Ongecontroleerd uitdijen van ziekenhuisnetwerk leidt tot problemen

Op vrijdag 6 juni 2025 las ik op de website van het onvolprezen online techmagazine The register een artikel over het disfunctioneren van een pasjessysteem in een niet nader genoemd ziekenhuis. Ik wil het u niet onthouden. Het artikel is er één in een vast reeks waarin met anoniem technische support-medewerkers aan het woord laat waarbij telkens een duidelijk leermoment voorop staat. Deze keer ging het om een technicus die als een ware Sherlock Holmes het probleem oploste van een niet goed werkend pasjes-systeem in een ziekenhuis. Die digitale pasjes regelden de toegang tot afdelingen waartoe medewerkers geautoriseerd waren. Van de ene dag op de andere raakte het systeem van slag. Deuren die op slot moesten, bleken ontgrendeld. Kaarten die deuren moesten ontgrendelen, werden niet geregistreerd. Het zou een ordentelijk netwerk moeten zijn maar bij nader onderzoek vond de technicusforse ICT-problemen.

Zoektocht

In eerste instantie daalde technicus af naar de kelder en vond daar een switch met 16 poorten. Dat bleek de ruggengraat van het toegangscontrole-systeem. Een switch is trouwens een apparaat dat apparaten in een netwerk met elkaar verbindt. Het zorgt ervoor dat data kan worden verzonden tussen verschillende apparaten op hetzelfde netwerk, zoals computers, printers en servers. Bij de ingeplugde kabels branden lampjes die dataverkeer aangeven. Een paar van de lampjes knipperden veel te snel naar het oordeel van de technicus. Hij volgde de kabel die bij de mogelijk defecte poort hoorden en nog een switch met te snel knipperende lampjes. Toen hij een kabel die daaraan vastzat volgde kwam hij bij de kraamafdeling terecht. Daar stond ook een kastje met daarin weer een switch. Daarin zaten power-over-internet-injectoren en opnieuw kabels die men ooit verbonden had met een zogeheten “bridge” op het dak van de instelling..

Bridge

Een bridge is een ICT-apparaat dat twee verschillende netwerken aan elkaar verbindt. Toen de technicus één van de power-over-internet-injectoren loskoppelde werkte het toegangspasjes-systeem weer normaal. Eenmaal op het dak zag de technicus dat één van de slagbomen van de parkeerplaats niet werkte. De monteur van die slagbomen legde uit dat iemand onlangs met zijn auto tegen de slagboom was gereden en dat de draadloze brug vervangen was… net voordat het toegangscontrolesysteem het begaf. De technicus vermoedde dat de leverancier van het toegangscontrolesysteem vooraf geconfigureerde bruggen leverde, meestal met dezelfde SSID en hetzelfde wachtwoord. Na wat testen bleek zijn hypothese te kloppen: de bruggen op het dak deelden allebei een naam en wachtwoord. Na het ongeluk op de parkeerplaats hadden ze de verbinding met de wifi-set daar beneden verbroken en verbinding met elkaar gemaakt. De resulterende digitale lus overspoelde het netwerk en veroorzaakte problemen met het toegangssysteem.

Chaos 

In principe zullen ICT-netwerken in kantoren/zorginstellingen ordentelijk ontworpen en uitgevoerd zijn. Wat je hier ziet is dat er chaos kan ontstaan door een telkens uitdijend ICT-systeem in een ziekenhuis. Bij een bestaand netwerk gaat men dan telkens functionaliteit toevoegen waarbij men snelle oplossingen bedenkt zonder na te denken over de consequenties voor het systeem als geheel. Het gevolg is dat er op den duur een niet of slecht gedocumenteerde situatie ontstaat. Een situatie die uiteindelijk kan leiden tot disfunctioneren van onderdelen van het ICT-systeem van een instelling. Wat je ook ziet in deze casus is dat men niet de moeite neemt om de fabrieksnaam en het fabriekswachtwoord van een bepaald ICT-apparaat te wijzigen. Daardoor hebben die apparaten geen unieke identiteit en kunnen met elkaar interfereren. Alleen met een streng en strikt opererende ICT-afdeling van de organisatie zelf zal men kunnen voorkomen dat er hap-snap-oplossingen bedacht en uitgevoerd worden. Ongeautoriseerde en ongedocumenteerde uitbreidingen veroorzaken chaos.

Diginotar

We moeten nooit zeggen dat zulke problemen in Nederland niet voorkomen. Een schoolvoorbeeld hoe het gigantisch uit de hand kan lopen door quick-fixes in een organisatie is de Diginotar-affaire in 2012. DigiNotar was een Nederlandse commerciële certificaatautoriteit. Het verzorgde de PKIoverheid-beveligingscertificaten voor grote delen van de Nederlandse overheid, waaronder die van DigiD en de RijksDienst voor het Wegverkeer(RDW). In juni 2011 lukte het een hacker die zich Comodo-hacker noemde, in te breken bij DigiNotar. Als gevolg van deze hack gaf DigiNotar op 10 juli 2011 een certificaat voor het Google-domein *.google.com uit aan onbekende personen in Iran. Dit certificaat zou mogelijk gebruikt kunnen zijn voor een man-in-the-middle-aanval tegen Gmail. Eind juli 2011 raakte DigiNotar op de hoogte van de uitgifte van dit certificaat, maar het bedrijf maakte daar geen melding van. Pas nadat op 27 augustus 2011 op een blog melding werd gemaakt van de hack, volgde op 30 augustus een bevestiging door DigiNotar.

Kabeltje

Bij Diginotar was het nodige mis. Niet voldoende geupdate servers in het netwerk hadden hetzelfde wachtwoord. De voor afgifte van de beveiligingscertificaten benodigde computers stonden in een zwaar beveiligde ruimte. Men had echter uit gemakzucht een netwerkverbinding vanuit die ruimte gemaakt  naar een firewall. Die firewall stond open voor een verbinding naar dezelfde databaseserver die de hacker al gekraakt had.

Security.nl schreef in 2012:

“De hele overheid heeft hier maandenlang grote problemen mee ondervonden, want de belastingdienst en vele andere overheidsorganisaties werden hierdoor gedwongen om al hun certificaten te vervangen. Dat was waarschijnlijk niet nodig geweest als DigiNotar aparte netwerken en accounts had gebruikt voor de verschillende certificaatservers. Dat laatste is natuurlijk nog steeds niet de beste oplossing, maar het had in ieder geval de schade beperkt. De echte oplossing zou zoals voorgeschreven zijn dat er geen enkele netwerkkoppeling was geweest.” 

W.J. Jongejan, 12 juni 2025

Afbeelding van Vilius Kukanauskas via Pixabay