Mooi, hoewel er het dus nog niet helemaal open is. Ik heb het altijd bizar gevonden dat je als boer zijnde, volledig afhankelijk van deze apparatuur, niet eigen reparaties kon uitvoeren. Dat is volgens mij bijna vitaal.
Het is overal zo, zo'n beetje alle fabrikanten dromen van een gesloten platform waar ze zelf de baas van zijn. Dat is op termijn altijd nadelig voor de klanten en gebruikers. Alleenheerschappij loopt nooit goed af, ook al wordt het verkocht als bescherming van de klant. Dat is natuurlijk onzin.
Ik snap dat er situaties zijn waarin het te moeilijk of te riskant is om dingen zelf te doen, maar dat is niet anders dan gas, electriciteit of auto's en die hebben we allemaal thuis. De enige uitzondering is het loodje op de meter. Ook dat is er in het belang van de leverancier, niet de gebruiker (al heb je ook niks aan een failliete leverancier).
De 'right-to-repair'-wet is een stap de goede kant op maar gaat nog lang niet ver genoeg. Dat apparaten lastig open te maken zijn is maar een van de problemen een reperatie, zelfs als ze het opzettelijk moeilijk maken. Nog lastiger is de software en die wordt steeds belangrijker. Apple & John Deere zijn niet de enige die zo werken, de meeste mobiele telefoons zijn in praktijk net zo lastig, al doen die nog niet actief hun beste om vervangende onderdelen buiten te sluiten.
Fabrikanten zouden gedwongen moeten worden om de broncode van de software van hun apparaten vrij te geven (inclusief compilers en andere begeleidende softwar). Het zou verboden moeten worden om het (praktisch) onmogelijk te maken om software te vervangen of aan te passen.
Het wordt iets lastiger als er een gesloten compiler gebruikt wordt maar dat is sowieso maar een slecht idee (te lang verhaal voor nu, maar een compiler is te belangrijk om in het geheim te laten werken) en tegenwoordig eigenlijk niet meer nodig. Laat ze er maar rekening mee houden net als met alle ander veiligheidsvoorschriften waar ze aan moeten voldoen.
Ik denk dat ongecontroleerde en onaanpasbare geheime software een van de grootste bedreigingen van deze tijd is. Alles wordt vol software gestopt (en dat is prima) maar haast niemand lijkt na te denken over de gevolgen op lange termijn.
De eerste schimmen van het probleem zien we op het gebied van beveiliging. Dat is een beetje ironisch omdat gesloten systemen soms worden aangeprezen omdat ze veiliger zouden zijn (dat is eigenlijk nooit waar). Eigenlijk ieder huishouden en ieder bedrijf van Nederland heeft wel een oud apparaat met grote fouten in de software dat toch op het netwerk is aangesloten. Van slimme lampen tot mediaspelers tot televisies tot webcam's tot slimmedeurbellen. Vinden mensen het ook nog steeds normaal om niet te upgraden tot ze min of meer gedwongen worden en raden elkaar zelfs aan om dat niet te doen "want het werkt nu, dus afblijven". Oude systemen die niet meer onderhouden worden blijven we toch gebruiken.
(Voor de duidelijkheid, dit is geen berisping maar een observatie. Zelf doe ik er ook aan mee).
De beste vergelijking zijn onze PC's, daar doen we dat ook en daar is de software nog relatief makelijk te onderhouden en vervangen. Dat probleem is al lang bekend en totaal mainstream sinds MS campagne moest voeren om mensen van Win95 af te krijgen (en alle windows versies daarna hetzelfde).
MS geeft de updates naar een nieuwe Windows versie tegenwoordig vrijwel gratis weg en nóg blijft het lastig om mensen te overtuigen om te upgraden, al is het maar omdat nieuwe versie typisch meer over features gaan dan over securitiy fixes en mensen niet het risico willen lopen dat een applicatie opeens anders werkt. Voor de leverancier is dat economisch gezien niet interessant. Bestaande producten onderhouden kost geld en levert niks op. Met nieuwe features kun je soms nog iets extra's verdienen of je apparaat of applicatie wat aantrekkelijker maken voor nieuwe klanten.
Datzelfde probleem gaan we 10 keer groter krijgen met alle slimme apparaten en IoT-achtige toepassingen. Het knettert nu al en er wordt niet voor niets geadviseerd om IoT altijd in een apart netwerksegment te zetten. Maar hoeveel mensen weten uberhaupt wat daar mee wordt bedoelt? Daarbij hebben die apparaten niet voor niets een netwerkaansluiting, helemaal isoleren is juist niet de bedoeling.
Oude zooi heeft ook invloed op nieuwe spullen/software die in principe beter is. Want als moderne beveiliging niet samenwerkt met een oud apparaat dan zetten mensen al snel de beveiliging uit. Kijk bijvoorbeeld naar hoe we wiorstelen met oude SSL-versies die 10 jaar later nog steeds gebruikt worden.
Het probleem begint een klein beetje zichtbaar te worden rond apparatuur als mobiele telefoons en beveilingscamera's. We beginnen ons zorgen te maken over software en apparaatuur die we niet onder controle hebben en die ons bespioneert en manipuleert. Of dat nu is om reclame te laten zien of om de censuur van een dictator uit te voeren of om data te verzamelen om hun eigen AI mee te trainen.
Helaas pakken we het helemaal verkeerd aan door apparaten te verbieden op grond van het land waar het hoofdkwartier is gevestigd. Dat is een prima aanpak voor juristen maar niet voor techneuten. Het is best wel gestoord om bv telefoons van Huawei te verbieden op grond van niet veel meer dan angst. Want al die andere telefoons bevatten dezelfde chips uit dezelfde Chinese fabrieken en gebruiken daarvoor dezelfde brakke drivers en software als de rest. Natuurlijk zijn er onderlinge verschillen maar de risico's zitten vooral in de software (en firmware is ook software). Die software kan a la minute veranderd worden... maar alleen door de fabrikant en de klant/gebruiker heeft geen idee wat er veranderd.
Het lijkt allemaal erg veel op een rituele dans. Het helpt misschien een beetje maar is vooral uiterlijk vertoon. Hardware verbieden is niet echt een security maatregel maar meer erkennen dat je geen controle hebt. Laten we daar dus zo snel mogelijk mee stoppen door het probleem aan te pakken in plaats van te ontkennen. Met isoleren en verbieden schieten we niets op als we de werking niet kunnen controleren en apparaten inherent een netwerkaansluiting nodig hebben.
Dan is er nog het aspect dat de aandacht die er nu wel is erg vermengd is met politiek. We zien met name maatregelen die de VS neemt tegen China en dat wordt heel binair gepresenteerd: China niet te vertrouwen en de VS kun je blind vertrouwen. Met eerste deel daarvan ben ik het wel eens maar blind vertrouwen zou je nooit moeten hebben. Zoals de Amerikaanse president Reagean al zei: "Trust, but verify".
Die 'but' is niet optioneel maar juist essentieel. De huidige aanpak is alleen het eerste deel, vertrouw de ene partij blind en wantrouw de andere partij van net zo weinig informatie. Voor de duidelijkheid, ik probeer zeg niet dat die situaties helemaal gelijk zijn. Ik heb meer vertrouwen in de VS dan in China. Het probleem is dat vertrouwen niet het juiste middel is als je er geen controle bij hebt om dat vertrouwen op te baseren.
Onze wereld draait op software. We moeten het recht hebben om die software te bestuderen en aan te passen. Niet alleen in theorie maar ook in praktijk. Zo'n beetje alles wat nu verkocht wordt voldoet daar niet aan en is dus op (niet al te) lange termijn onhoudbaar. Zelfs als we morgen de wet veranderen zal het nog wel 30 jaar duren voor de zooi die we nu installeren vervangen is.
Overigens geeft 'de cloud' weer een heel andere draai aan een aantal aspecten omdat de software niet langer op je eigen apparaat draait. Dat moet ons niet van de wijs brengen, dezelfde essentiele rechten blijven nodig zoals de mogelijkheid om te zien hoe het werkt en de mogelijkheid om dat te veranderen, bv door met je eigen server te verbinden ipv die van de fabrikant/leverancier. Als dat niet goed in het model past dan is dat model gewoon niet geschikt voor de moderne wereld.
In mijn ogen is een 'right to repair' de eerste stap naar het terugkrijgen van de controle. Ik vind dat we van fabrikanten moeten verlangen dat ze daar aan mee werken, zelfs als dat betekent dat ze extra moeite moeten doen, bv om een seriele poort toe te voegen zodat je bij de software kan.
Hoe langer we wachten hoe meer we gedwongen gaan worden om domme maatregelen toe te passen die zijn gebaseerd op blind vertrouwen en onze volledige overgave aan de goede wil van de fabrikaten met de juiste politiek contacten.