Cyberkrig: När ges ordern att trycka på knappen?

Redan 1983 tog filmen Wargames upp ett scenario där ett kärnvapenkrig var på väg att bryta ut. Enligt datorsystemet så hade Sovjetunionen skickat iväg kärnvapen mot USA, men tack och lov tryckte aldrig amerikanerna på knappen för att skicka vedergällningsmissiler åt andra hållet. Vilket man i filmen var väldigt lättade över när det visade sig vara en tonåring som spelade ett spel, helt ovetandes om vilka konsekvenserna hade kunnat bli.

För ett par veckor sedan skrev jag om svårigheterna att identifiera en angripare vid en cyberattack. Förra veckan var jag i Paris, och stötte där på militärer som patrullerade runt några av Paris sevärdheter. Vår guide - som visade sig lika skeptisk som jag till deras nytta - förklarade att bakgrunden till det var att Frankrike var på väg att införa ett "burkaförbud" och man upplevde därför en förhöjd hotbild. Nedan är en bild tagen på militärer utanför Notre Dame.

Men vad gör militärerna där egentligen? Beväpnade med automatkarbiner, vad kan de egentligen göra för nytta för att avstyra ett självmordsattentat? Mina tankar går så här: varje år kommer miljontals turister till Paris. Förutom stolthet ger det också Frankrike flera miljarder euro per år. Men vad skulle hända med det antalet om en turist blev skjuten? Vad skulle det innebär politiskt och ekonomiskt? Förmodligen skulle det vara KATASTROF, och de politiska konsekvenserna skulle bli mycket stora.

Det borde vara säkert att säga att någon militär inte kommer klämma på avtryckaren såvida han inte är absolut 100% säker på att det är en terrorist han skjuter.

Så i "cyberrymden", där det i princip inte går att vara 100% säker, vem trycker egentligen på knappen då? Well, konsekvenserna av en knapptryckning behöver inte vara lika allvarliga. Svaret behöver varken vara symmetriskt i storlek, eller för den delen innebära att man skickar iväg alla sina kärnvapen. Det kan lika gärna bli ett diplomatiskt svar i form av höga tullavgifter, ett veto i något FN-råd eller vad som helst.

Det kan också vara så att den som utfört attacken VILL avslöja sin identitet i syfte att visa upp sina muskler. En sorts vapenrustning: "You can hack me, but you should remember I'm probably better at that sort of thing than you are" (TBob).

Ett sådant tillfälle där musklerna flexades var 2008 då Kina visade sin kapacitet genom att ösa ut uppsnappade amerikanska meddelanden på en kanal där Kina visste att NSA skulle se det. Uppenbarligen hade Kina lyckats VÄLDIGT väl med att ta hand om ett NSA-plan som efter en kollision hade tvingats nödlandat i Kina 2001. Något som amerikanerna inte bedömde vara möjligt 2003, men som Kina fem år senare visade upp.

---

Den andra sidan av myntet är förstås att det blir mycket lättare att trycka på knappen för offensiva angrepp. Om risken för konsekvenser är låga, varför inte ta chansen? Något knepigare i demokratiska länder där offensiva operationer behöver vara sanktionerade på ett annat sätt, men på det hela taget något man bör vara väl medveten om när det handlar om cyberoperationer. Att det är svårt att identifera angriparen ökar sannolikheten för angrepp. Den enda motkraften kan vara att det krävs en viss kompetensnivå att utföra dem. Hur mycket beror helt på hur väl skyddat målet är.

Läsarfrågan: Hur många mål som är värda något för en stat kan idag nås av en scriptkiddie? Hur många är redan ägda?