Let op! Er zijn 3200 hackers op de camping

Van 22 tot 26 juli kwamen 3200 ethische hackers samen in Zeewolde tijdens het evenement May Contain Hackers (MCH) 2022. Welkom in de wereld van 10 gigabit-internet in een tentje, dixi’s voor internettoegang en bezoekers die hun wifi-snelkookpan opvoeren.

Een golfkarretje met een opblaasbare eenhoorn op het dak rijdt van de parkeerplaats naar het festivalterrein. Op de toegangsweg wapperen kleurige vlaggen met het MCH 2022-logo. Bezoekers slenteren vrolijk rond tussen de presentaties in één van de grote tenten en hun thematisch gerangschikte kampeervelden, ‘villages’ genoemd. Hackersgroepen uit onder meer Italië, Duitsland en Oostenrijk laten met een sticker op de evenementplattegrond zien waar ze te vinden zijn.

Het scoutingterrein van Zeewolde is voor dit lange weekend omgetoverd tot een hackersfestijn. De kampeervelden zijn voor deze vier dagen vernoemd naar ict-grootheden als Turing, Wozniak en Torvalds. Er is zelfs een Chriet Titulaer-eiland, een grapje van het Arnhemse hackercollectief Hack42 dat de kaart heeft gemaakt.

‘Iedereen kan hier zichzelf zijn. Het voelt als één grote familie’, vertelt een vrijwilliger van de organisatie die al zo’n veertig jaar in de ict werkt. Hij is hier vooral bekend onder zijn hackersnaam fd0 en dolblij om eindelijk weer zijn ‘soortgenoten’ ‘live’ te ontmoeten. Door alle Covid-19-restricties was dat lange tijd niet mogelijk. En het is nog steeds oppassen geblazen. Op het terrein dwaalt het coronaspook nog steeds rond. Enkele bezoekers hebben het evenement vroegtijdig moeten verlaten omdat ze positief testten op corona. Deelnemers is gevraagd om bij de presentaties in de grote tenten een mondmasker te dragen en iedere dag te testen. Waar dat kan wordt afstand bewaard om te voorkomen dat MCH 2022 de boeken in gaat als superverspreider van het virus.

Vrijwilligers

MCH leunt volledig op vrijwilligers, ze melden zich voor een bardienst of hand- en spandiensten rondom de bijna 250 presentaties tijdens het evenement. Ook bemannen ze voor hun lol plekken als het POC (Phone Operation Center). Naast bellen via wifi, – het netwerk van mobiele telecomoperators is niet best hier in de polder – beschikt het festival ook over een dect-netwerk en veldtelefoons via koperverbinding. Waarom? Gewoon omdat het kan en omdat het werkt. Wie de proef op de som neemt en een veldtelefoon aanslingert, hoort naar een paar keer draaien een stem aan de andere kant van de lijn: ‘Hallo hier is het contactcentrum van het MCH, waarmee kan ik u helpen?’ ’s Avonds bellen de campinggasten graag naar een op afstand te bedienen installatie met vlammenwerpers. Als er een verbinding tot stand komt, spuwt het gevaarte vlammen uit op het ritme van de kiestoon. De hackers stoken zo op geheel eigen wijze een kampvuur. 

Tetris-toernooien

Op deze plek in Zeewolde, door de MCH-organisatie aangeprezen met de tekst ’55 km east of Amsterdam’ wordt vooral Engels gesproken waar opvallend vaak een Duits accent doorklinkt. Ook de kentekenplaten op de parkeerplaats verraden dat er veel bezoekers uit het Duitse taalgebied zijn.

Zo ook een vriendengroep uit Oostenrijk. Daniel Brunner die samen met een vriendengroep uit Graz en Wenen zo’n 1100 kilometer van huis hun Austriandome heeft opgezet, vertelt met een flesje bier in de hand hoe twee bestelbussen met apparatuur zijn volgeladen om hier Tetris-toernooien te spelen, andere hackers te ontmoeten en interessante lezingen bij te wonen.

Brunner, die met zijn vrienden op elektrische skelters over het terrein rijdt, heeft ook de Rasberry PI-computer geprogrammeerd van een karretje met luidsprekerbox dat overal en nergens op het terrein wordt neergezet. Tijdens het gesprek speelt het ding dankzij honderd regels Ruby-code dezelfde zwevende beat die in de iglotent van de Oostenrijkers klinkt. Brunner en zijn vrienden hebben een mooi weekend achter de rug.

Privacy

Maar niet iedereen laat zich deze middag graag interviewen. ‘De pers? Ik ben tegen de pers!’, briest een deelnemer die met de laptop op schoot in een zitzak hangt. De organisatie had vooraf al meermaals gewaarschuwd dat veel mensen op het festival ‘erg veel waarde hechten aan hun privacy’. Er is gevraagd zichtbaar een badge te dragen met de tekst ‘Press’. Bezoekers weten dan met wie ze te maken hebben. Fotograferen en filmen mag alleen na uitdrukkelijke toestemming van deelnemers en tijdens het bezoek aan het festival loopt er iemand van de organisatie mee om een oogje in het zeil te houden.

‘Sommige deelnemers willen liever niet dat anderen weten dat ze hier zijn’, vertelt fd0. Ze betalen het festivalticket van zo’n driehonderd euro contant om geen digitale sporen achter te laten in de data van online betalingsverkeer.

‘Staatsgevaarlijke anarchist’

Dat soort gedrag kan buiten deze groep de wenkbrauwen doen fronzen. Hier kijkt niemand er van op. Op deze camping bellen bezoekers liever niet via wifi en worden Whatsapp en Facebook verafschuwd. Dat ietwat geheimzinnige en gesloten karakter van de community van ethische hackers werkt ook wel eens tegen hen. Ze worden door het grote publiek vaak op één hoop gegooid met criminelen. Zeker nu hacks dagelijks in het nieuws zijn.

De MCH-organisatie benadrukt graag de verschillen tussen ethische hackers en kwaadwillende hackers. Het verschil tussen die zogenoemde ‘white hat’ en ‘black hat’ hackers: De ethische hackers, die vaak onder duidelijke afspraken en voorwaarden (responsible disclosure) systemen testen en risico’s melden hebben vooral last van de foute ‘black hat hackers’ ofwel ‘crackers’ die moedwillig systemen binnendringen of slopen en daar geld aan willen verdienen.

Het leidde in 2001 nog tot een misverstand toen de politie een observatiepost plaatste bij MCH-voorganger HAL (Hackers At Large) in Enschede. De ethische hackersscene werd er verward met criminelen. De politie plaatste een observatiepost bij het terrein en het netwerkverkeer werd afgetapt om te checken of er geen criminele activiteiten plaatsvonden, herinnert fd0 zich.

Die situatie is twintig jaar later behoorlijk veranderd. ‘We worden nu met rust gelaten en hoeven geen T-shirts meer te dragen met de tekst ‘staatsgevaarlijke anarchist’, lacht hij, verwijzend naar een actie waarmee netwerkbeheerders destijds hun ongenoegen uitten over de hoek waarin ze werden geduwd.

Lekker lockpicken

Nog een misverstand ontkracht: hacken gebeurt lang niet altijd digitaal. Even verderop waagt een groep zich aan het kraken van fysieke sloten. Met allerlei gereedschap wordt geprobeerd het ijzerwerk open te maken. Jan-Willem Markus, in het dagelijks leven secuirty-analist en -trainer, vertelt in de tent van Toool (The open organisation of Lockpickers) wat de uitdaging daarvan is.

‘We zien sloten als puzzels. Als ze niet open gaan dan stoppen we er zo veel tijd in dat het wel lukt.’ Hij hanteert naar eigen zeggen een belangrijke ‘ethiek’. Lockpicken gebeurt alleen hier op tafel, zegt hij terwijl hij naar allerlei slotjes wijst die liggen uitgestald op de tafels die in carré-opstelling in de tent staan. Zomaar sloten openbreken is er niet bij, hij wil ver wegblijven bij criminelen die met geweld sloten openmaken om ergens in te breken. ’Het gaat hier op het festival echt om de creativiteit. Hij wijst met een brede glimlach op zijn gezicht naar een tent verderop. ‘Onze buren koken met een gehackte snelkookpan. Heerlijk toch.’

Families

Op het festival is ook plek voor gezinnen met jonge kinderen. Er is een ‘family village’ inclusief kinderopvang. Papa’s en mama’s hebben dan de handen vrij voor een hackklusje, kunnen een presentatie bijwonen of deelnemen aan een workshop. Er is een speelweitje met opblaasbare beesten en ouders met kinderzitjes op de fiets rijden vrolijk over de kronkelende paden van het campingterrein. Kinderen kijken wat verschrikt naar een door bezoekers geknutselde in aluminiumfolie gehulde draak die rook uitblaast. Hun moeder: ‘Deze is niet echt hoor’.  

Frank Breedijk, in het dagelijks leven ciso bij ict-dienstverlener Schuberg Philis, staat op de camping met het DIVD (Dutch Institute for Vulnerability Disclosure). Hij hield de dag ervoor nog een presentatie over een groot data- en privacylek en beveiligingsrisico in zonnepanelen van een Chinese leverancier. Dat verhaal over International Outage Technology, een knipoog naar het begrip IoT (Internet of Things) heeft internationaal de aandacht van de media gehaald. Hij wordt zo gebeld door Radio1 voor een interview, maar vouwt eerst nog een hondje van een ballon in de tent met activiteiten voor de allerjongste bezoekers van MCH 2022.

Breedijk: ‘We hebben hier kinderactiviteiten zoals tekenen en knutselen, maar er zijn ook escaperooms voor kinderen en allerlei opdrachten.’ Hij wil de jonge bezoekers bijbrengen dat de wereld maakbaar is. ‘Hacken is vaak technisch, maar het gaat ook om creatief denken. Hier kunnen kinderen van alles leren, van solderen tot programmeren.’

Dixi

Om te zorgen dat de deelnemers snel internet hebben tot in hun tent zijn 38 dixi’s geplaatst. Die oranje behuizing die normaal als mobiel toilet in gebruik is, beschermt de apparatuur voor internettoegang die verspreid is over het terrein tegen regen en stof. Ze zorgen voor 10 gig uplink via koperverbinding en internet via wifi voor alle bezoekers.

‘Zelfs de dixi’s zijn hier gehackt’, lacht netwerkbeheerder Arjan Koopen. Twee passeerde bezoekers steken meteen hun neus naar binnen om te kijken welke apparatuur er het hokje verstopt zit. Koopen vertelt dat deze oplossing vele malen goedkoper is dan het neerzetten van speciale buitenbehuizingen. Bovendien is het voor dit evenement, waar extreem veel netwerkcapaciteit wordt gevraagd en niemand het in zijn hoofd haalt om spullen te stelen, een prima oplossing.

Op de vraag of hij met 3200 hackers op de camping niet constant bang is dat er iemand ergens in het netwerk zit te snuffelen of de boel wil platleggen, reageert hij nuchter. ‘Dat valt mee. Hoe zeg je dat? You don’t shit where you eat?’ Op deze camping laten hackers zich alleen van hun vriendelijkste kant zien.