Het is oorlog maar niemand die het ziet

by Huib Modderkolk

  De Engelse National Crime Agency levert vrij rap een kopie van de Engelse computer. De Russen zeggen toe een kopie te maken en ’m klaar te zetten om vanuit Nederland te downloaden. Dat gaat om onduidelijke redenen toch niet door. Weken later neemt een delegatie met specialisten van de Russische opsporingsdienst FSB een fysieke kopie mee tijdens een bezoek aan Driebergen.

  De onderzoekers komen dichterbij. In de data van de Engelse en Russische computers zien ze dat beide óók weleens verbinding maken met een Nederlandse server. De drie computerservers buiten Iran lijken het aanvalsgereedschap van de dader te zijn. Het Nederlandse ip-adres hoort bij Leaseweb, een van de grootste aanbieders van internetruimte. En dat is een gelukje voor de politie: een computer die in Nederland staat, is te tappen.

  En dus trekt een politieteam in het najaar van 2011 naar een bedrijventerrein net buiten Haarlem. Daar staat een grijze loods met een stevig hek eromheen. Bij de ingang hangen camera’s. Het datacenter van 40.000 vierkante meter is opgedeeld in gangen met stellingkasten met daarin snorrende computers. Drie dieseltanks met 50.000 liter moeten bij stroomuitval een generator voeden die het 48 uur kan uithouden.

  Voor de politie is dit bekend gebied: ze hebben er zelfs standaard een server met tapsoftware klaarstaan. Aansluiten is kinderspel: een kwestie van de juiste server vinden, kabels inpluggen, het internetverkeer omleiden en doorsturen naar Driebergen. Leaseweb moet meewerken als de rechter een tapbevel — met daarin enkel een ip-adres — goedkeurt. Tussendoor lunchen de politiemedewerkers met technici van Leaseweb in Eethuisje De Waarderpolder. Een naast de Saab-garage weggedrukt bruin café met gokkasten.

  Bij een bord friet met kipsaté praten de betrokkenen over wat er aan de hand is. De aanvaller heeft bij Leaseweb een server gehuurd en daarop een VPN-verbinding geplaatst. Bedrijven en particulieren maken vaak gebruik van VPN-verbindingen: een versleutelde datastroom die deels via openbare netwerken gaat. Die zorgt voor een anonieme verbinding tussen het eigen netwerk en een ander netwerk. Particulieren gebruiken hem ook wel om in het buitenland Netflix-series te kijken. Ze verbinden dan eerst met hun VPN-server die in Nederland staat waardoor Netflix denkt dat de persoon ook in Nederland is. De aanvaller denkt met zijn VPN-verbinding slim te zijn maar weet niet dat de Nederlandse politie zijn VPN-server gevonden heeft en nu al zijn verkeer in de gaten houdt.

  De aanvaller is bovendien slordig. In de tapdata zien agenten van het Team High Tech Crime dat hij de VPN-verbinding gebruikt om naar Facebook te gaan. Het gebruikte ip-adres komt overeen met een eerdere vondst in de data van de Engelse server. Daar heeft de aanvaller één keer vanaf zijn eigen computer ingelogd. Een fatale fout. De politie legt de twee ip-adressen naast elkaar: ze gebruiken dezelfde browser (Firefox), dezelfde versie van de browser en dezelfde taalinstellingen (Perzisch). De politie ziet ook bij welk Facebookprofiel de aanvaller inlogt: dat van een Iraanse jongen van in de twintig. Het achterhalen van zijn naam en adres is in een handomdraai gebeurd.

  Een eenling, denken de onderzoekers eerst. Ze geven zijn naam en adres aan de Amerikaanse FBI en Israëlische diensten: ook in die landen zijn bedrijven door dezelfde dader gehackt. Het profiel lijkt te passen. Onder een schuilnaam heeft de dader eerder zijn verantwoordelijkheid opgeëist. Hij zei dat hij alleen handelde. In de systemen van DigiNotar liet hij ook een Perzische tekst achter: ‘Ik zal mijn ziel offeren voor mijn leider.’

  Maar als de onderzoekers het ip-adres in Iran opzoeken, zijn ze niet meer zo zeker van hun zaak. De hacker werkt vanuit een gebouw aan de Imam Khomeinistraat in het centrum van Teheran. Dit gebouw staat niet op het universiteitsterrein of in een woonwijk maar, zo ontdekt de politie, op het terrein van de AJA — het Iraanse leger.

  Meteen rijzen er nieuwe vragen. Handelde hij op instructie? Hoe komt een hacker in een gebouw van het Iraanse leger? De politie wil een rechtshulpverzoek sturen: Iran vragen om informatie over de dader. Maar het team High Tech Crime krijgt te horen dat het genoeg is. Een AIVD’er die het contact verzorgt tussen politie en geheime dienst gaat ervoor liggen. Deze W. is een sluwe en slimme oudgediende van de dienst. Zoon van verzetsstrijders, een zeer christelijke man. Hij zegt tegen het hoofd van de recherche, Wilbert Paulissen, dat hij niet wil dat de politie nog verder onderzoek gaat doen. ‘Een absolute no-go,’ volgens W., die niet vertelt wat de AIVD al weet.

  Ook het ministerie van Buitenlandse Zaken wil op dat moment geen verder onderzoek. De naam van de dader zal niet openbaar gemaakt worden. Het stopt hier, is de kille mededeling. Is hun werk voor niets geweest? vragen onderzoekers van het Team High Tech Crime zich af. Een antwoord krijgen ze niet. Althans: voorlopig niet.

  3

  Het Zwitserland onder de geheime diensten

  Normaal hangt mijn leren, donkerbruine laptoptas aan het stuur van de fiets, zit de iPhone in de binnenzak van m’n jasje en oordopjes in m’n oren. Nu niet. De tas ligt op de redactie van NRC Handelsblad aan het Rokin en de telefoon is weggestopt in een zijvak.

  Ik ben op de fiets onderweg naar een bron. Het is iemand die ik twee keer eerder heb gesproken. De laatste ontmoeting eindigde nogal mysterieus. Hij zei dat hij de volgende keer iets zou kunnen uitleggen. Dan moest ik aan een aantal voorwaarden voldoen: geen telefoon mee, geen contact via sms of mail, afspreken op dezelfde plek en dezelfde tijd, geen aantekeningen maken en als er twijfelachtige types zouden komen, zouden we opbreken.

  We drinken spa rood en icetea. Elke keer als de bediening in de buurt komt, stopt het gesprek abrupt. Hij kijkt schichtig om zich heen en buigt zich daarna weer naar voren. Hij wil iets vertellen over de AIVD. Die heeft de Iraanse ambassadeur in Nederland afgeluisterd, zegt hij op fluistertoon. Overal in de ambassade hingen microfoons. ‘We wisten zelfs wanneer de beste man naar het toilet ging.’

  Ik voel een zekere onrust. Het is de eerste keer dat iemand over een geheime operatie vertelt. Zo werkt het dus: als iemand je vertrouwt, kun je ook achter geheimen komen. Ik bedank hem en zeg toe zijn naam nooit ergens te noemen.

  Het is een kleine stap. Door de NSA-documenten is de techniek wat begrijpelijker geworden. Een mail gaat via zeven plekken van zender naar ontvanger, dit netwerk wordt steeds voller en onoverzichtelijker en de overheid weet lang niet altijd waar de zwakke plekken zitten. Dat verklaart een deel van onze kwetsbaarheid. Een logische volgende vraag is of geheime diensten die kwetsbaarheid uitbuiten of bestrijden. Dat uitzoeken is een hachelijke onderneming, want vind maar eens iemand die erover wil praten.

  Het gesprek met de bron geeft hoop. Het is blijkbaar toch mogelijk om een geheime operatie te onthullen. Dan doet zich een volgend probleem voor: het journalistieke principe dat één bron geen bron is. Hoewel ik niet twijfel aan de onthulling van de bron, kan het niet in de krant. Iemand anders moet het eerst bevestigen. Iemand die net als deze bron gebonden zal zijn aan geheimhouding. Die weet dat op het schenden ervan hoge gevangenisstraffen staan.

  Wekenlang probeer ik het bij allerlei personen. Hier wreekt zich dat geheime diensten met compartimenten werken: een medewerker krijgt alleen toegang tot het eigen onderwerp. Zo wordt het risico op uitlekken voorkomen. Lukraak zoeken in systemen van de dienst is voor medewerkers al helemaal uitgesloten. Elke handeling wordt vastgelegd.

  Ik nodig mezelf weer uit bij personen die bekend zijn met inlichtingendiensten. Drink koffie in wegrestaurants en bij tennisverenigingen. Vooraf garandeer ik de mensen anonimiteit: hun naam zal nooit in de krant staan. Het is de enige manier om überhaupt een gesprek te beginnen. Frustrerend, maar het kan niet anders. De mensen die ik spreek, durven nauwelijks te praten. Ik probeer het ijs te breken door over mijn onderzoek te vertellen en druk ze op het hart dat ik weet wat de gevolgen van dit gesprek voor hen kunnen zijn.

  Na wekenlang vruchteloze gesprekken lukt het eindelijk. Iemand die het kan weten, lijkt het verhaal te bevestigen. Hij doet dat alleen op zo’n omslachtige manier dat ik eraan twijfel. Hij spreekt in hypotheses: ‘Stel dat de AIVD zou willen weten wat de Iraanse ambassadeur uitspookt, dan zou dit een prima methode zijn.’ Het is verwarrend. Ik besluit naar hem terug te gaan om het gesprek over te doen. Weer dezelfde formul
eringen. Met chef Jan Meeus overdenk ik de opties. Zijn conclusie: ‘Het is een manier om de informatie te bevestigen zonder het daadwerkelijk gezegd te hebben.’

  Dat moet het zijn. Zo bevestigt hij de informatie en neemt er meteen afstand van. Op deze manier kan hij er nooit op gepakt worden. Als ik het andere bronnen vraag, lachen die: het blijkt een veelgebruikte truc te zijn. Eindelijk kan het artikel de krant in. ‘AIVD luisterde Iraanse ambassadeur maandenlang af’, luidt de kop. Jaren later kom ik erachter dat er meer speelt rond Iran. Dat er een groter, onzichtbaar conflict gaande is. En dat het alles te maken heeft met de inbraak bij DigiNotar en het politieonderzoek dat zo abrupt eindigde.

  *

  Voordat er in de zomer van 2011 in Nederland een nationale crisis uitbreekt rond het bedrijf in Beverwijk, spelen twee zaken die er op het eerste gezicht niets mee te maken hebben, maar achteraf van groot belang blijken.

  De eerste is een uiterst geheimzinnige aanval op een nucleaire fabriek in Iran. Tussen 2007 en 2009 manipuleert een geavanceerd computervirus de aansturing van Iraanse ultracentrifuges nabij de stad Natanz, zo’n 300 kilometer ten zuiden van Teheran. De centrifuges, bedoeld voor het verrijken van uranium, gaan harder draaien dan de bedoeling is. Iraanse technici snappen er niets van: nergens geven hun systemen een fout aan. Ze staan met de handen in het haar te kijken hoe honderden centrifuges zichzelf kapotdraaien: ze gaan stuk voor de ogen van de verbaasde technici. Meerdere Iraanse experts worden ontslagen en het kernwapenprogramma loopt naar schatting jaren vertraging op.

  De digitale aanval is een gezamenlijke operatie van Amerikaanse en Israëlische geheime diensten. Ze hebben er jaren aan gewerkt. Zij bedachten en schreven het sabotagevirus, dat van onderzoekers die het naderhand bestuderen de naam Stuxnet krijgt. Stuxnet is, voor zover bekend, het eerste offensieve digitale wapen. Het is het begin van een nieuwe fase in de digitale strijd: zonder dat ook maar één Amerikaanse of Israëlische soldaat voet op Iraanse bodem heeft gezet, is een precisieaanval uitgevoerd die net zo schadelijk is als bommen uit een vliegtuig. Later raakt het virus op drift in het wild en besmet het duizenden computers.

  De aanloop naar de aanval is een stuk ingewikkelder geweest dan tot nu bekend is. De Verenigde Staten en Israël zijn niet de enige landen die zich interesseren voor de fabriek in Natanz. Praktisch alle westerse diensten hebben in de jaren na de eeuwwisseling hun aandacht gericht op de nucleaire faciliteit die verstopt zit in ondergrondse gebouwen in rotsachtig woestijnterrein. Ook de Nederlandse AIVD en MIVD zijn betrokken, zo vertrouwen bronnen me in het geheim toe.

  De AIVD en MIVD hebben andere rollen. De AIVD houdt zich bezig met de nationale veiligheid, de MIVD verzamelt inlichtingen voor militaire operaties en de verdediging door Defensie. Cultureel verschillen de diensten nogal, wat regelmatig tot botsingen leidt. Wantrouwen over en weer zorgt ervoor dat ze terughoudend zijn in het delen van informatie. Op enkele terreinen werken ze samen, zoals bij het verzamelen van nucleaire inlichtingen.

  Nederland heeft een lange geschiedenis wat betreft nucleaire informatie. De Pakistaanse atoomgeleerde Abdul Qadir Khan bekwaamde zich in de jaren zeventig in Nederland in de kernfysica. Hij werkte jaren bij een onderzoekslaboratorium in Amsterdam, vestigde zich met zijn Zuid-Afrikaanse vrouw in Nederland, had Nederlandse vrienden en sprak de taal goed. Hij kwam ook weleens in de uraniumverrijkingsfabriek van het Brits-Duits-Nederlandse consortium UCN in Almelo, waar men werkt met de ultracentrifugemethode. Die methode is uniek, andere landen kennen het procedé niet. Het is daarom verboden de techniek te exporteren. Er is strenge controle op maar er zijn even hardnekkige pogingen om die te omzeilen.

  Khan keerde in 1975 plotseling niet meer terug van een bezoek aan Pakistan. Drie jaar later bleek Pakistan in staat de atoombom te kunnen maken. Later heeft Khan zijn atoomkennis ook verkocht aan Noord-Korea, Libië en Iran. De halve Nederlander had zich tegen het Westen gekeerd — de Nederlandse diensten stonden voor een raadsel.

  Door de Nederlandse kennis van ultracentrifuges hebben de AIVD en MIVD al decennia ervaring met het proces van uraniumverrijking en de apparatuur die daarvoor nodig is. De AIVD houdt de inkoopbedrijven daarom nauwlettend in de gaten, vertellen bronnen. Dit zijn de transportbedrijven die soms met valse papieren materiaal verschepen naar landen als Pakistan en Iran. De dienst werkt samen met partners: de CIA, de Duitse BND, de Britse MI5 en de Israëlische Mossad.

  Ziet de AIVD dat zo’n bedrijf — die vaak onder de tap staan — probeert materialen te verschepen, dan attendeert een medewerker het bedrijf op de echte bestemming van de goederen. In sommige gevallen verstoort de AIVD de toelevering. Veel producten gaan namelijk langs Schiphol of de Rotterdamse haven en een vracht of een container is simpel op te houden. Zo gebeurt het dat aluminiumbuizen die door Iran zijn gekocht in het Verenigd Koninkrijk via de Rotterdamse haven worden verscheept. De AIVD onderschept ze, maakt een minuscuul en niet waar te nemen gaatje in de buis en zendt ze door. Omdat de buizen vacuüm dienen te trekken, verliezen ze door dat minuscule gaatje hun functie. De Iraniërs komen daar pas achter als de buizen zijn geïnstalleerd.

  Een andere truc is om peilbakens in de verpakking te stoppen, zodat de AIVD weet waar de spullen naartoe gaan. Dat gebeurt bijvoorbeeld bij luchtdrukmeters. Die zijn cruciaal voor raketten. Geen land in het Midden-Oosten is in staat die te maken. Als luchtdrukmeters bestemd voor bijvoorbeeld Syrië of Iran langs Schiphol of Rotterdam gaan, dan stopt de dienst er een onzichtbaar peilbaken bij. In uitzonderlijke gevallen manipuleert de geheime dienst ook de werking van die apparaten. Een precaire operatie want dit soort meters wordt ook in passagiersvliegtuigen gebruikt.

  Nederlandse diensten die saboteren: ik had altijd het idee gehad dat alleen andere landen dat deden. De Amerikanen, Britten, Israëliërs, Fransen en ook de Chinezen en zeker de Russen. Maar Nederland doet het dus net zo goed.

  Sabotage is niet het enige middel. De AIVD houdt Khan en zijn netwerk nauwkeurig in de gaten. Zijn dochter woont in Amstelveen. Bij de toeleveringsbedrijven in dit netwerk werken mensen die de diensten informeren als er een bestelling wordt gedaan. Ook de CIA is dit netwerk binnengedrongen en het lijkt erop dat westerse inlichtingendiensten vlak na de eeuwwisseling al weten wat er in Natanz staat te gebeuren.

  Een incident in september 2003 zet een aantal zaken in beweging. Het schip BBC China wordt onderschept als het onderweg is vanuit Dubai naar Libië. Op het schip vinden Britten en Amerikanen duizenden onderdelen voor ultracentrifuges. Internationale media smullen van de zaak: een westerse inlichtingencoup voorkomt op het nippertje dat Libië een geheim kernwapenprogramma kan opstarten. De Libische leider Moammar Gadaffi is op heterdaad betrapt.

  Maar onbekend is dat het aan een klein Europees land te danken is dat de smokkel nog net op tijd wordt ontdekt: de Nederlandse AIVD waarschuwt de Britten over de lading, waarna het schip met een smoes naar een haven in Zuid-Italië wordt geleid. Wat er daarna met de lading gebeurt is evenmin bekend.

  De Amerikanen willen de ultracentrifuges in beslag nemen. Dit stuit op bezwaar van Nederland. De kennis van dit proces van uraniumverrijking mag niet geëxporteerd worden. Ook niet naar bondgenoot de Verenigde Staten. Nederland heeft alleen geen mensen ter plekke en dat wreekt zich: de Britten delen de Nederlandse zorgen niet en laten de Amerikanen de spullen meenemen.

  Een paar maanden later komt een verzoek van de Amerikaanse CIA en de Israëlische Mossad binnen bij de AIVD in Leidschendam. Dit soort verzoeken gaat via officiële kanalen, via zogeheten ‘liaisons’ op ambassades: contactpersonen van de diensten in Den Haag. CIA en Mossad zijn partnerdiensten van de AIVD: hun profielen zijn grofweg hetzelfde waardoor de lijntjes kort zijn. De CIA- en Mossad-liaisons hebben een vraag: kunnen de Nederlanders misschien helpen met een fabriek ten zuiden van Teheran? Of, zoals geheime diensten dat zeggen: kan de AIVD ‘toegang genereren’ tot Natanz?

  *

  Dat dit verzoek jaren later zal leiden tot kapotte ultracentrifuges in een ondergrondse fabriek in Iran kan dan nog niemand voorzien. Het is 2004. De Amerikanen zijn onder president George Bush Irak binnengevallen. Ze doen dat met convention
ele middelen: bommen en tanks. Maar de Amerikaanse inlichtingendiensten zijn met een metamorfose bezig. Vlak voordat de bommen op Bagdad vallen, dringen Amerikaanse hackers de computers van het Iraakse leger binnen om de aanval voor te bereiden.

  De metamorfose begint eind jaren negentig wanneer de geheime diensten het internet ontdekken. De Amerikaanse NSA richt in 1997 — nog geen 2 procent van de wereldbevolking heeft dan toegang tot internet — het eerste hackteam op. Niet veel later volgen andere wereldmachten. Een jaar later slagen hackers uit de voormalige Sovjet-Unie erin om de computersystemen van het Pentagon, NASA en andere Amerikaanse organisaties binnen te komen. Ze sluizen duizenden gevoelige documenten weg. De operatie heet Moonlight Maze en vindt plaats in hetzelfde jaar waarin Nederlanders tegen documentairemaker Frans Bromet zeggen dat ze zich geen voorstelling kunnen maken van een leven met een mobiele telefoon.

  Ook de AIVD zet eind jaren negentig de eerste stappen in de digitale wereld. De dienst doet dat schoorvoetend: medewerkers hebben weinig affiniteit met de nieuwe mogelijkheden. Het zijn buitenstaanders die de dienst op sleeptouw nemen. De jonge en onstuimige Ronald Prins bijvoorbeeld. Hij komt in 1998 bij de geheime dienst werken.

  Prins is vergroeid met het opkomende internet en computers. Hij heeft een fascinatie voor scanners, afluisteren en gecodeerde berichten. Als student wiskunde luisterde hij eind jaren tachtig nachtenlang met zijn eigen scanner politiekanalen af in de regio Den Haag. Hij ving ook versleutelde communicatie op van de AIVD. Zo wist hij welke criminelen de politie op het spoor was en hoorde hij over geheime operaties.

  Als de boomlange Prins in 1998 — inmiddels afgestudeerd cryptograaf en een expert in versleuteling — naar de AIVD gaat, schrikt hij van de achterstand. De dienst zet net de eerste stappen op het internet, er werken drie man op zijn afdeling. Dat jaar plaatst de geheime dienst voor het eerst een internettap: bij een terrorismeverdachte in Zeeland. Prins is technisch al in staat om de mailboxen van doelwitten van de dienst binnen te halen, maar juridisch blijkt dat nog niet te mogen. Een wet voor inlichtingendiensten is in de maak; Prins adviseert er een passage over hacken in op te nemen. Dat kan weleens belangrijk worden, zegt hij tegen collega’s.