Rood reedzj

Planet MultiMedia 20 februari 2004

Van de week moest ik weer eens onbedaarlijk aan Roel Pieper denken. En voor een keer was het nu eens niet aan hemzelf te danken, maar aan onze Oosterburen.

Die gingen collectief op hun snufferd met wat zo langzamerhand een olifantenkerkhof mag worden genoemd: een high-tech-tolgaarsysteem.

Tol vergaren is in principe een van de gemakkelijkste handeltjes die er bestaan. Je zet een poort met een slagboom dwars over de weg en je laat er geen kip langs voordat ze wat munten hebben afgegeven. Voeg daar nog eens bij dat moderne technologie alles tegenwoordig een stuk gemakkelijker en efficiënter maakt, en het besef rijst dat een elektronisch tolsysteem dan wel helemaal een pies-of-keek moet zijn. Iezie, als het ware. Ziehier een korte samenvatting van Piepers befaamde Mobimiles-rapport.

Overigens is dat Pieperiaans zo gek nog niet. Zo hoor ik liever de kreet 'Mobimiles' dan 'Streckenbezogene LkW-Mauterhebung'. De vraag dringt zich op of dat Toll Geschäft van die Duitsers (altijd gedacht dat dat trouwens 'dolle boel' betekende) niet daaraan ten onder gegaan is. Wie eens gaat kijken op de dienstdoende website, weet wat ik bedoel.

Het begint al met de baas van het spul. Die man heet Hans-Burghardt Ziermann, en net zoals het voorgaande heb ik dat niet verzonnen. Hans-Burghardt neemt zijn taak serieus en Duits-gründlich op, en licht de Lieber Internetnutzer gaarne in over de grondslagen van wat hem te wachten staat. Voor de gruwelijke details verwijs ik de lezer naar de website. Hier volsta ik met te vermelden dat de gebruikersservice begint met het aanhalen van Das Gesetz über die Erhebung von streckenbezogenen Gebühren für die Benutzung von Bundesautobahnen mit schweren Nutzfahrzeugen. Sei no moor.

Of het Duitse tolproject is bezweken onder de loodzware last van ontelbare vijf- of meerlettergrepige bewoordingen terwijl het met een veel lichtvoetiger Pieper-aanpak wel succesvol was geweest, zullen we wel nooit weten. Al was het alleen maar omdat Tineke Tolpoort in ons kikkerlandje die proef op de som nooit heeft aangedurfd. Het gegniffel in Den Haag was deze week dan ook luid hoorbaar geweest, als ze het niet drukker hadden gehad met de toiletten van het UWV.

Is het aftikken van een tolbedrag met behulp van een transpondertje onder de voorruit dan zo moeilijk? Hoe komt het toch dat zoiets eenvoudigs zulke onnoemelijke problemen kan opleveren dat zelfs een miljardenconsortium als Toll Collect er een klerezooi van maakt?

Softwareproblemen, zo meldt de berichtgeving. Zelf breng ik de nodige tijd in Singapore door, en daar draait de boel al jaren feilloos. Ook uit het afgelegen Trondheim hoor ik geen enkele klacht. Wat voor software is dat in Duitsland? Microsoft soms?

Dat zou een boel verklaren. De term Blue Screen of Death krijgt in combinatie met de Duitse Autobahn ineens een heel andere betekenis. Ik zie het LCD-display op mijn dashboard al voor me. 'Sie haben nicht bezahlt. Sie dürfen nicht weiterfahren. Drücke OK' geeft een geheel nieuwe invulling aan het al jaren bekende fenomeen verkeersrazernij (rood reedzj op zijn Piepers).

Persoonlijk denk ik dat het project ten onder is gegaan aan de zogeheten we-gaan-nu-alles-in-een-keer-oplossen-aanpak. In normale gevallen is dat al vragen om moeilijkheden, maar in een land als Duitsland is het ronduit dodelijk. Met meedogenloze gründlichkeit is letterlijk alle technologie die de 21ste eeuw te bieden heeft uit de kast gehaald. Transponderkastjes die niet alleen met de wegportalen communiceren maar ook de inmiddels afgelegde afstand berekenen. Wegportalen boven de weg, inductielussen erin. Daarbovenop maken ze gebruik van GPS-navigatiesatellieten en mobiele telefoonnetwerken. En o ja, natuurlijk kun je je ook via het internet aanmelden.

Alles dient om het de gebruiker zo makkelijk mogelijk te maken. Deze hoeft slechts enkele gegevens vooraf in te voeren, waaronder het aantal assen van zijn voertuig. Het aantal assen! Achszal heet dat in het Duits. Pats, weer een nieuwe dimensie! Alsof je een Eimer leeggooit!

En dan heb ik het nog niet eens over de betaalmogelijkheden. Alles onder de zon is mogelijk. Schriftelijk, automatisch, of met je tankkaart. Of op zijn Duits: Lastschriftverfahren, Guthabenkonto oder Tankkarte. Onverminderd het feit dat Internetaanmelders hun Kreditkarte kunnen trekken, natuurlijk. Had ik contanten al genoemd?

Je vraagt je toch af of we Pieper niet op een goed moment naar voren moesten schuiven. Niet voor niets noemt hij zichzelf de Vijfde Macht. Als de traditionele vier machten (wetgever, uitvoerende macht, justitie en ambtenarenapparaat) falen, dan snel Roel erbij halen. Het is maar een idee.

Rood reedzj

Planet MultiMedia 20 februari 2004

Van de week moest ik weer eens onbedaarlijk aan Roel Pieper denken. En voor een keer was het nu eens niet aan hemzelf te danken, maar aan onze Oosterburen.

Die gingen collectief op hun snufferd met wat zo langzamerhand een olifantenkerkhof mag worden genoemd: een high-tech-tolgaarsysteem.

Tol vergaren is in principe een van de gemakkelijkste handeltjes die er bestaan. Je zet een poort met een slagboom dwars over de weg en je laat er geen kip langs voordat ze wat munten hebben afgegeven. Voeg daar nog eens bij dat moderne technologie alles tegenwoordig een stuk gemakkelijker en efficiënter maakt, en het besef rijst dat een elektronisch tolsysteem dan wel helemaal een pies-of-keek moet zijn. Iezie, als het ware. Ziehier een korte samenvatting van Piepers befaamde Mobimiles-rapport.

Overigens is dat Pieperiaans zo gek nog niet. Zo hoor ik liever de kreet 'Mobimiles' dan 'Streckenbezogene LkW-Mauterhebung'. De vraag dringt zich op of dat Toll Geschäft van die Duitsers (altijd gedacht dat dat trouwens 'dolle boel' betekende) niet daaraan ten onder gegaan is. Wie eens gaat kijken op de dienstdoende website, weet wat ik bedoel.

Het begint al met de baas van het spul. Die man heet Hans-Burghardt Ziermann, en net zoals het voorgaande heb ik dat niet verzonnen. Hans-Burghardt neemt zijn taak serieus en Duits-gründlich op, en licht de Lieber Internetnutzer gaarne in over de grondslagen van wat hem te wachten staat. Voor de gruwelijke details verwijs ik de lezer naar de website. Hier volsta ik met te vermelden dat de gebruikersservice begint met het aanhalen van Das Gesetz über die Erhebung von streckenbezogenen Gebühren für die Benutzung von Bundesautobahnen mit schweren Nutzfahrzeugen. Sei no moor.

Of het Duitse tolproject is bezweken onder de loodzware last van ontelbare vijf- of meerlettergrepige bewoordingen terwijl het met een veel lichtvoetiger Pieper-aanpak wel succesvol was geweest, zullen we wel nooit weten. Al was het alleen maar omdat Tineke Tolpoort in ons kikkerlandje die proef op de som nooit heeft aangedurfd. Het gegniffel in Den Haag was deze week dan ook luid hoorbaar geweest, als ze het niet drukker hadden gehad met de toiletten van het UWV.

Is het aftikken van een tolbedrag met behulp van een transpondertje onder de voorruit dan zo moeilijk? Hoe komt het toch dat zoiets eenvoudigs zulke onnoemelijke problemen kan opleveren dat zelfs een miljardenconsortium als Toll Collect er een klerezooi van maakt?

Softwareproblemen, zo meldt de berichtgeving. Zelf breng ik de nodige tijd in Singapore door, en daar draait de boel al jaren feilloos. Ook uit het afgelegen Trondheim hoor ik geen enkele klacht. Wat voor software is dat in Duitsland? Microsoft soms?

Dat zou een boel verklaren. De term Blue Screen of Death krijgt in combinatie met de Duitse Autobahn ineens een heel andere betekenis. Ik zie het LCD-display op mijn dashboard al voor me. 'Sie haben nicht bezahlt. Sie dürfen nicht weiterfahren. Drücke OK' geeft een geheel nieuwe invulling aan het al jaren bekende fenomeen verkeersrazernij (rood reedzj op zijn Piepers).

Persoonlijk denk ik dat het project ten onder is gegaan aan de zogeheten we-gaan-nu-alles-in-een-keer-oplossen-aanpak. In normale gevallen is dat al vragen om moeilijkheden, maar in een land als Duitsland is het ronduit dodelijk. Met meedogenloze gründlichkeit is letterlijk alle technologie die de 21ste eeuw te bieden heeft uit de kast gehaald. Transponderkastjes die niet alleen met de wegportalen communiceren maar ook de inmiddels afgelegde afstand berekenen. Wegportalen boven de weg, inductielussen erin. Daarbovenop maken ze gebruik van GPS-navigatiesatellieten en mobiele telefoonnetwerken. En o ja, natuurlijk kun je je ook via het internet aanmelden.

Alles dient om het de gebruiker zo makkelijk mogelijk te maken. Deze hoeft slechts enkele gegevens vooraf in te voeren, waaronder het aantal assen van zijn voertuig. Het aantal assen! Achszal heet dat in het Duits. Pats, weer een nieuwe dimensie! Alsof je een Eimer leeggooit!

En dan heb ik het nog niet eens over de betaalmogelijkheden. Alles onder de zon is mogelijk. Schriftelijk, automatisch, of met je tankkaart. Of op zijn Duits: Lastschriftverfahren, Guthabenkonto oder Tankkarte. Onverminderd het feit dat Internetaanmelders hun Kreditkarte kunnen trekken, natuurlijk. Had ik contanten al genoemd?

Je vraagt je toch af of we Pieper niet op een goed moment naar voren moesten schuiven. Niet voor niets noemt hij zichzelf de Vijfde Macht. Als de traditionele vier machten (wetgever, uitvoerende macht, justitie en ambtenarenapparaat) falen, dan snel Roel erbij halen. Het is maar een idee.

Vetpot

Planet MultiMedia 6 februari 2004

Er komt een hoop ellende op je af, tegenwoordig, met al die spam. Toch zijn er lichtpuntjes. Steeds vaker krijg ik spams zoals deze: "Suoper chacrge your lozve liyfe! Orgder your Vmiagara and Snupker Vidagtra savfely and secursely onliene. Cilalois (Suuper Vidaugra) takes affvect rigdht away and lalsts for dafys! Ebnther Heare."

Is dat goed nieuws, hoor ik iemand zeggen? Absoluut. Hier staat namelijk: "Ik ben een wanhopige spammer. Spamfilters zijn zo goed geworden dat ik mijn waren niet meer in gewone taal aan de man kan brengen. Ik ben nu uitsluitend nog aangewezen op dat minieme deel van de populatie dat 1. stom genoeg is om deze rotzooi te kopen en 2. desondanks in staat is dit koeterwaals te ontcijferen."

Het zou mij niet verbazen als het responsepercentage op dit soort mails inmiddels was gedaald tot 0.00001 procent. Dus op dit mailtje, waarvan er pakweg zo'n 50 miljoen het net hebben vervuild, hebben vijf sukkels gereageerd. Da's geen vetpot! En daarvoor moet je ook nog eens regelmatig van provider wisselen en overdag de gordijnen dicht houden.

Een van mijn favoriete bezigheden is me te verplaatsen in de persoon van zo'n sociaal onaanvaardbaar type. Dat heb ik bijvoorbeeld altijd met Nigeriaanse oplichtersspam. Ik zie dan zo'n arme misdadiger, in een of ander broeierig internetcafé in Lagos, en bedenk: "OK, ik sta op het punt zo'n Business Proposal te schrijven. CapsLock staat aan, ik zit klaar. Hoe pak ik dat aan?". Fascinerend, ik kan het iedereen aanraden. En heeft Peter R. De Vries ons niet geleerd dat je in de huid van een misdadiger moet kruipen om misdaden effectiever op te lossen?

In een baldadige bui probeer ik me voor te stellen hoe een Advanced Spamming Workshop eruit zou moeten zien. Daar komen alle belangrijke ingrediënten van een professionele spam-mailing aan de orde. Allereerst is er de tekst zelf. De titel van dit onderwerp ligt voor de hand: 'Enhance Your Pen'. Daar kunnen die jongens zich meteen in herkennen. Het motto is simpele bewoordingen en zo weinig mogelijk informatie. De CapsLock moet UIT, mijne heren!

Vervolgens de subjectregel. Hiermee komen we op het terrein van de zogenaamde 'Social Engineering'. Dit gedeelte van de workshop kan trouwens ook worden gebruikt voor de cursus 'Hoe maak ik een succesvol virus?' De kunst is, mensen het mailtje te laten openmaken. Daarna kunnen we verder met ons kwalijke werk, spammen, wormen, maakt niet uit.

Social Engineering is een kunstvorm op zich geworden. Het wordt steeds meer gebruikt, omdat Microsoft steeds meer gaten in zijn software dicht en er dus andere methoden moeten worden gevonden om een consumenten-pc binnen te komen. Er zijn drie hoofdstrategieën: niks-met-attachment, de smoes, en phishing.

Niks-met-attachment kan erg effectief zijn, zo weten we sinds MyDoom. Het idee is dat je minimale informatie, het liefst helemaal niks, in subjectregel en in de mail zelf zet. Hooguit 'Hi' of 'We konden onze boodschap hier niet kwijt'. En dan is er het attachment. Mensen zijn van nature nieuwsgierig, dus voor velen is dit gebrek aan voorinformatie meer dan genoeg reden om meteen te gaan kijken wat er dan wel in het bijgevoegde bestand te vinden is. Bingo!

De smoesmethode is heel simpel: je komt binnen met een smoesje, mensen slikken het en klikken erop. Populaire smoesjes zijn 'Account overdue', 'U dreigt geld mis te lopen' en 'Microsoft Support'. Die laatste is heel erg slim. Microsoft Support, ha! Als Microsoft-gebruiker kun je alle steun nodig die menselijkerwijs vinden is, en alleen insiders weten dat onze Bill die steun liever niet geeft. Die tientallen miljarden per jaar moeten toch ergens vandaan komen?

Phishing is van de drie methoden het gevaarlijkst. We zijn nu al ruim in het criminele circuit aangeland. Je stuurt mensen een onschuldige boodschap dat hun account op het punt staat te verlopen, of dat er even gecontroleerd moet worden of alle gegevens nog kloppen. Dit alles onder het motto van eBay, PayPal, of een grote bank zoals Citibank of HSBC. Wie doorklikt, komt terecht op een site die het evenbeeld is van de echte site van het desbetreffende bedrijf, met logo's, links en al.

Na tekst en subjectregel is er nog een belangrijk onderwerp te behandelen: 'distributie'. Wederom drie hoofdmethoden: kopen, oogsten en spread-it-yourself.

Kopen is simpel. Je spendeert vijftig piek aan een cd-tje met een paar honderd miljoen adressen waarvan de meeste waardeloos zijn. Geeft niet, er komen altijd nog enkele tientallen miljoenen ergens terecht. Vaak bestaan zulke bestanden ook uit adressen die gewoon zijn gegenereerd met een tekstgenerator. Zo iemand maakt een lijst met persoonsnamen. Kunnen voornamen zijn, of achternamen, of combinaties zoals voor- en achternaam met een punt ertussen of voorletter en achternaam aan elkaar, maakt niet uit. Volgende stap is een lijst met namen van grote bedrijven en internetproviders. Alles met alles combineren, apenstaartje ertussen en klaar is Kees.

Oogsten, of 'harvesten' want de voertaal in spamland is nog altijd Engels, is inmiddels al heel oud. Je stuurt een robot het net op en laat hem alle websites afgrazen op iets dat de syntax van een e-mailadres heeft. Idem, chatsites en discussiegroepen. Levert misschien wat minder adressen op dan de honderden miljoenen van de vorige methode, maar deze zijn tenminste allemaal actief.

Maar het gevaarlijkste is Spread-It-Yourself. Hier komen we op een terrein waar virusmakers en spammers elkaar steeds vaker tegenkomen. Je gebruikt een virus om de boodschap door te sturen aan alle adressen in het e-mailbestand van de ontvanger. Die wordt daarmee zelf de verspreider, wat het meteen een stuk moeilijker maakt om de oorspronkelijke herkomst te achterhalen.

MyDoom gebruikte een combinatie van namen genereren en zelfverspreiding: in eerste instantie werd het virus naar een gegenereerd bestand gestuurd, en vervolgens verspreidde het zich naar adressen in de bestanden van de ontvangers. En om maximale verwarring te verwekken, doet het virus ook nog eens alsof een ander wilekeurig adres uit het bestand van de ontvanger de nieuwe verzender is. Volgt U het nog?

Spam en virussen gaan steeds meer hand in hand. SoBig, Mimail, Bagle en MyDoom, allemaal hebben ze inmiddels honderden miljoenen pc's overal ter wereld klaargezet om gebruikt te worden als spamverspreiders.

Wat leert ons dit allemaal?
at de oplossing van het probleem in een andere richting gezocht moet worden dan steeds meer nieuwe en tot mislukken gedoemde wetgeving. Spam valt onder list en bedrog, en dat is al verboden. Amerikaanse politici proberen te scoren met wetten met gladde benamingen zoals CanSpam, en proberen nu ook phishing te gaan verbieden. Welja, waarom niet ook nog even een KillMurder-wet? Worden we er meteen weer aan herinnerd dat moorden nog steeds niet mag.

Europeanen wijzen naar Amerikanen omdat alle spam nog steeds door en ten behoeve van de Amerikaanse markt wordt gemaakt. En de spammers zetten hun tentjes op in Zuid-Amerika. Bijna alle MyDoom-mails in mijn inbox kwamen van Argentijnse servers.

De kern van het probleem is tweeledig: ten eerste is het vervalsen van afzendadressen zo ongeveer het gemakkelijkste wat er bestaat, en ten tweede is versturen nagenoeg gratis. Dat laatste valt op verschillende manieren aan te pakken, maar dat brengt wel ongemak met zich mee. De Koreaanse Internetprovider Daum werkt al jaren met een verzendtarief voor bulkmail. Microsoft is bezig met een softwarematige oplossing: laat de verzendende computer een berekening uitvoeren waardoor verzenden computertijd, is geld, kost. Microsoft? Ik houd mijn hart al vast. Om te beginnen gaat het jaren duren voordat iedereen het geld voor een upgrade van zijn e-mailclient heeft kunnen opbrengen, en lang voordat het zover is, heeft een virusmaker het systeem allang gekraakt.

Maar misschien ben ik te pessimistisch. En voorlopig worden spamfilters steeds beter...