Latest / De Grote Tech Show | BNR / PHP: alles over gebruik, de bugs, de update(s), AI-invloed, 'codesmell' en volgende slachtoffers

Transcript

PHP: alles over gebruik, de bugs, de update(s), AI-invloed, 'codesmell' en volgende slachtoffers · De Grote Tech Show | BNR

0:00
Speaker 1: De grote techshow wordt mede mogelijk gemaakt door Orange Cyber Defense.
0:05
Speaker 1: Van strategie tot uitvoer, jouw cybersecurity in vertrouwde handen.
0:09
Speaker 2: Ben, wat is nu de grootste digitale ramp uit de geschiedenis?
0:12
Speaker 3: De PRP-ramp van afgelopen week die we voorkomen hebben, dus
0:14
Speaker 3: dat werd er niet. Nee, het is de
0:16
Speaker 2: grootste
0:17
Speaker 3: bijna digitale
0:18
Speaker 2: ramp
0:18
Speaker 3: Ik dacht aan de WannaCry in 2017, kan je je
0:21
Speaker 3: nog herinneren waarom? Toen werden heel veel ziekenhuizen in Engeland geraakt.
0:26
Speaker 3: En ik vind als dus... Echt mensen worden geraakt. Logistieke systemen.
0:31
Speaker 3: Dat is vervelend. Je kan geen benzine meer tanken of
0:35
Speaker 3: diesel tanken
0:36
Speaker 2: Ik dacht aan de CrowdStrike update van
0:39
Speaker 3: Windows. Maar dat is niet doden. Dat operaties worden uitgesteld.
0:44
Speaker 3: En dat was met WannaCry. Dus die vond ik...
0:53
Speaker 2: Maar dat is toch geen hack. Dat is gewoon bewust.
0:56
Speaker 2: Ik vraag, wat is de grootste digitale ramp van de
0:59
Speaker 2: burger
0:59
Speaker 3: Oh, digitale ramp. Ik denk gelijk aan cybercrime. Ik vraag
1:02
Speaker 2: digitale
1:03
Speaker 3: ramp.
1:03
Speaker 2: Defineer.
1:04
Speaker 3: Oké, algoritmische tijdslijnen. Ik denk dat dat op dit moment
1:08
Speaker 3: de grootste ramp is. Dat is wel een ramp in
1:11
Speaker 3: slowmotion overigens
1:11
Speaker 2: In
1:11
Speaker 3: slowmotion, maar dan kun je ook weer boetes geven. Gaan
1:14
Speaker 3: we het ook over hebben? Ja,
1:15
Speaker 2: zo komt het toch allemaal weer samen. Goed dat je
1:25
Speaker 2: luistert naar de grote techshow. Tech verandert onze wereld. Hier
1:28
Speaker 2: hoor je hoe. Ik ben Joe van Buurik. En ik
1:29
Speaker 2: ben Ben van den Burg. Ben, draait jouw website eigenlijk
1:31
Speaker 2: op PHP? Ja. Oh, dus jij was ook offline? Alles
1:35
Speaker 3: offline. En nu? Dan gewoon wachten,
1:37
Speaker 2: joh. Ja, werkt het weer? Het is allemaal niet zo belangrijk.
1:39
Speaker 2: Mensen kunnen jou nu niet bereiken. Moeten ze het doen? Oh, heerlijk.
1:42
Speaker 2: Dan moeten ze een bericht sturen via de PNR-app. Dan
1:44
Speaker 2: komt het ook aan bij jou indirect. Dus dat kan.
1:47
Speaker 2: Maar we moeten het vooral hebben over PHP. En heel uitgebreid.
1:50
Speaker 2: Want als het gaat om het ontdekken, het lekken... en
1:52
Speaker 2: de gevolgen van die kwetsbaarheden in PHP... hoe zit dat
1:56
Speaker 2: nou allemaal? Is het echt zo ongekend? Hoe ver strekken
1:58
Speaker 2: de gevolgen daarvan nu nog en de komende tijd? Daarover
2:02
Speaker 2: en toegegeven over weinig anders... gaan we uitgebreid praten in
2:05
Speaker 2: deze toch wel speciale editie van DGTS. In de grote
2:13
Speaker 2: techshow een interview met leiders in digitale innovatie. Uit binnen-
2:16
Speaker 2: en buitenland. En deze week de oprichters van Nadi. Want
2:20
Speaker 2: dat Nationaal Agentschap voor Disruptieve Innovatie is nu ruim een
2:22
Speaker 2: maand een feit. Wat doen ze daar? Wat gaan ze
2:25
Speaker 2: doen met die nu toegezegde half miljard euro? Dat hoor
2:27
Speaker 2: je allemaal in dat gesprek. Dus luister het vooral terug.
2:30
Speaker 2: Want er zitten hele interessante takeaways bij. Als we praten
2:32
Speaker 2: met Jelle Prins en Bo Anacchilla. Nu dan, drie letters
2:35
Speaker 2: die deze week de hele wereld hebben opgeschud. Terwijl en
2:38
Speaker 2: omdat ze al decennia een cruciale backbone van het internet vormen.
2:42
Speaker 2: Van websites met name, PHP, daar hebben we het over.
2:45
Speaker 2: De kwetsbaarheden die daarin ontdekt werden met de update die
2:47
Speaker 2: al onderweg was... maar voortijdig gelekt werden. En ja, dat
2:50
Speaker 2: was een lastige situatie. De technische analyse over verleden, heden
2:54
Speaker 2: en toekomst... die gaan we over enkele minuten bespreken. Maar Ben,
2:57
Speaker 2: eerst nog even, hoe beleven we dit nou met elkaar
3:00
Speaker 2: als zoiets gebeurt? Hectiek.
3:02
Speaker 3: Totale hectiek. Vragen. Behoefte
3:06
Speaker 2: aan duiding
3:07
Speaker 3: Iedereen valt over elkaar heen. Ik vond het wel fijn.
3:11
Speaker 3: Er werd gelijk al heel veel bekend. Dat vond ik
3:14
Speaker 3: wel leuk. Dat is heel erg, maar het is ook spannend.
3:18
Speaker 2: Het is een semi-gecontroleerde katastrofe, zal ik maar zeggen. Er
3:23
Speaker 2: werd iets gecommuniceerd, er kon gehandeld worden. Het overkwam ons wel,
3:29
Speaker 2: maar het is niet dat het misging en ons overkwam. Wow,
3:33
Speaker 2: de Tweede Kamer.nl offline. Wow, DGD offline
3:36
Speaker 3: Wow, RTL gaat straks offline. Tweakers offline. Tweakers offline
3:40
Speaker 2: Als Tweakers
3:41
Speaker 3: als eerste offline gaat, dan weet je
3:42
Speaker 2: dat het
3:43
Speaker 3: erg is. Continu had je dat. En dan moet je
3:46
Speaker 3: niet over verbaasd zijn. Dat
3:47
Speaker 2: snap
3:47
Speaker 3: ik ook wel. Maar toch bracht dat heet het weer arousal.
3:50
Speaker 2: Ik vind het ook heel mooi, even een klein beetje navolstarig...
3:53
Speaker 2: maar dat mag in een situatie als deze, dat we...
3:55
Speaker 2: BNR.nl bleef wel online, maar de back-end was offline... want
3:58
Speaker 2: dat draait op Woodwing, en daar zit ook PHP in.
4:01
Speaker 2: Maar gelukkig had, shout-out naar onze collega Sanne... die had
4:03
Speaker 2: nog net de scherpte om op de online redactie te zeggen... nee,
4:07
Speaker 2: dat PHP is toch wel belangrijk. Joe heeft er net
4:08
Speaker 2: wat over geroepen in de tech-update. Met dank aan de
4:11
Speaker 2: gasten die we hier al in de studio hebben. Daar
4:12
Speaker 2: gaan we toch maar vast even een artikel over schrijven.
4:14
Speaker 2: Dat had ze nog net gepubliceerd, en poef, de back-end
4:17
Speaker 2: was weg. Uiteraard. Dus zo hebben we dat toch maar
4:19
Speaker 2: even gecheft. En wat zegt u nou over hoe we
4:21
Speaker 2: dit ook met elkaar bespreken... in de media en in
4:23
Speaker 2: het land? En misschien ook aan de
4:26
Speaker 3: wereld. Nou, wat ik heel goed vind en heel mooi vind...
4:29
Speaker 3: de urgentie. Iedereen valt er overheen. Weet je, jij gisteren
4:35
Speaker 3: bij Nieuws van de Dag, tien minuten.
4:37
Speaker 2: Ja, openingsshow
4:38
Speaker 3: Nieuwsuur. Eva gisteren. Dus iedereen. Dus mainstream media. Het is
4:43
Speaker 3: niet van, oh ja, daar was een hekje. Logisch, als
4:45
Speaker 3: de Tweede Kamer.nl eruit ligt en DigiD... we gaan nu
4:49
Speaker 3: echt snappen, er is iets fundamenteel aan de hand. Wat
4:52
Speaker 3: ik hoop, Joe... Maar dat zal wel weer niet zo zijn.
4:55
Speaker 3: Het is een hele rare vergelijking, maar hij popte op,
4:58
Speaker 3: dus ik moet hem toch noemen. We hebben de watersnoodramp
5:01
Speaker 3: op 1 februari 1953 in Nederland gehad. En dat was
5:05
Speaker 3: zo heftig, er vielen zoveel doden, nu dan niet. Maar
5:07
Speaker 3: het was zo dat we de deltawerken begonnen. En iedereen
5:10
Speaker 3: voelde urgentie, we moeten iets doen. Ja, maar nu hebben
5:13
Speaker 3: mensen alleen een dag geen pakketjes kunnen laten
5:15
Speaker 2: bestellen. Nee, maar
5:16
Speaker 3: ik hoop, en misschien is dit niet het moment, maar
5:19
Speaker 3: er gaat... in de digitale wereld, want daar begon je mee,
5:22
Speaker 3: dan moet bijna een breekpunt zijn, een decisive moment, waarbij
5:28
Speaker 3: we gaan beseffen, jongens, nu moet er echt iets gebeuren.
5:33
Speaker 3: En ik heb het mij al verteld, maar even niet hier.
5:37
Speaker 3: Ik was van de week bij Elastic en daar vond
5:39
Speaker 3: ik een hele mooie vergelijking.
5:40
Speaker 2: Ja, waar we de CEO Eskil Karni vorig jaar nog
5:42
Speaker 2: leuk over hebben gesproken in de grote techshow.
5:44
Speaker 3: En die vertelde de hele tijd van... de aanvallers nu,
5:48
Speaker 3: dat is op machinespeed worden we aangevallen... en alle infrastructuren
5:54
Speaker 3: worden continu aangevallen. En hij zegt... en de verdediging, dat
6:00
Speaker 3: is mensenspeed. En dat verlies je dus op dit moment altijd.
6:04
Speaker 3: En dat moet veranderen. Dus dat vond ik een hele goeie.
6:08
Speaker 3: En wij hebben volgende week in de grote techshow...
6:11
Speaker 2: Ja, je mag
6:11
Speaker 3: alvast teasen
6:13
Speaker 3: We hadden Job van der Voort van Remote. Ja, dat
6:16
Speaker 3: gesprek hebben we alvast opgenomen. En die vertelde ook dat
6:20
Speaker 3: hij een model had van OpenAI... die dus zijn infrastructuur
6:24
Speaker 3: getest heeft op kwetsbaarheden. En hij zegt zo... Daar kwam
6:28
Speaker 3: echt zo uit. En hij vertelde, mag ik niet openbaar maken...
6:31
Speaker 3: wat het ook kostte om dat te testen. Best wel
6:35
Speaker 3: een bedrag. Maar dit is dus interessant. Dus er zijn
6:39
Speaker 3: bedrijven die krijgen die hele geavanceerde modellen... die heel veel
6:42
Speaker 3: geld kosten om te testen. Daar zit overal kwetsbaarheid in.
6:45
Speaker 3: En nu gaan we dat dus allemaal zien. Er moet
6:48
Speaker 3: nu iets gebeuren. Ik hoop dat het bewustzijn er is
6:51
Speaker 3: dat er echt iets moet gebeuren.
6:52
Speaker 2: Ik had verschillende dingen op mijn bingo-kaart staan voor 2026...
6:55
Speaker 2: maar niet dat we een paradigm shift in cyberveiligheid zouden krijgen...
7:01
Speaker 2: omdat AI zo hard wordt ontwikkeld.
7:04
Speaker 3: Het was eigenlijk, als we een beetje door hadden gedacht, logisch.
7:08
Speaker 3: Het zat in 25 draad.
7:10
Speaker 2: Ja, maar letterlijk het begin van dit jaar was het
7:12
Speaker 2: nog een beetje afdoen. Als in van, ja, is het
7:14
Speaker 2: echt zo? En nu zien we het dus gewoon gebeuren.
7:17
Speaker 2: Ja
7:18
Speaker 3: maar goed, Job van der Voort zei ook, dat horen
7:20
Speaker 3: jullie allemaal volgende week. Ja, vanaf januari, toen de Asians
7:24
Speaker 3: echt kwamen, toen Mittels kwam, boem.
7:27
Speaker 2: Nou, ook daar was nog wel eventjes een curve, maar
7:29
Speaker 2: die curve is nu behoorlijk snel geworden. Nou ja, maar goed,
7:31
Speaker 2: toen ging
7:31
Speaker 3: het snel,
7:32
Speaker 2: hè
7:32
Speaker 3: En dan zie je gelijk weer, oh zo boeiend, het
7:34
Speaker 3: geopolitieke element, Mieters blijft in Amerika, mag dat in
7:37
Speaker 2: Europa? Ja, nee, dat zit er ook allemaal vast. Nee,
7:39
Speaker 3: nee, maar dit is, Joe, dat moet je niet wegwijven. Nee, nee, nee, nee.
7:42
Speaker 3: Dit is essentieel. Ja. En die consequenties zien we dus
7:47
Speaker 3: iedere dag nu
7:48
Speaker 2: Ja, nou goed, we gaan zometeen uitgebreid, zeer uitgebreid, heel uitgebreid,
7:52
Speaker 2: nog uitgebreider, praten over PHP na deze boodschappen. En nu
7:57
Speaker 2: dus maar dat echt uitgebreide gesprek over PHP. De kwetsbeden daarin,
8:00
Speaker 2: de update daarvoor... en bovenal hoe dit alles heeft kunnen gebeuren...
8:04
Speaker 2: en wat ons nog te wachten staat. Die uitgebreide technische
8:08
Speaker 2: analyse doen we uiteraard met de enige man... die ons
8:10
Speaker 2: daar echt alles over kan vertellen. Onze favoriete beroepsnerd, onze
8:14
Speaker 2: favoriete echte tech-expert... onze favoriete kenner van alles wat samenhangt
8:18
Speaker 2: met digitale systemen... vooral cyberveiligheid en digitale soevereiniteit, Bert Hubert. Hallo.
8:24
Speaker 2: Nou Bert, ben je ooit
8:26
Speaker 4: grote aangekondigd? Nee, dit is wel echt over de top
8:29
Speaker 4: Maar dank jullie
8:31
Speaker 2: wel. Jij hebt een hoop meegemaakt. We zaten al te
8:34
Speaker 2: filosoferen in onze redactiesignal. 40 jaar dat jij je nu
8:37
Speaker 2: met computers bezighoudt. Ja
8:39
Speaker 4: dat is helaas wel waar. En waarvan 29 jaar al
8:43
Speaker 4: ik wel eens PHP heb gebruikt. Nou, kun
8:45
Speaker 2: je nagaan.
8:45
Speaker 4: Dus het zit al enigszins in de haarvaten wel. Ja.
8:49
Speaker 4: En ja, dit is een heel bijzonder moment.
8:51
Speaker 2: Ja, is dit nou ook echt een ongekende situatie wat
8:53
Speaker 2: jou betreft? Wat we met PHP hebben gezien de afgelopen
8:55
Speaker 2: pak een beetje 36 uur
8:56
Speaker 4: Ja, dat is best wel ongekend. Met name omdat het
9:00
Speaker 4: dus een... Eén, we dus ontdekt hebben in hoeveel dingen
9:02
Speaker 4: PHP wel niet zit. En dat toch meer dan iedereen dacht.
9:06
Speaker 4: Als je mij had gezegd, zit er PHP in DigiD?
9:08
Speaker 4: Dan had ik gezegd, nee, dat kan ik me niet voorstellen.
9:10
Speaker 4: Maar
9:10
Speaker 2: het bleek zo te zijn. Maar 70% is met name WordPress.
9:17
Speaker 4: Wordpress is
9:18
Speaker 5: een van de
9:18
Speaker 4: belangrijkste blogging engines van de wereld. En ook website engines
9:21
Speaker 4: van de wereld. En daar draai je echt tientallen miljoenen
9:24
Speaker 4: sites op. Dus die 70% is van het aantal website naampjes.
9:28
Speaker 4: Niet zozeer van het aantal bezoekers, maar het is wel
9:30
Speaker 4: een heel groot ding natuurlijk. We
9:33
Speaker 2: hebben het over 70% van de websites van de wereld.
9:35
Speaker 2: Ik heb jou horen zeggen bij BNR op de radio,
9:38
Speaker 2: apparaten bij mensen thuis, bij instanties. Waarom zit PHP op
9:43
Speaker 2: zoveel plekken?
9:44
Speaker 4: Ja, dat is het gekke. PHP is een beetje... Zelfs
9:47
Speaker 4: al toen het begon werd het gezegd dat het niet
9:49
Speaker 4: echt professioneel was. Een soort rubberen elastiek wat overal
9:54
Speaker 2: inzetbaar is
9:54
Speaker 4: Een soort do-it-zelf
9:55
Speaker 1: oplossing
9:56
Speaker 4: En ook toen ze ermee begonnen was het ook echt zoiets...
9:58
Speaker 4: want dan kon je dus midden in een webpagina... kon
10:01
Speaker 4: je een stukje programmacode zetten die iets ging doen. En
10:03
Speaker 4: die zat dan midden in die webpagina. En daarvan toen
10:06
Speaker 4: ook al zeiden allerlei professionals... nee, die webpagina is voor webdesigners...
10:09
Speaker 4: en programmeren is voor programmeurs. En die twee dingen moet
10:12
Speaker 4: je niet bij elkaar samen stoppen... want dan krijg je
10:14
Speaker 4: webdesigners die gaan programmeren... of erger, programmeurs die gaan webdesignen.
10:18
Speaker 4: Dus aan het begin af aan was het al een
10:20
Speaker 4: beetje amateuristisch. Ook de eerste programmeurs daarvan waren ook echt
10:23
Speaker 4: behoorlijke YOLO-figuren. Die hadden zoiets van, kijk nou wat voor
10:27
Speaker 4: een cools ik gebouwd heb. En toen ik er in
10:29
Speaker 4: 1997 mee begon, sprak dat mij eigenlijk wel aan op
10:32
Speaker 4: een bepaalde manier. Want
10:33
Speaker 3: de
10:34
Speaker 4: serieuze programmeurs toen waren bezig met Java Enterprise Beans. En
10:39
Speaker 4: dat is het minst leuke manier van programmeren ooit. Een PHP, werkelijk,
10:43
Speaker 4: je kan in drie minuten... heb je een werkende site.
10:45
Speaker 2: Ja, ik weet nog, toen ik Nintendo Hobby Sites maakte...
10:48
Speaker 2: als ik niet bouwde, ik schreef er artikelen voor in 2004, 2005...
10:51
Speaker 2: werd ook met PHP de website gemaakt door de
10:53
Speaker 4: jongens die dat konden. En wat er toen gebeurd is,
10:55
Speaker 4: ontzettende hoeveelheden mensen... was dat hun gateway drug, hun eerste
10:59
Speaker 4: geprogrammeerde website. En daardoor stonden er tientallen miljoenen mensen... die
11:04
Speaker 4: daar handig mee waren... En vervolgens moet iemand een keer
11:07
Speaker 4: voor zijn firewall doosje... ook een user interface maken. En
11:11
Speaker 4: die denkt, nou, ik ben wel handig met PHP. Gratis.
11:15
Speaker 4: Gaan we doen. En zo in de afgelopen 29, 30 jaar...
11:19
Speaker 4: is PHP dus terechtgekomen in alles... inclusief dus ook netwerkbeveiligingsapparatuur.
11:26
Speaker 2: Gewoon omdat dat handig gevonden werd. Ja, het is wel handig.
11:29
Speaker 2: Maar het is ook efficiënt
11:31
Speaker 4: bijvoorbeeld.
11:31
Speaker 2: Dus als je
11:31
Speaker 4: een klein apparaatje hebt... daar zit geen monsterlijk goede processor in.
11:35
Speaker 4: Dus daar moet iets kleins en efficiënts in... zodat hij
11:38
Speaker 4: een beheersinterface heeft
11:40
Speaker 4: Nou, dan... de kantoorautomatiseringsmensen zouden een complete Java-stack uitrollen. Maar één,
11:46
Speaker 4: die is duur. En twee, die past niet in jouw firewall-apparaatje.
11:49
Speaker 4: Dus PHP ligt dan geweldig voor de hand. En ook
11:52
Speaker 4: omdat er al heel veel libraries voor waren. Top, gewoon
11:56
Speaker 4: in mijn mening doorgaan. En als je dus nu kijkt, dan...
12:00
Speaker 4: Dus modems ook, dus Ziksel, OPN, PF Sense en allerlei NAS'en...
12:06
Speaker 4: waar mensen dus bestanden op slaan, dat is allemaal PHP. Heerlijk.
12:10
Speaker 4: En het spannende is nu, kijk, deze week toen dat
12:13
Speaker 4: PHP-geval uitbrak... we kunnen echt applaus voor onszelf... Iedereen heeft
12:19
Speaker 4: dezelfde dag actie ondernomen. Dus de helft van alle gemeentewebsites
12:23
Speaker 4: lag er gisteren uit. Dat zijn geen IT-voorlopersgemeentes. Maar we
12:27
Speaker 4: hebben die mensen bereikt. En ik zeg even
12:29
Speaker 2: we
12:30
Speaker 4: Nederland heeft dus een heel goed ecosysteem hiervoor. En daarom
12:33
Speaker 4: was het op de radio en op televisie... in vier
12:36
Speaker 4: programma's tegelijkertijd... Waaronder Lubach.
12:39
Speaker 2: Ik kreeg ook de vraag in de voorbereiding op de
12:41
Speaker 2: televisietoestanden hierover. Gebeurt dit alleen in Nederland? Ik zei nee,
12:45
Speaker 2: dit is internationaal. Maar in Nederland zijn we blijkbaar zo
12:48
Speaker 2: ver digitaal dat we dit goed oppakken.
12:50
Speaker 4: Vannacht heeft de Financial Times en de New York Times
12:52
Speaker 4: erover geschreven. En in Nederland waren we al klaar.
12:55
Speaker 2: We hadden
12:56
Speaker 4: voor de verandering een keer voorloopt
12:57
Speaker 2: We
12:57
Speaker 4: hebben een hele goede pijplijn van obscure berichten in security
13:03
Speaker 4: forums naar mainstream tv.
13:06
Speaker 2: Daar moet ik jou ook wel een rol in toedichten.
13:08
Speaker 2: Want jij tipt ons dan, hey jongens, hier moeten we
13:10
Speaker 2: iets mee doen. Kijk, die
13:11
Speaker 4: pijplijn die loopt door de mensen die goed opletten op internet.
13:14
Speaker 4: En dan journalisten die zeggen, nou oké, als deze jongen
13:16
Speaker 4: dat zegt... dan zal het wel nieuws zijn. En terwijl
13:19
Speaker 4: in andere landen zitten... Ik word nu ook vrij veel
13:22
Speaker 4: gebeld uit België, want daar zitten ze nu al wel.
13:24
Speaker 4: We
13:25
Speaker 3: zitten nu in de gaten. Maar mogen we even terug
13:27
Speaker 3: naar die... Want kijk, op zich is het natuurlijk niet
13:29
Speaker 3: zo bijzonder. Iedereen weet, er zitten overal kwetsbaarheden in. Dus
13:32
Speaker 3: we wisten al heel lang, daar zit een kwetsbaarheid in. Ja.
13:35
Speaker 3: Het gaat natuurlijk om hoe je met die kwetsbaarheden omgaat.
13:39
Speaker 3: En daar is een en ander niet goed gegaan. Kunnen
13:43
Speaker 3: we een beetje vanaf het begin een postmortem maken... van
13:46
Speaker 3: wanneer het begon, die kwetsbaarheid 2024, zoals ik heb onderzocht.
13:50
Speaker 3: Daar werden de eerste signalen en hoe dat is opgepakt...
13:53
Speaker 3: en welke momenten we allemaal hebben
13:55
Speaker 4: Nou, wat er al veel eerder is het zo... Je
13:58
Speaker 4: hebt een fenomeen, ik ga een klein stapje terug doen.
14:00
Speaker 4: Een fenomeen dat heet codesmell. Codesmell, zeg maar stinkende programmeercode. Ja, mooi.
14:05
Speaker 4: En soms zie je in een computerprogramma, kijk je naar
14:08
Speaker 4: de broncode... en denk je, ja, ik zie de bug
14:10
Speaker 4: nog niet, maar ik ruik hem wel. En ik weet gewoon,
14:14
Speaker 4: iemand hier, dit is zo precair. Dit is zo gevoelig,
14:18
Speaker 4: zo fragiel geprogrammeerd. Ik weet dat als iemand hier ergens
14:21
Speaker 4: in plaats van... kleiner dan 1 neerzet, kleiner... of gelijk
14:25
Speaker 4: aan één, dan weet ik, dan is het al mis.
14:27
Speaker 4: Dus het zijn vlijmscherpe randjes. Men had al veel eerder
14:31
Speaker 4: dan 2024 al gezien van ja, deze code is echt
14:34
Speaker 4: wel levensgevaarlijk. Jong leren met cirkelzagen. En als je daar
14:40
Speaker 4: heel goed in bent, dan kan je dat doen. En
14:41
Speaker 4: dat was voor opslag. Dus wat die code deed? Ja,
14:44
Speaker 4: wat die code doet, is PHP wordt dus gebruikt om
14:47
Speaker 4: websites mee te maken. En een heleboel verschillende mensen kunnen
14:50
Speaker 4: natuurlijk tegelijkertijd jouw website bezoeken. Ja. Nou, PHP kan ook
14:54
Speaker 4: computergeheugen gebruiken, kan dat ook opmaken. En dan zou de
14:58
Speaker 4: hele website down gaan. En om te voorkomen dat dat gebeurt,
15:01
Speaker 4: wordt ieder webbezoek, iedere pagina die wordt gegenereerd, heeft een
15:06
Speaker 4: eigen individuele geheugenlimiet. En als één pagina dus te veel
15:11
Speaker 4: geheugen zou gebruiken... dan is het echt PHP, oké, die
15:15
Speaker 4: pagina stoppen we. Maar we stoppen alleen die pagina. Dus
15:18
Speaker 4: we gaan niet de hele website onderuit halen... maar alleen
15:21
Speaker 4: dat ene boefje wat te veel geheugen. En dan heb
15:23
Speaker 4: je daar opeens een 404. Ja, en dan ben je
15:25
Speaker 4: 500 error. Maar in ieder geval, dan bescherm je dus...
15:30
Speaker 4: de onderlinge gebruikers worden van elkaar beschermd.
15:32
Speaker 2: Dat is
15:33
Speaker 4: niet één iemand die je hele backend opneemt.
15:34
Speaker 2: Dat niet de hele domino-lading
15:36
Speaker 4: omvalt. En hoe hebben ze dat nou gedaan... Iedere keer
15:39
Speaker 4: als in PHP een stukje geheugen wordt gebruikt... dan houdt
15:42
Speaker 4: hij een tellertje bij. En zodra hij ziet dat je
15:46
Speaker 4: te veel geheugen hebt gebruikt... dan springt hij terug naar
15:51
Speaker 4: het begin van de pagina... en zegt hij, geef maar
15:53
Speaker 4: een errorcode. En dat is een linkerstunt. En wat bleek nou?
16:00
Speaker 4: Het is mogelijk gebleken om dat ding... een opruimactie te
16:06
Speaker 4: gaan laten houden. Dus als hij dan terugspringt, dan moet
16:08
Speaker 4: hij al dat geheugen wat hij tot nu toe gebruikt heeft,
16:10
Speaker 4: moet hij allemaal weer netjes teruggeven. En het blijkt me,
16:12
Speaker 4: men heeft een trucje gevonden, dat je hem al dat
16:15
Speaker 4: geheugen kan laten opruimen, nog voordat dat geheugen daadwerkelijk gebruikt was.
16:20
Speaker 4: En op dat moment wordt er twee keer opgeruimd. En
16:23
Speaker 4: dat is een pad waar allemaal hackers doorheen kunnen, want
16:25
Speaker 4: als er een geheugen dubbel wordt opgeruimd... dan kan je
16:29
Speaker 4: daarna de nieuw data erin stoppen. Het vergt wat ver
16:31
Speaker 4: om dat allemaal uit te leggen. Maar de essentie van
16:34
Speaker 4: de fout die ze hebben gemaakt... en die hadden we
16:35
Speaker 4: echt al wel eerder kunnen zien
16:37
Speaker 4: is dat je zei, je bent hier aan het jongleren
16:39
Speaker 4: met kettingzagen... want je bent heel nauwkeurig steeds aan het optellen...
16:43
Speaker 4: en als er een stukje geheugen werd vrijgegeven... dan werd
16:46
Speaker 4: dat er met de hand weer uitgehaald. Dus die mensen
16:48
Speaker 4: zaten met de hand een complete boekhouding bij te houden...
16:52
Speaker 4: van al het geheugen wat werd gebruikt. En dan wist
16:55
Speaker 4: je al, dat was die codesmel waarmee ik begon. Dus
16:57
Speaker 4: als ik die code had gelezen in 2020... dan had
17:01
Speaker 4: ik al gezegd van, nou, ik zie de bug nog niet, maar...
17:04
Speaker 4: Er gaat iets komen.
17:05
Speaker 3: Maar er waren dus mensen die hadden dat dus gezien...
17:08
Speaker 3: in die hele PHP-community. In 2024 al, zeg jij.
17:11
Speaker 2: Maar al eerder hadden ze die
17:12
Speaker 3: codesmel. We
17:14
Speaker 4: moeten er iets aan doen. Maar die community, die gingen
17:16
Speaker 4: niet snel genoeg. Maar wat gebeurde er toen, en dat
17:18
Speaker 4: is waar het best wel interessant wordt... Als je zoiets ziet,
17:21
Speaker 4: dan zeg je... stel je nou voor dat dit fout gaat,
17:23
Speaker 4: wat zou het gevolg dan zijn? In eerste instantie is
17:27
Speaker 4: dat een crash van de website. Dat is al niet leuk, hè?
17:30
Speaker 4: Maar men heeft toen heel lang zitten kijken... kunnen we
17:33
Speaker 4: ons een manier voorstellen... dat een aanvaller die crash om
17:37
Speaker 4: zou kunnen zetten in een actieve hack? Zou het lukken
17:41
Speaker 4: om hiermee door te dringen en de website over te nemen?
17:44
Speaker 4: En toen had iedereen ernaar gekeken en zei van... nee,
17:46
Speaker 4: het ziet er wel maar shit uit, maar... Ik denk
17:48
Speaker 4: dat je alleen maar vandalisme kan doen hier. Je kan
17:51
Speaker 4: het alleen maar slopen. Het
17:52
Speaker 2: heeft
17:52
Speaker 4: geen consequenties. Je kan er geen exploit doorheen sturen. Dus
17:55
Speaker 4: je kan de website wel tijdelijk stuk maken. Maar dat
17:58
Speaker 4: kan altijd wel. Maar je kan er niet mee de
18:00
Speaker 4: hele webserver overnemen. En dat was een inschatting die toen
18:04
Speaker 4: is gemaakt
18:05
Speaker 4: En die inschatting bleek dus incorrect.
18:08
Speaker 3: Ja
18:09
Speaker 3: maar nu ga je echt te snel. Nee, maar wacht even.
18:14
Speaker 3: Wat is je punt dan? Naar mijn idee, dat was
18:17
Speaker 3: verkeerd ingeschat... maar ze waren bezig met een patch om
18:21
Speaker 3: dat op te lossen. Ik ga nu wel in de
18:22
Speaker 3: post moeten, maar heel snel. Nu
18:23
Speaker 4: ga je wel hele gekke
18:24
Speaker 2: sprongen maken
18:26
Speaker 4: Ik denk dat ik weet wat je bedoelt. Ze hadden
18:27
Speaker 4: toen dat gezien... Toen heeft men het weggeredeneerd. Wij kunnen
18:32
Speaker 4: ons nu niet voorstellen dat iemand hiermee kan hacken. Precies.
18:34
Speaker 4: Dus laat deze bak ellende hier maar liggen.
18:38
Speaker 2: Het is een rot muurtje, maar het staat niemand in
18:41
Speaker 2: de weg. Dus laat maar staan
18:42
Speaker 4: En de reden dat ze dat hebben gedaan... is dat
18:45
Speaker 4: hier is heel veel tijd in geïnvesteerd. In dat precieze
18:47
Speaker 4: optellen en afwekken allemaal. En ze hadden een hele bijzondere
18:51
Speaker 4: techniek gebruikt. En als ze dat wilden oplossen, en dat
18:53
Speaker 4: blijkt nu ook, die patch die gisteren... Er is dus
18:57
Speaker 4: een update uitgekomen die het probleem opheft. Idealiter hoop je
19:02
Speaker 4: dan dat je een oplossing hebt, een pleister van vier regels.
19:06
Speaker 4: Dat hebben we niet gekregen. We hebben 12.000 regels gekregen.
19:09
Speaker 4: Want het bleek dat om dit op te lossen, moesten
19:12
Speaker 4: ze eigenlijk best wel een heel groot stuk van PHP herprogrammeren.
19:16
Speaker 4: Dus het was veel fundamenteeler. Het is veel fundamenteeler. En
19:20
Speaker 4: dat boezemt mensen nu ook angst in. Want ze hebben
19:23
Speaker 4: zoiets van, je hebt het probleem nu op 250 plekken opgelost.
19:26
Speaker 2: En hoe meer nieuwe regels
19:28
Speaker 4: coden, hoe groter het risico dat er weer nieuwe
19:31
Speaker 2: works ontstaan.
19:31
Speaker 4: Even een voorspelling te doen. Ik denk dat ze ongetwijfeld
19:34
Speaker 4: bij het oplossen ook wel wat foutjes gemaakt hebben. Maar
19:37
Speaker 4: denk je dat of weet je
19:38
Speaker 2: dat eigenlijk
19:38
Speaker 4: al? Dat weet ik, maar laat ik even goed zeggen
19:40
Speaker 4: wat ik daarmee bedoel. Daarmee bedoel ik niet dat er
19:42
Speaker 4: nog steeds gehackt kan worden. Ik denk dat ze dat
19:45
Speaker 4: wel op voldoende plekken dicht hebben gedaan. Maar ik geloof
19:47
Speaker 4: best wel dat ze in die 250 fixes ergens anders...
19:49
Speaker 4: wel een foutje gemaakt hebben. Waardoor bijvoorbeeld iemand nu makkelijker
19:53
Speaker 4: een hele site omver kan duwen. Omdat daar dan staat van,
19:56
Speaker 4: ik zie dat jij me bijna gaat hacken. En dan
19:58
Speaker 4: val ik om.
19:59
Speaker 3: Maar we zijn nu al, kijk, de dramatiek en de
20:03
Speaker 3: angst en de paniek ontstond natuurlijk dat het is uitgelekt.
20:07
Speaker 3: Weet je, dat die patch moest eerder komen. Dus het
20:10
Speaker 3: gaat eigenlijk om dat lek op 20 oktober. Dat hackers,
20:13
Speaker 3: dat het
20:14
Speaker 2: op
20:14
Speaker 3: social media is geplaatst.
20:15
Speaker 2: Nou ja, en als ik het goed begrijp. Zijn notabene OpenAI,
20:22
Speaker 2: Wiz en Khalif met PHP samen... hier met alle moderne
20:26
Speaker 2: AI-mogelijkheden naar gaan kijken. Hebben vastgesteld dat het is wat
20:30
Speaker 2: jij net eigenlijk uitlegde. Nou, dit is toch wel een probleem.
20:32
Speaker 2: Is PHP al aan die fix gaan werken? Had het nieuws... Jongens,
20:37
Speaker 2: deze kwetsbeden zijn er op donderdagochtend... of donderdag naar buiten
20:40
Speaker 2: moeten komen, terwijl de update er al was. Maar het
20:42
Speaker 2: is gelekt dat die bugs er zijn. En daarom hadden
20:45
Speaker 2: we de situatie die we woensdag deze
20:46
Speaker 4: week hebben
20:47
Speaker 2: meegemaakt. Ik kom hier met
20:48
Speaker 4: twee dingen, want er waren dus wat hints... uitgelekt. Dat
20:52
Speaker 4: is ook veel via de commerciële beveiligingsindustrie gegaan. Dus er
20:55
Speaker 4: waren allemaal bedrijven die hadden al via-via advance warning gekregen.
21:01
Speaker 4: En dat via-via is dan het... Oude jongens, old boys network.
21:05
Speaker 4: Mensen die elkaar kennen. En daardoor is er zijn er
21:08
Speaker 4: flarden van het verhaal uitgelekt. Maar die flarden bleken al
21:11
Speaker 4: genoeg te zijn... dat mensen dachten van... nou, nu kan
21:15
Speaker 4: ik dit ook wel gaan exploiten. Mag
21:18
Speaker 3: ik even over dat oorpoort? In signalberichten zitten ze naar
21:22
Speaker 3: elkaar of op Slack... en uiteindelijk post iemand dat dan wel. Ja,
21:26
Speaker 3: die denkt dit is leuk, dit wil ik echt gaan delen.
21:28
Speaker 4: Ze hebben hier niet... Dit zijn nerds... High. Je wordt
21:32
Speaker 4: gewoon van zo'n hack als je zoiets hebt.
21:34
Speaker 2: Daar
21:34
Speaker 4: word je gewoon helemaal high van.
21:35
Speaker 2: Dit is waarom
21:35
Speaker 4: mensen het doen. En je ziet ook, ze hadden dus
21:37
Speaker 4: een filmpje gemaakt... waar ze met hun exploit WordPress en Joomla...
21:43
Speaker 4: Dat is een heel grappig filmpje met een dansend mangameisje.
21:46
Speaker 2: Een hele hysterische muziek. Maar dan
21:48
Speaker 4: zie je dat die mensen er al zo high van waren.
21:52
Speaker 4: En dat filmpje stond al vier dagen op YouTube. Oh. Ja,
21:55
Speaker 4: alleen unlisted. Maar deze mensen hebben niet de discipline van
22:01
Speaker 4: een inlichtingendienst. Want daar zou je nou zeggen, niemand van
22:05
Speaker 4: jullie praat. Maar
22:07
Speaker 2: wie zou er dan een belang bij hebben om dit
22:09
Speaker 2: te lekken? Of is het echt gewoon, zoals ze op
22:11
Speaker 2: het internet zeggen
22:12
Speaker 4: voor lols? Ja, voor de lols of net. Je moet weten,
22:16
Speaker 4: als je dus geheimen bewaart, is een vak... En een
22:20
Speaker 4: van de eerste dingen, als je een geheim wil bewaren...
22:21
Speaker 4: moet je ervoor zorgen dat andere mensen niet weten dat
22:24
Speaker 4: jij een geheim hebt. Maar dan zitten al die mensen
22:26
Speaker 4: een beetje zo van... ik weet zoiets spannends. En
22:30
Speaker 3: dan gaat
22:30
Speaker 4: iedereen zeggen, wat voor een spannend. En dan zeg je,
22:33
Speaker 1: ik wil een
22:33
Speaker 4: hint geven, begin met P. En binnen de kortste keren
22:38
Speaker 4: lekt dat. Dus die mensen... Hoe groot is zo'n groep? Nou, dit...
22:45
Speaker 3: Dat is een gemeenschap. Nou bevinden ze zich.
22:48
Speaker 4: Nou ja, kijk nu is het blijft. Kalief is er heel.
22:51
Speaker 4: En die jongens zijn knap. Want ik wil nog even aangeven.
22:55
Speaker 4: Dat gat wat ontdekt is. Daar hebben dus mensen al
22:58
Speaker 4: vijf jaar naar zitten kijken. Over het algemeen zonder AI.
23:02
Speaker 4: Zonder AI, maar zelfs met de AI was niet zo.
23:06
Speaker 4: Want ook zelfs met AI is er al heel veel
23:08
Speaker 4: naar gekeken. Dus deze PHP-code was al zes keer gescand.
23:11
Speaker 4: Maar dit vergde dus iemand die onwijs goed er zelf
23:14
Speaker 4: mee is. En die daarmee nog meer vragen aan de
23:17
Speaker 4: AI kon stellen. Wat vind jij hiervan? Wat heb je
23:20
Speaker 4: daar gevonden? Dus dit is een... Een zeldzaam geval waarin
23:23
Speaker 4: je zegt... oké, hier was de AI plus de mens...
23:27
Speaker 4: was gewoon onverslaanbaar.
23:29
Speaker 2: Maar dat vind ik een heel belangrijk punt, Bert. Want
23:31
Speaker 2: wij hadden het net al eventjes in het gesprek over...
23:33
Speaker 2: wat we allemaal waarnemen wat er dit jaar met de
23:35
Speaker 2: AI gebeurt. We hebben jou ook vaak goed onderbouwd kritisch
23:38
Speaker 2: over AI gehoord. Maar ik hoorde ook in jouw woorden doorklink...
23:41
Speaker 2: ook wat jij deze week op BNR hierover verteld hebt.
23:44
Speaker 2: Het kan nu echt indrukwekkende dingen. Daar wil ik jou
23:47
Speaker 2: even over horen. Dat is
23:48
Speaker 4: echt waar. Zonder de AI hadden ze dit niet gevonden...
23:54
Speaker 4: Zonder de mens had de AI het ook niet gevonden. Nee, oké,
23:56
Speaker 2: dus het helpt
23:57
Speaker 4: elkaar. Het is een fiets. Het is een fiets. Maar kijk,
23:59
Speaker 4: er wordt dus vaak gezegd van de AI in juiste
24:02
Speaker 4: handen kan je hele knappe dingen mee doen. Ja
24:04
Speaker 2: maar ook hele kwaadaardige
24:05
Speaker 4: dingen
24:05
Speaker 2: Hele
24:05
Speaker 4: kwaadaardige. Ja, dus knap in de soort neutrale zin van indrukwekkend.
24:09
Speaker 2: Juist. Ook al is het slecht.
24:12
Speaker 4: En dat vind ik, dat moeten mensen niet ontkennen. Dus
24:17
Speaker 4: als je kritisch bent op AI. Je mag best kritisch
24:19
Speaker 4: zijn op AI. Dat ben ik ook heel erg. Maar
24:21
Speaker 4: je kan niet zeggen dat dit niet gebeurd is. Maar
24:24
Speaker 4: dat was een jaar geleden nog niet aan de hand.
24:26
Speaker 4: Nee dat was het niet. Maar het is ook wel
24:28
Speaker 4: heel belangrijk om te weten. Deze mensen. Men heeft al.
24:31
Speaker 4: Twee jaar lang is iedereen met AI in PHP aan
24:34
Speaker 4: het peuren geweest. Iedereen wist van als je PHP weet
24:37
Speaker 4: te hacken, dan heb je 70% van het internet. Bijna
24:40
Speaker 4: een soort brute force
24:41
Speaker 2: manier van we gaan
24:42
Speaker 4: een keer een kwetsbaarheid
24:43
Speaker 2: vinden
24:43
Speaker 4: En er waren al best wel wat dingen in gevonden wel.
24:46
Speaker 4: En deze werd pas zichtbaar. Want de mensen die het
24:49
Speaker 4: ontdekt hebben, waren ook oud PHP professionals. Het waren mensen
24:53
Speaker 4: die kenden die code al van haver tot gord. Hun kindje.
24:57
Speaker 4: Hun kindje. En iedereen vanwege die code smell. Die niet
25:01
Speaker 4: zo goed was. Wist iedereen. Dit is de rijke grond
25:05
Speaker 4: om in te zoeken.
25:05
Speaker 3: Maar je maakt je zin niet af. Het werd maar zichtbaar.
25:08
Speaker 4: De combinatie. Dus toen er dus iemand was. Die dus
25:11
Speaker 4: en heel goed was met PHP. En heel goed was
25:14
Speaker 4: met AI. Die combinatie is gewoon heel indrukwekkend. Dat is
25:19
Speaker 4: nou niet. Ik maak me wel zorgen over. Ik vermoed
25:21
Speaker 4: we hebben nog een paar andere PHP's in de wereld.
25:24
Speaker 4: Oh
25:24
Speaker 4: noem ze eens. Engine X.
25:26
Speaker 3: Ja, maar zullen we... Nee, maar ik wil even... Want
25:28
Speaker 3: dit is het volgende onderwerp. We moeten even... Dus er
25:32
Speaker 3: was gelekt. En toen kwam PHP, de community... Het kwam
25:36
Speaker 3: officieel uit van... Hey, jongens, morgen is er iets aan
25:40
Speaker 3: de hand. En toen reageerde dus wat we in het
25:43
Speaker 3: begin hadden... Nederland heel goed, de rest kwam veel later.
25:49
Speaker 3: Hadden we dat anders moeten doen? Een
25:52
Speaker 4: van de dingen die we heel anders hadden moeten doen...
25:54
Speaker 4: is vrij veel organisaties die zijn gisterochtend gaan zoeken... gebruiken
25:59
Speaker 4: wij PHP? Juist. En ik heb gesproken met financiële instellingen...
26:03
Speaker 4: met overheden en andere plekken. Sommige van die plekken konden
26:06
Speaker 4: gewoon hun Excel-sheet met software... die deden Ctrl-F, PHP en
26:10
Speaker 4: die zeiden oké, de volgende vier dingen
26:11
Speaker 4: Sommigen vroegen het aan Claude over hun interne systemen. Had
26:14
Speaker 4: het antwoord ook? Ja, dat was bijvoorbeeld de FD Media Groep.
26:18
Speaker 4: Maar je ziet dus dat de organisaties die nu moesten
26:22
Speaker 4: gaan zoeken... van zijn wij kwetsbaar of niet, die hebben
26:26
Speaker 4: echt problemen. Want die hebben misschien ook wel verkeerde inschattingen gemaakt. Omgekeerd,
26:31
Speaker 4: ik denk dat er gisteren een paar sites down zijn gegaan...
26:33
Speaker 4: waarvan het niet had gehoeven.
26:34
Speaker 2: Maar die zijn uit
26:34
Speaker 4: voorzorg. Dat ze gewoon dachten
26:36
Speaker 2: we weten het niet, dus doe maar
26:38
Speaker 4: gewoon. Een van de leermomenten is dus... heb alsjeblieft een
26:43
Speaker 4: lijst met wat hebben wij kinderlucht. De meeste organisaties, als
26:46
Speaker 4: je vraagt... welke diensten hebben wij allemaal in internet hangen...
26:49
Speaker 4: dan zeggen ze, dat zijn er wel
26:50
Speaker 2: veel. We hebben jou natuurlijk al miljoen miljard keer gehoord...
26:53
Speaker 2: over de afschuifcultuur van verantwoordelijkheid in Nederland. Zeker bij de
26:56
Speaker 2: overheid
26:57
Speaker 4: Dat is de EFT-oproep die altijd geldig is... Iedere organisatie
27:00
Speaker 4: moet een up-to-date lijst hebben. Dit zijn de diensten die
27:03
Speaker 4: wij in internet hebben hangen. En je moet net zo
27:06
Speaker 4: lang rondgaan bij alle afdelingen. Hebben we ze nou
27:08
Speaker 2: echt allemaal gehad? En ook bij je
27:10
Speaker 4: partners
27:10
Speaker 2: uitvragen. Dat is er
27:11
Speaker 4: ook wel eentje geweest. Dat mensen ontdekten dat hun partners...
27:13
Speaker 4: die inmiddels best wel heel vitale diensten leverden... dat die
27:17
Speaker 4: het niet hadden. Dat is een van de leermomenten. Maar
27:19
Speaker 4: de andere vind ik ook wel heel spannend. We hadden
27:21
Speaker 4: dus in Nederland een functionerende pijplijn... van obscure berichten op
27:25
Speaker 4: Mastodon naar Lubach. Maar ik heb ook organisaties gesproken gisteren.
27:31
Speaker 4: Ook eentje, laat ik precies zijn. Die zeiden van, is
27:33
Speaker 4: er iets aan de hand
27:34
Speaker 3: dan
27:35
Speaker 4: Die wisten helemaal niks.
27:36
Speaker 3: Dat vraag
27:37
Speaker 4: ik me ook wel een beetje af. Ik weet bijvoorbeeld
27:40
Speaker 4: van de Nederlandse overheid... waren er gisteren om drie uur
27:42
Speaker 4: s'nachts mensen al bezig. Omdat ze het op dinsdag gehoord hadden.
27:45
Speaker 4: Dat is goed. Dat is geweldig. Hij heeft iemand op
27:48
Speaker 4: zitten letten en hij dacht... ik zie nu al dat
27:50
Speaker 4: dit ellende wordt. Maar als je een beetje een saai
27:53
Speaker 4: pensioenfonds bent of zo
27:55
Speaker 2: dan heb je misschien niet iemand die... Nee, maar dit
27:57
Speaker 2: gaat over de mentaliteit, over je digitale hygiëne... over je bewustwording,
28:02
Speaker 2: bewustzijn van welke systemen draai je allemaal. Maar al met
28:06
Speaker 2: al zou ik toch zeggen... er is verrassend adequaat gehandeld
28:10
Speaker 2: in ons land. Ja, tot nu toe.
28:11
Speaker 4: Maar ik durf wel te zeggen dat wij de komende
28:13
Speaker 4: dagen en weken...
28:15
Speaker 2: En maanden
28:16
Speaker 4: Ja, zeker, ontdekken wij de zwakke broeders.
28:18
Speaker 2: Ja.
28:19
Speaker 4: die dus niet wisten dat zij nog wat PHP hadden draaien...
28:24
Speaker 4: in een zwart doosje wat de website optimaliseerde. Of het
28:27
Speaker 4: ding wat de banner aan de buitenkant van het gebouw programmeert.
28:30
Speaker 4: En noem maar wat. Dus wij gaan nog wekenlang... Maandenlang
28:36
Speaker 4: gaan er mensen ineens gehackt zijn. Maar nu is dan
28:38
Speaker 4: de obvious vraag
28:40
Speaker 2: Eén, juist omdat het op zoveel plekken zit en je
28:44
Speaker 2: je dan afvraagt... ja, maar wie gaan ze dan targeten?
28:46
Speaker 2: Of zijn de manieren al zo geavanceerd dat kwaadwillenden heel breed...
28:53
Speaker 2: juist ook omdat we niet
28:55
Speaker 4: weten
28:55
Speaker 2: wel
28:56
Speaker 4: en geen PHP gebruikt. Uitbuiten van deze kwetsbaarheid... is nog
29:00
Speaker 4: niet zo simpel als die
29:01
Speaker 2: lijkt. Het kan, maar het risico dat het gebeurt... is
29:04
Speaker 2: nog steeds betreffend laag. Het is op
29:05
Speaker 4: dit moment voorbehouden... aan de allerknapste mensen. Maar in de
29:09
Speaker 4: loop der weken... dan kan iedereen het gaan doen. Omdat
29:13
Speaker 4: ze het kunstje hebben afgekeken. Maar ook met AI weer
29:18
Speaker 3: Leg eens uit hoe dat gaat
29:19
Speaker 4: Hoe dat nu gaat, als je deze... deze kwetsbaarheid wil misbruiken...
29:24
Speaker 4: is het niet genoeg om je te melden bij PHP...
29:27
Speaker 4: en gewoon een rare set bytes te sturen. Je moet
29:30
Speaker 4: een heleboel verzoeken tegelijk sturen. En een deel van die
29:34
Speaker 4: verzoeken veroorzaakt storingen. En een ander deel van die verzoeken
29:37
Speaker 4: probeert dan... door die storing naar binnen te krijgen. Aan
29:41
Speaker 4: een demofilmpje wat ze hebben gereleased, daar probeert de ene
29:45
Speaker 4: helft van een computer de andere helft te hacken. Dat
29:47
Speaker 4: betekent dat er oneindige bandbreedte capaciteit is, want je zit
29:51
Speaker 4: op de computer zelf. Maar als je dit op afstand
29:53
Speaker 4: wil doen, denk ik dat er best wel gigabytes aan
29:56
Speaker 4: netwerkverkeer nodig zijn voor een enkele hack. Juist. Is het
30:00
Speaker 4: wel zo, dat is een oud gezegde van de National
30:02
Speaker 4: Security Agency. Attacks always get better. Juist. Or they never
30:07
Speaker 4: get worse. Dus dat betekent dat een aanval die nu
30:10
Speaker 4: een paar gigabyte aan netwerkverkeer kost... misschien kan die over
30:14
Speaker 4: drie weken wel in twaalf kilobyte. Dus die aanvallen gaan
30:17
Speaker 4: alleen maar beter worden
30:19
Speaker 4: En op dit moment is het soms ook wel zo...
30:21
Speaker 4: als je dan bijvoorbeeld probeert zo'n zwart doosje, zo'n NAS
30:24
Speaker 4: te hacken of zo... Misschien is de CPU in die
30:26
Speaker 4: NAS wel zo zwak... dat het niet lukt om hem
30:29
Speaker 4: te hacken
30:30
Speaker 2: Omdat hij niet hard genoeg... omdat er nooit twee
30:32
Speaker 4: dingen tegelijk gebeuren. Dus dat gaan we allemaal... Dan word
30:36
Speaker 4: je gered door zijn eigen incapabiliteit. In sommige gevallen word
30:39
Speaker 4: je ook... in dit geval niet zomaar... Er zijn ook
30:41
Speaker 4: wel eens mensen gered omdat ze hun software zo lang
30:43
Speaker 4: niet geüpdatet hadden.
30:44
Speaker 3: Dat het niet meer werkte.
30:46
Speaker 4: Maar
30:46
Speaker 3: Cloudflare opbracht naar buiten dat het wel
30:49
Speaker 4: hard ging met de aanvallen. Ja, zij hebben pogingen tot
30:51
Speaker 4: aanvallen gezien. En ook gisteren, er zijn dus ook goede
30:54
Speaker 4: lokale Nederlandse internetproviders... die dus gisteren al beveiligingsmaatregelen aangebracht hebben.
30:59
Speaker 4: En die zagen ook al in de loop van de
31:01
Speaker 4: ochtend dat die filters die ze hadden gemaakt... ook hits kregen.
31:05
Speaker 4: Maar dat zijn pogingen tot aanvallen... en we kunnen wat
31:08
Speaker 4: moeilijk zien of die ook succesvol zijn
31:09
Speaker 2: Maar definieer even zo'n poging tot aanval. Is dat iets
31:12
Speaker 2: wat in principe zou moeten werken... maar kan worden tegengehouden?
31:15
Speaker 2: Of evolueert dat ook met AI? Even een beetje toelichten.
31:19
Speaker 2: Je moet
31:19
Speaker 4: dus berichtjes sturen aan de PHP-engine... en die moet dan
31:22
Speaker 4: eerst struikelen... En daarna moet tijdens dat struikelen een andere
31:27
Speaker 4: aanvraag naar binnen. Er overheen klappen. Maar wat men nu ziet,
31:30
Speaker 4: men ziet die struikel alsjeblieft verzoeken. Die heeft men goed getarget.
31:35
Speaker 4: Er wordt pootje gehaken. Ja, het pootje haken zien we
31:37
Speaker 4: gebeuren
31:38
Speaker 4: Maar je weet nog niet, zou die duizend keer moeten
31:41
Speaker 4: pootje haken voordat het lukt? Of honderdduizend keer? Of drie keer?
31:45
Speaker 4: Dat weet je dan weer niet.
31:47
Speaker 3: Maar op woensdag in de ochtend bracht Chainguard de voortijdigde
31:51
Speaker 3: oplossing naar buiten. Hoe zit dat precies? Daar werd ook
31:55
Speaker 3: een hoop hersen over gemaakt.
31:57
Speaker 4: In zo'n heel vroeg stadium zie je bijvoorbeeld dat een
31:59
Speaker 4: aanval op een bepaalde specifieke manier werkt. En dan kan
32:03
Speaker 4: je een tegenmaatregel hebben tegen die specifieke variant van de aanval.
32:08
Speaker 4: Maar dat betekent dat iemand hem om iets andere manieren
32:10
Speaker 4: laat struikelen. Want in de beschrijving van het probleem staat van...
32:13
Speaker 4: we hebben hier nu drie manieren gevonden om hem te
32:15
Speaker 4: laten struikelen. En dat was genoeg. Maar er was nog
32:19
Speaker 4: wel andere manieren. Dus aan het begin krijg je dan
32:22
Speaker 4: vaak zo'n soort pleister. Dat iemand zegt van... Op dag
32:26
Speaker 4: één kan dat heel erg de moeite waard zijn
32:30
Speaker 4: Alleen het is dan niet... We zijn hierna klaar. Nee,
32:33
Speaker 4: natuurlijk
32:33
Speaker 3: niet.
32:34
Speaker 4: Want het probleem blijft dat men een moeras van stinkende
32:37
Speaker 4: code in PHP had liggen. Waarvan je weet, dit is
32:40
Speaker 4: rijke grond om allemaal dingen op te proberen. En nu
32:44
Speaker 4: gaan allemaal mensen te peuren. En de echte patch die
32:48
Speaker 4: dus is uitgebracht, die plakt er zoveel pleisters overheen. En
32:53
Speaker 4: haalt ook een paar echte angles eruit. Ik denk, dan
32:55
Speaker 4: ben je wel even gedekt.
32:56
Speaker 2: Maar
32:57
Speaker 4: die tijdelijke dingetjes van gisteren, daar zeiden ze zelf ook
32:59
Speaker 4: al naar uit. Het helpt even.
33:00
Speaker 2: Ja. Even tussendoor, we hebben de microfoon iets dichter naar
33:03
Speaker 2: je toe. Vertel even, hoe gaat dat implementeren van zo'n fix?
33:07
Speaker 2: Is dat klik, update, klaar en hou het in de
33:09
Speaker 2: gaten
33:10
Speaker 4: Ja, dat is de goede geval. En in sommige gevallen
33:12
Speaker 4: is dat ook zo. Dus als je met een up-to-date
33:15
Speaker 4: versie werkt van je software... dan hoef je niks te doen.
33:18
Speaker 4: Dan zegt hij gewoon update, klaar. Het probleem is alleen
33:22
Speaker 4: dat best wel veel systemen zijn veel ouder dan dat.
33:25
Speaker 4: En dan krijg je niet zo'n kant-en-klare update. En dan
33:29
Speaker 4: moet je dus zelf of op zoek gaan naar iemand anders...
33:32
Speaker 4: die voor jou een update heeft gemaakt. PHP is zo'n
33:35
Speaker 4: groot universum. dat er andere mensen zijn die kant-en-klare packages
33:40
Speaker 4: hebben gemaakt... waarmee je kunt updaten. Dus als je daarop zat,
33:44
Speaker 4: dan zit je relatief goed. Want dan kun je zeggen,
33:48
Speaker 4: ik haal mijn update daar binnen... en die installeer ik gewoon.
33:52
Speaker 4: Maar het is veel heftiger voor de mensen... die dus
33:55
Speaker 4: stokoude software draaien. Ja, een hele oude versie.
33:58
Speaker 2: Een
33:58
Speaker 4: hele oude versie. Nou, PHP is zo aardig geweest. Die
34:01
Speaker 4: hebben gezegd, we hebben wel ook een pleister beschikbaar gesteld...
34:03
Speaker 4: voor best wel stokoude versies... Maar dat is een broncode-update.
34:08
Speaker 4: Dus dat betekent dat als jij daarvan afhankelijk bent... dan
34:11
Speaker 4: moet je dus de broncode van jouw oude PHP nemen...
34:14
Speaker 4: en daar dan die pleister zelf opplakken en hem dan compileren.
34:18
Speaker 4: En het fascinerende is nu, er zijn dus een heleboel organisaties...
34:21
Speaker 4: die dit helemaal niet kunnen.
34:22
Speaker 2: Nee, dat wou ik net zeggen
34:24
Speaker 4: En wat moeten die nu dan? Nou ja, die moeten
34:26
Speaker 4: dus nu misschien één, hun website voorlopig uitlaten... Ja, dat
34:30
Speaker 4: zal op wel meer plekken gebeuren. Ik denk dat er
34:32
Speaker 4: best wel veel websites zijn die gewoon niet meer terug
34:33
Speaker 4: gaan komen. Maar dan moeten ze gewoon een nieuwe bouwen
34:35
Speaker 4: en die op datzelfde
34:36
Speaker 2: moment... Ja, of
34:37
Speaker 4: misschien was het wel niet meer zo belangrijk, die website.
34:39
Speaker 4: Dat kan ook. Dat kan ook
34:40
Speaker 2: zomaar. Zoals benvandeburg.nl
34:42
Speaker 4: Ja, maar wat ook gaat gebeuren is... Benvandeburg.nl is heel
34:46
Speaker 4: slim geweest, want die heeft zichzelf uitgezet. Maar er zijn
34:49
Speaker 4: ook ongetwijfeld websites van andere mensen... die nu gewoon aanstaan
34:52
Speaker 4: en die worden de komende weken aan God gehackt. En
34:54
Speaker 4: ineens staat er een pornoserver op je website. Leuk. En
34:59
Speaker 4: die mensen gaan hun website ook uitzetten. Die denken, dat
35:02
Speaker 4: wil ik allemaal niet. Dus er gaan best wel veel
35:04
Speaker 4: websites sterven hierdoor. Maar wat dit ook zegt, is je
35:07
Speaker 4: kan dus echt, en dat kon al niet meer... maar
35:09
Speaker 4: je kan echt niet gewoon een website aanzetten of een
35:12
Speaker 4: dienst online... en hem dan niet meer kunnen onderhouden.
35:14
Speaker 2: Nee. Je zei net, er zijn er nog meer zoals PHP. Ja.
35:19
Speaker 2: Waar moeten we allemaal op letten? En zeker in correlatie
35:22
Speaker 2: met wat er nu dus allemaal... met de combinatie mens
35:25
Speaker 2: en AI mogelijk is. Wat gaat er nog volgen? Even
35:28
Speaker 2: los van PHP.
35:29
Speaker 4: Even over dit grote vlak. We hebben het nu over technologie.
35:32
Speaker 4: Waarvan je zegt, dat zit in alles. Ja. En als
35:36
Speaker 4: je dan in één keer... Kijk, er zijn natuurlijk specifieke programmaatjes...
35:39
Speaker 4: die worden gebruikt op 3% van alle websites. Dat is
35:41
Speaker 4: ook heel erg, hoor. Maar één van de hele grote
35:45
Speaker 4: wielen in deze wereld is Nginx. Dat is een daadwerkelijke webserver.
35:50
Speaker 4: En dat is het ding wat de nullen en enen
35:52
Speaker 4: van het internet haalt... en doorgeeft aan PHP. Dus dat
35:56
Speaker 4: is maar één stapje dichter bij de netwerkverbinding. EngineX is
36:00
Speaker 4: een Russisch project. Wat ooit is overgenomen door F5.com. Een
36:06
Speaker 4: leverancier van apparatuur die ook de hele tijd lek is.
36:11
Speaker 4: En er wordt wel relatief goed gezorgd voor EngineX. Maar
36:15
Speaker 4: wat is nou wel relevant? Als je kijkt naar de
36:17
Speaker 4: broncode van EngineX... Heel veel codesmel. Die heeft heel veel codesmel, ja.
36:22
Speaker 4: En dat ruikt naar PHP. En hoe komt dat nou?
36:25
Speaker 4: De programmeurs van NGINX zijn overigens echt retun slim. Hele
36:29
Speaker 4: knappe mensen. Het grappige is, als je veilige code wil maken...
36:33
Speaker 4: dan moet je eigenlijk zeggen, ik ga mezelf nu dommer
36:35
Speaker 4: voordoen dan ik ben. En ik schrijf gewoon lekker simpele code...
36:38
Speaker 4: waarvan iedereen kan zien wat hij doet. Dat is ook
36:41
Speaker 4: een vorm van veiligheid. Dan heb je ook van die
36:44
Speaker 4: programmeurs die zeggen... ik ga de moeilijkste code schrijven die
36:46
Speaker 4: ik kan. Want ik ben zo slim, ik kan zulke
36:50
Speaker 4: efficiënte code maken. En Engine X bijvoorbeeld, als hij de
36:54
Speaker 4: technische onderdelen, de headers, zoals dat heet, van HTTP moet lezen,
36:58
Speaker 4: dan kijkt hij soms naar de tweede letter van een veldje,
37:00
Speaker 4: want dan zeggen ze dat is efficiënter dan de eerste letter.
37:04
Speaker 4: Knap
37:04
Speaker 2: jongens
37:04
Speaker 4: echt superknap. Maar ik zie iemand jong leren met kettingzagen
37:10
Speaker 2: En dus hetzelfde principe... en hetzelfde tot vooralsnog onmogelijk uitbuitbare
37:17
Speaker 2: bugs
37:18
Speaker 2: die
37:18
Speaker 4: nu wel uitbuitbaar
37:19
Speaker 2: gaan zijn.
37:19
Speaker 4: En NGX is ook georderd tot er bloed uit loopt.
37:23
Speaker 4: Dus iedereen heeft het al honderd keer geprobeerd om te kijken...
37:25
Speaker 4: zitten er gaten in
37:27
Speaker 4: Een heleboel van de gaten zijn er ook wel uit...
37:29
Speaker 4: Dat is ook wel goed nieuws. Maar ik maak mij
37:31
Speaker 4: er sterk voor dat als men de PHP-treatment geeft... dat
37:35
Speaker 4: er iemand wel aan de boom schudt. Op een dag
37:37
Speaker 4: worden wij wakker met alle NGINX van de wereld is lek.
37:40
Speaker 3: Wat bedoel je met de PHP-treatment?
37:42
Speaker 4: De PHP-treatment is dat iemand zegt... we weten dat iedereen
37:45
Speaker 4: hier al tien keer naar heeft gekeken. Dus de oppervlakkige
37:48
Speaker 4: bugs hebben we nu wel gehad. Maar nu gaan we
37:51
Speaker 4: een keer een echte domeinexpert erop zetten. En die gaat
37:54
Speaker 4: ons eventjes, ook met AI, flink zitten peuren in de
37:58
Speaker 4: code waar hij het hardste stinkt. Maar dat gebeurt toch wel?
38:01
Speaker 4: Met PHP gebeurde dat ook al. Maar wat er dus
38:05
Speaker 4: veranderd is deze keer, is dat men iemand heeft gezegd
38:08
Speaker 4: die al helemaal thuis was in PHP en heel goed
38:11
Speaker 4: was met AI. Ja, maar tot nu toe, een heleboel
38:15
Speaker 4: van de scans die we tot nu toe hebben, zijn
38:17
Speaker 4: van mensen die gewoon met AI wel handig zijn. Een
38:19
Speaker 4: modelletje erop knallen. Search again. Zoek nog een keer, of
38:25
Speaker 4: we kopen nog meer GPU's.
38:26
Speaker 3: Ja, maar Bert, het is vrij logisch dat er nu
38:28
Speaker 3: een Nginx expert, die daar vol in zit, het beste
38:33
Speaker 3: OpenAI of Entropic model krijgt. En vol erop gaat
38:37
Speaker 2: De vraag is denk ik een beetje. Is dit een
38:38
Speaker 2: silver lining? Dat nu iedereen als een malle gaat kijken
38:41
Speaker 2: naar de code X. En alle andere PHP-achtigen. Qua importentie
38:45
Speaker 1: als backbone
38:46
Speaker 2: En gaan we dit doorscannen? Of is de doos van
38:48
Speaker 2: Pandora geopend? Dan gaan we nog veel meer
38:50
Speaker 4: ellende op ons afkrijgen. We gaan nog veel meer ellende
38:51
Speaker 4: op ons afkrijgen. Want in principe komen heel veel mensen
38:54
Speaker 4: gewoon niet in actie. Totdat het in brand staat. Dat
38:57
Speaker 4: is een statistiek die jullie ook opgediept hadden. Dat iets
39:00
Speaker 4: van 60% van alle PHP-sites draait een versie van PHP...
39:04
Speaker 4: die überhaupt niet meer ondersteund wordt. Ja, ik hoop dat
39:06
Speaker 4: onze collega Daniel Molda
39:07
Speaker 4: Dus daar heeft iedereen al zitten snoezen. En je dacht,
39:11
Speaker 4: het gaat best. Er zijn een aantal mensen die dus
39:13
Speaker 4: al een jaar of zo roepen... van wij moeten alle software...
39:17
Speaker 4: net zo hard gaan onderzoeken als dat die hackers dat
39:20
Speaker 4: nu aan het doen zijn.
39:21
Speaker 3: Maar dat bedoel ik met het watersnoodscenario. Deltawerken moeten nu komen.
39:26
Speaker 3: Maar
39:27
Speaker 4: over die deltawerken is het heel interessant. In 1948 zei men,
39:30
Speaker 4: we moeten dit echt doen.
39:31
Speaker 2: Precies, maar dat is nu al. Eerst een watersnood, dan
39:35
Speaker 2: gebeurt het. Maar is het mis genoeg gegaan? Nee, we
39:38
Speaker 2: leven allemaal nog
39:41
Speaker 4: Iedereen op intensive care moet een keer doodgaan
39:44
Speaker 2: Helaas, ja.
39:46
Speaker 4: En zoals Brenno de Winter al een keer zei... die
39:50
Speaker 4: voorspelde wat we nodig hebben zijn zelfrijdende auto's... die massaal
39:53
Speaker 4: een winkelstraat inrijden. Omdat ze gehackt zijn. Ik schrik helemaal
39:57
Speaker 4: als je dat
39:57
Speaker 3: zegt. Ja, precies wat je bedoelt. Ja, maar
39:59
Speaker 4: dat is het soort schok wat we nodig hebben. Wat
40:02
Speaker 4: Brenno toen ook zei, de Titanic was toen gezonken. Het bleek,
40:05
Speaker 4: voor de Titanic mocht iedereen gewoon een schip maken.
40:07
Speaker 2: Ja, ja, ja. O, goh, nu gaan we toch maar
40:09
Speaker 2: eens even wat van regelgeving optrekken
40:10
Speaker 4: Ja, we zouden het toch wel leuk vinden als je
40:12
Speaker 4: roesvrij staal gebruikte of zo.
40:13
Speaker 2: Ja
40:13
Speaker 4: En we hebben nu de regels dus wel gemaakt. Dus
40:17
Speaker 4: we hebben de NIS 2.
40:19
Speaker 5: Ik wou zeggen
40:20
Speaker 4: Alleen dat is op dit moment nog zoiets van. Kom
40:23
Speaker 4: wel een keer. En dat vullen we wel een keer
40:25
Speaker 4: in ofzo. En dit is weer een stap in de
40:28
Speaker 4: urgentie hoger krijgen. En een hele interessante die ik gisteren had.
40:33
Speaker 4: Ik sprak iemand die had het wist van mijn website
40:35
Speaker 4: draait WordPress. Dat wisten ze. En toen zei ze oké
40:38
Speaker 4: maar we willen hem dus nu uitzetten. Want we hebben
40:40
Speaker 4: niet het gevoel dat iemand. En toen zei ze we
40:42
Speaker 4: weten niet hoe. Dus we hebben niet paraat wie we
40:45
Speaker 4: moeten bellen. Op de website zelf zit geen uitknop. Dat
40:49
Speaker 2: voelt als hetzelfde non-filosofie als OpenAI zegt... onze agents zijn
40:53
Speaker 2: websites aan het hacken.
40:54
Speaker 4: Ja, maar die mensen moesten toen in gisteren heel hard
40:57
Speaker 4: gaan bellen... om te ontdekken van wie moet ik eigenlijk
40:59
Speaker 4: bellen hiervoor. Dat is wel winst van gisteren. Dat dus
41:01
Speaker 4: een heleboel mensen ontdekt hebben van... oké, ik kan helemaal
41:03
Speaker 4: niemand bellen. Ja, mensen hebben dingen ontdekt of zelfs scherp
41:06
Speaker 2: gezet
41:07
Speaker 4: En zo zullen we echt nog wel een paar keer
41:09
Speaker 4: dit soort dingen krijgen... Dus het is wel een belangrijke stap,
41:14
Speaker 4: maar het is nog niet 1953. Nee,
41:16
Speaker 2: tegelijkertijd als we kijken naar Nederland... NCC heeft gereageerd, heeft
41:20
Speaker 2: dus gehandeld. Ik zou geneigd zijn te zeggen dat al
41:24
Speaker 2: met al, gezien de omstandigheden... de situatie best oké verlopen is. Ja,
41:29
Speaker 4: echt wel.
41:30
Speaker 2: Hier in Nederland wel. Dat hadden we tot nu toe.
41:34
Speaker 2: Maar in
41:35
Speaker 4: ieder geval, er zijn geen... Kijk, stel je voor dat
41:36
Speaker 4: DigiD was gehackt. Juist. Je hebt even een paar dagen
41:41
Speaker 4: geen digideeën. Of een paar weken. Of
41:45
Speaker 1: maanden.
41:45
Speaker 4: Dus in die zin kunnen we ons al minstens een
41:48
Speaker 4: 7 geven. Dus dat is al heel goed. Maar dit
41:55
Speaker 4: is geen garantie voor de toekomst. Want we hebben het
41:58
Speaker 4: allemaal mazzel gehad.
41:59
Speaker 3: Nee, we waren op tijd bij, goed gewaarschuwd. Mooi systeem
42:02
Speaker 3: hebben we in Nederland. Maar het blijft natuurlijk heel frustrerend
42:06
Speaker 3: dat we blijven waarschuwen. De watersnoodramp 1 februari 1953, dat
42:11
Speaker 3: was het niet.
42:11
Speaker 2: Daar wachten we
42:13
Speaker 3: eigenlijk
42:13
Speaker 2: op. Dat is toch raar? We hebben alleen maar een
42:14
Speaker 2: hoge golf gezien. Mensen hebben zich letterlijk ingegraven, maar dan
42:18
Speaker 2: digitaal
42:19
Speaker 4: Een rare ding is dat je nu zou zeggen... De
42:23
Speaker 4: Rijksinspectie Digitale Infrastructuur komt langs bij je... en die komt
42:27
Speaker 4: je PHP-websites preventief uitzetten. Dan zouden we allemaal zeggen, ga
42:31
Speaker 4: weer weg joh. Dat bemoei je er niet mee, overheid.
42:34
Speaker 4: Wat weten jullie er nou van? Dus er is ook
42:36
Speaker 4: een bepaalde beperkte... zelfs binnen de overheid, om even iets
42:40
Speaker 4: te noemen... er is dus al mensen die waren al
42:42
Speaker 4: jaren bezig... met in kaart brengen van lekke WordPress-installaties... van
42:47
Speaker 4: de Rijksoverheid.
42:48
Speaker 2: Ja.
42:48
Speaker 4: En hij heeft zelfs subsidie gegeven aan die mensen... om
42:52
Speaker 4: dat uit te zoeken
42:54
Speaker 4: En die hebben rapportages gestuurd. En al die onveilige WordPress-sites...
42:58
Speaker 4: gewoon bestookt met van... zet jezelf nou uit. En die
43:00
Speaker 4: bereiken een paar procentjes succes per maand. Want wij accepteren
43:06
Speaker 4: het nu gewoon niet... dat er iemand langskomt die jouw
43:09
Speaker 4: site komt uitzetten. Terwijl dat misschien toch soms wel nodig is.
43:12
Speaker 4: Het
43:13
Speaker 2: blijft een gek gedachte. Een gek situatie. Dat dat dan
43:16
Speaker 2: nodig is om... Zo'n situatie betreft.
43:18
Speaker 4: Ik gelijk dat met, ik vind liften een mooi voorbeeld.
43:22
Speaker 4: Liften waren vroeger echt gevaarlijk. Ja,
43:24
Speaker 2: je wilde de ding dat op overlaag halen. Ja,
43:26
Speaker 4: maar er werd ook echt een hele zware inspectie kwam erop.
43:29
Speaker 4: En de liftinspectie dit. En je herinnert je nog van
43:32
Speaker 4: die stickers die erop stonden
43:33
Speaker 2: Er was ook een
43:34
Speaker 4: enge film over gemaakt. Er was ook een enge film
43:36
Speaker 4: over gemaakt, inderdaad. Maar men heeft toen nog even gezegd,
43:39
Speaker 4: dat hobby met die liften moet afgelopen wezen. Er komt
43:42
Speaker 4: een inspectie. En nu, gek genoeg, 50 jaar later, zijn
43:45
Speaker 4: liften zo veilig geworden... dat men gezegd heeft, laat maar
43:48
Speaker 4: weer
43:49
Speaker 4: Met die inspectie. Een soort cyclies effect. Het hoeft niet meer.
43:51
Speaker 4: Maar er zijn eerst best wel veel mensen doodgegaan in liften...
43:54
Speaker 4: voordat men zei, oké, we hebben nu een liftinstituut. En
43:57
Speaker 4: wij zitten nu nog steeds in de fase van... die
43:59
Speaker 4: overheid moet zich niet bemoeien met mijn website, hoor. Terwijl
44:03
Speaker 4: je langzamerhand best wel zou kunnen zeggen... de maatschappij draait
44:06
Speaker 4: nu zo hevig op jullie infrastructuur.
44:09
Speaker 2: En de NIS 2 slash cyberbeveiligingswet voorziet daar dus eigenlijk
44:12
Speaker 2: niet in? Nou, nog
44:13
Speaker 4: niet echt. Het is half, het is er bijna. Een
44:19
Speaker 4: van de dingen die wel fijn is aan de cyberbeveiligingswet...
44:22
Speaker 4: het legt wel echt iets neer bij de directies. Ja,
44:24
Speaker 4: de verantwoordelijkheid. Want die konden tot nu toe zeggen... je
44:27
Speaker 4: moet mij niet verantwoordelijk houden voor dat soort dingen... want
44:29
Speaker 4: dat doet mijn IT-boer. En nu heeft men gezegd, jij
44:32
Speaker 4: zoekt het maar uit met je IT-boer
44:34
Speaker 3: Maar hij zal het zo beschrijven dat hij dan ook
44:36
Speaker 3: weer vrijgepleit kan
44:38
Speaker 4: worden. Dat weet ik, maar in ieder geval...
44:41
Speaker 3: Nee, het is het
44:43
Speaker 4: begin, jongens. Maar ik vermoed dat er nog wel een
44:45
Speaker 4: NIS 3 komt. Kijk, een interessant model. Ik weet dat
44:49
Speaker 4: er in Israël bijvoorbeeld... waar men in ieder geval bezig
44:54
Speaker 4: is met nationale veiligheid. Behoorlijk. En als jij daar een
44:57
Speaker 4: onveilige website hebt... dan krijg je een schreeuwende generaal aan
44:59
Speaker 4: de lijn. Die zegt, hier zet hem nu uit. Zo
45:02
Speaker 4: werken wij hier niet. Onze eigen NCSC, National Cyber Security Center...
45:07
Speaker 4: heeft dus tijdenlang gezegd, wij mogen niet scannen... Wij mogen
45:11
Speaker 4: niet op zoek naar zwakke websites. En dat is natuurlijk belachelijk.
45:16
Speaker 4: En inmiddels is daar een mouw aan gepast. En nu
45:19
Speaker 4: kan men eindelijk gaan zeggen... we hebben een lekker PHP
45:23
Speaker 4: gevonden bij de gemeente zus en zo. Dat is alleen
45:25
Speaker 3: maar fijn als
45:26
Speaker 4: ze dat doen. Dat
45:26
Speaker 3: is
45:27
Speaker 4: toch
45:28
Speaker 3: fantastisch
45:29
Speaker 4: Het bizarre is dus dat tot en met 2025... zei
45:33
Speaker 4: het NCS, sorry van de wet, mogen wij niets kennen.
45:36
Speaker 4: Burgers wel trouwens. Nou, dat is natuurlijk een hele maal.
45:39
Speaker 4: En men heeft toen ook een soort constructie opgetuigd... dat
45:41
Speaker 4: die burgers mochten gaan scannen. Die mochten dat weer aan
45:43
Speaker 4: NCSC zeggen. En die mochten dan zeggen, joh, we hebben
45:45
Speaker 4: een hint ontvangen... dat gemeentezuzuzo.nl een oude PHP draait.
45:48
Speaker 2: Ja.
45:49
Speaker 4: Een gekkenhuis natuurlijk.
45:50
Speaker 2: Ik heb nog één vraag, Bert. Kunnen we vanavond gewoon
45:53
Speaker 2: weer rustig gaan slapen
45:54
Speaker 4: Nou, nee. Want de grote golf moet denk ik nog komen.
45:59
Speaker 4: Met name dus met die embedded PHP. Zoals dat heet.
46:03
Speaker 4: Die dus in jouw firewall zit. Of in jouw camera systeem.
46:07
Speaker 4: Of in jouw parkeren ding. Dat wordt een beetje de
46:10
Speaker 4: slow wave. Want dat is nog niet 1, 2, 3
46:13
Speaker 4: uit de buiten. Want dat draait ook weer net wat
46:15
Speaker 4: andere software en zo. Maar niemand is nu bezig al
46:18
Speaker 4: die zwarte doosjes te bekijken. Nee, dat is
46:20
Speaker 2: mijn punt
46:21
Speaker 2: Dus iedereen moet die zwarte doosjes bekijken. Dus je
46:23
Speaker 4: moet heel kritisch kijken. Doet iemand überhaupt onderhoud op dit ding?
46:28
Speaker 4: En dat gaat nog weken, maanden door
46:31
Speaker 2: Dan denk ik dat we jou hier nog vaker over
46:32
Speaker 2: gaan spreken. De komende dagen, weken, maanden. Maar voor nu
46:36
Speaker 2: moeten we bij deze uitgebreide analyse... over PHP en alles
46:39
Speaker 2: wat daarmee samenhangt laten. Dank je wel, Bertie Beer. Vragen
46:43
Speaker 2: en opmerkingen mogen gestuurd naar de grote techshow op bnr.nl...
46:46
Speaker 2: of via de BNR-app natuurlijk, daar kun je ons altijd bereiken.
46:49
Speaker 2: Laten we dan toch in ieder geval nog maar even
46:51
Speaker 2: over iets hebben, Ben, kort. Waar we normaal de show
46:54
Speaker 2: grotendeels aan zouden ophangen... maar de week liep ietsje anders.
46:57
Speaker 2: Wat dacht je van 25 miljard dollar boete voor Meta vanwege...
47:01
Speaker 2: Het dossier wat tien jaar geleden eigenlijk plaatsvond... en pas
47:05
Speaker 2: later kwam, namelijk Cambridge Analytica. Knap, hè? Ja, staat Nieuw-Mexico
47:10
Speaker 3: Goed bezig, die staat. Notabene. Misleiding van de mensen, want
47:13
Speaker 3: mensen dachten... hé, ik ben veilig en mijn data gaat
47:16
Speaker 3: niet verder... maar Cambridge Analytica, dat werd aan iedereen verkocht...
47:21
Speaker 3: Dat was de eerste reden. De tweede reden was dat
47:24
Speaker 3: geen haatberichten... ik ben veilig op de platform, ook niet.
47:27
Speaker 3: Dus Facebook heeft de consumentengebruiker misleid. Verrast ons niet, maar
47:33
Speaker 3: ik vind het vooral knap... Dat is die 25 miljard.
47:38
Speaker 3: En ik zag gisteravond bij Nieuwsuur, dat was wel mooi...
47:41
Speaker 3: daar was de baas die handhaafde DSA en de DEMA
47:46
Speaker 3: in Europa. Het ging over boeking, boeking wordt nu ook
47:49
Speaker 3: dus een boete. Maar Europa durft natuurlijk die boetes niet
47:52
Speaker 3: zo hoog te maken. Normaal gesproken 6% van de
47:54
Speaker 2: wereldwijde jaarlijks omzet. Dat durven ze
47:56
Speaker 3: niet, want dan zijn ze bang dat Trump boos wordt.
47:59
Speaker 2: En daarom vind ik
48:00
Speaker 3: het zo mooi dat New Mexico, de Amerikaanse staat... dit
48:04
Speaker 3: soort hoge bedragen nu wel durft. Maar dat gaat vast
48:07
Speaker 2: ook weer geschikt worden, net zoals in
48:09
Speaker 3: de zaak.
48:10
Speaker 2: Ze gaan in
48:10
Speaker 3: hoger beroep, heeft Metten al aangekondigd. Dus dit gaat allemaal gebeuren.
48:16
Speaker 3: Maar dat het is ingezet en dat het nu iets verandert...
48:19
Speaker 3: dat vind ik nu wel duidelijk. Hebben we nog steeds
48:21
Speaker 3: geen antwoord op de vraag
48:22
Speaker 2: wat nou de grootste digitale
48:23
Speaker 3: ramp is? Nee, dat hebben we wel. Ja? Wat dan?
48:26
Speaker 3: Dat blijft... de algoritmische timeline. Hoewel een digitale ramp is
48:31
Speaker 3: ook wel de code smell.
48:32
Speaker 2: Ja, inmiddels wel.
48:33
Speaker 3: De code smell is
48:36
Speaker 2: de grootste digitale ramp in de mensheid. Tot dusver, zullen
48:39
Speaker 2: we maar zeggen. En tot dusver ook deze aflevering van
48:42
Speaker 2: de Grote Tech Show. Tot zover moet ik zeggen. Deel
48:44
Speaker 2: de podcast met je netwerk, dat vinden we fijn. Abonneer
48:46
Speaker 2: je als je dat nog niet gedaan hebt. Laat de
48:47
Speaker 2: beoordeling achter op de platform waar je luistert. Al die
48:49
Speaker 2: dingen bij elkaar, dat helpt ons ook om gevonden en
48:52
Speaker 2: beluisterd te worden. Volgende week zijn we er weer met
48:53
Speaker 2: de Grote Tech Show. Dag.
49:05
Speaker 1: De Grote Tech Show wordt mede mogelijk gemaakt door Orange
49:09
Speaker 1: Cyber Defense. Van strategie tot uitvoer, jouw cybersecurity in vertrouwde handen.