akkurat det USA og Israel ikke har gjort.

Med en slik oppførsel er vi sikret en kontinuerlig strøm av nye fiender i land som hovedsakelig ønsker å bli stående i fred, men som bevæpner seg i tilfelle det «frie Vesten» er på jakt i deres region. Hvis du bor i et glasshus, er det smartere å ikke kaste stein (og ikke motivere andre til det).

Arjen Kamphuis er medgründer og Chief Technology Officer i Gendo. Han studerte Science and Policy ved Utrecht University og jobbet for IBM og Twynstra Gudde som IT-arkitekt, trener og IT-strategirådgiver. Siden slutten av 2001 har Arjen gitt råd til kunder om den strategiske effekten av ny teknologisk utvikling.