‘We wilden kijken of we er echt een real life case van konden maken’, zegt informaticastudent Rajeck Massa (23), die samen met studiegenoot Jayme Hebinck (24) tijdens hun master Computer Science zogenoemde Capture the Flag-events organiseerden.

Deelnemers gaan dan op zoek gaan naar verborgen flags in kwetsbare programma’s, netwerken en systemen.

‘Dat was altijd heel gezellig, dan haalden we pizza’s. Wij zagen dat studenten enthousiast waren en bedachten: kunnen we hier geen studiepunten aan hangen?’ Het zou natuurlijk helemaal mooi zijn als ze de universiteit digitaal onder vuur konden nemen. ‘We kwamen dan ook in contact met het ICT Shared Service Centre (ISSC) van de universiteit.’

Zwakke plekken

Roy Kokkelkoren (coördinerend SOC Security Specialist van het ISSC), zag het idee meteen zitten. In het extracurriculair vak Capture the Flag: Cybersecurity in Practice gingen de Leidse studenten onder begeleiding van universitair docent Eleftheria Makri op zoek naar zwakke plekken in het universitaire netwerk.

Er was wel één belangrijke voorwaarde: de studenten moesten zich aan de regels houden. De universiteit maakt gebruik van het responsible disclosure policy waarin staat dat iedereen mag hacken, mét bepaalde richtlijnen. ‘De meeste grote bedrijven maken hier al gebruik van’, vertelt Kokkelkoren. ‘De organisaties mogen gehackt worden, dan krijgen de hackers een kleine beloning, zoals een shirtje.

Het is hierbij wel een vereiste dat je geen misbruik maakt van hetgeen wat je gehackt hebt.’

Na de theorie gaan de studenten eerst oefenen in zogeheten boxes, virtuele machines met kwetsbaarheden die ze kunnen aanvallen. Het principe: eerst leren hoe je ethisch hackt, daarna pas aan het echte werk beginnen.

In het tweede semester mogen de studenten de systemen van de universiteit te grazen nemen. Wanneer ze iets vinden, hoeven ze niet vanzelfsprekend met een oplossing te komen. ‘Dat zou mooi zijn, maar is niet verplicht’, zegt Kokkelkoren. ‘We hebben afgesproken met Eleftheria en de heren dat de bevindingen van een goede kwaliteit moeten zijn, anders kost het ons te veel tijd. Ze doen nog een laatste check voordat ze bij ons komen.’

Open deur

Op de vraag hoe vaak de studenten daadwerkelijk iets hadden gevonden, wordt het even stil. Na enige aarzeling kwamen de studenten uit op vier à vijf keer. Welke zwakheden ze precies hebben blootgelegd, willen ze niet zeggen.

Als een student een fout ontdekt, betekent dat volgens Kokkelkoren niet dat de universiteit onveilig is. ‘Elke organisatie is te hacken, juist wanneer er iets gevonden is, staan we ervoor open om van die input juist weer wat te leren. Zie een universitair systeem als een deur en een klink, wij weten hoe je die deur open en dicht doet. Een student die deze deur niet vaak gebruikt, denkt misschien: ik moet hem van de andere kant openmaken of ik ga er even aan hangen. Die andere aanpak helpt ons enorm.’

De hackers vinden het bijzonder dat ze dit vak hebben kunnen realiseren. ‘Het is heel gaaf, we zijn recentelijk afgestudeerd, maar leren er alsnog heel veel van, vooral van de leerlingen’, vertelt Hebinck.

Diploma

En wat als de andere studenten het niks vinden? ‘Dat is voor de cursus ook prima, zolang ze het geprobeerd hebben en zich in eerdere semesters al aan dergelijke puzzels hebben gewaagd’, stelt Makri.

De studenten weten dat het veel werk kost, veel meer dan andere vakken van twee studiepunten. Maar dat maakt ze niet uit. ‘Iedereen die eraan begint weet dat, het gaat ze echt om de kennis die ze ermee opdoen, niet om de punten, en dat het gaaf staat op je diploma’, aldus Massa.

Makri: ‘We willen ook geen studenten die het alleen voor de punten doen. Ze moeten het echt leuk vinden.’