Het vliegdekschip HMS Queen Elizabeth is het grootste schip dat ooit voor de Royal Navy is gebouwd. Het project kostte meer dan negen jaar en ruim 4 miljard euro. Afgelopen maandag vertrok het schip voor proefvaarten, maar een opvallende foto onthulde een detail: de systemen draaien op Windows XP. Met twee grote ransomware-aanvallen in minder dan zestig dagen stellen velen zich nu vragen bij de cyberveiligheid van het schip.
Het grootste oorlogsschip van het Verenigd Koninkrijk
De HMS Queen Elizabeth vervangt de drie buiten dienst gestelde vliegdekschepen van de Invincible-klasse (Invincible, Ark Royal en Illustrious). Het schip is 280 meter lang, heeft een waterverplaatsing van meer dan 70.000 ton en kan maximaal 40 vliegtuigen vervoeren (36 F-35's en vier helikopters). Als er geen onverwachte vertragingen optreden, wordt het schip eind dit jaar in dienst genomen en is het vóór 2021 operationeel. Het krijgt een zusterschip, de HMS Prince of Wales, dat iets later in de bouw is. De Queen Elizabeth is verreweg het grootste en modernste schip dat ooit voor de Royal Navy is gebouwd – maar er is één element in het ontwerp dat ons verraste: de software.
Windows XP aan boord
De foto toont twee officieren en in de achtergrond een ingeschakelde monitor. Het geoefende oog herkent de blauwgrijze rechthoek als het login van Windows XP, waarvan de uitgebreide ondersteuning in april 2014 eindigde. Overheidsorganisaties kunnen extra ondersteuning krijgen als ze daarvoor betalen, maar de Britse overheid stopte in 2015 met de betalingen om een upgrade af te dwingen. Dat liet het gezondheidssysteem (afhankelijk van XP) in een nog delicatere positie achter, en het was een van de belangrijkste slachtoffers van de WannaCry-campagne.
De minister van Defensie Michael Fallon verklaarde via de BBC dat het computersysteem van de Queen Elizabeth geen enkele kwetsbaarheid vertoont en dat de beveiliging eromheen passend is.
Veel interessanter zijn de uitspraken van commandant Mark Deller, die sprak over een veel schoner en strikter inkoopproces vergeleken met de commerciële computers in het gezondheidssysteem. Hij voegde eraan toe: «wanneer je een schip koopt, koop je het niet vandaag, maar heb je het twintig jaar geleden gekocht». De oorspronkelijke bestellingen voor de Queen Elizabeth-klasse dateren van juli 2007, toen Windows XP minder dan zes jaar oud was. Tot slot benadrukte hij dat het vliegdekschip ruime mogelijkheden heeft voor updates en aanpassingen, zodat alles wat op de beelden te zien is, op termijn kan worden verbeterd. Daar komt nog de constante aanwezigheid van een cyberveiligheidsteam als onderdeel van de bemanning bij.
Ik wil graag aannemen dat de HMS Queen Elizabeth de komende maanden aan alle mogelijke penetratietests zal worden onderworpen. Als er een fout in het systeem zit, zou het ideaal zijn om die nu te ontdekken.
