Het uitvoeren van een denial of service aanval (of in mooi Nederlands een verstikkingsaanval) is sinds 1 september 2006 ook strafbaar. Op het belemmeren van de toegang tot of het gebruik van een systeem door daaraan gegevens aan te bieden of toe te zenden staat maximaal 1 jaar cel of geldboete van 16.750 euro (art. 138b).  

Bij een dergelijke aanval worden zo veel gegevens verstuurd naar een systeem dat dit systeem niet meer in staat is normaal te functioneren. Voorbeelden zijn het massaal sturen van nepverzoeken naar Websites, iemands mailbox volstoppen met tienduizenden e-mailberichten (of juist met een paar hele grote berichten – een “e-mail bom”), of het zo vaak opvragen van een webpagina dat de server dit niet meer aankan.

Het belemmeren moet wel opzettelijk gebeuren. Wanneer een populaire website een link legt naar iemands site, die de massale toename in bezoekers vervolgens niet aankan, is er geen sprake van een verstikkingsaanval.

Voorbeelden van verstikkingsaanvallen

Verstikking van websites

Een verstikkingsaanval wordt meestal uitgevoerd tegen Websites. Daarbij wordt de site gebombardeerd met verzoeken om webpagina’s, of worden juist grote bestanden op die site zeer vaak opgevraagd. Al deze verzoeken belemmeren het versturen van legitiem opgevraagde webpagina’s.

Verstikking van mailboxen

Ook kan een verstikkingsaanval uitgevoerd worden door het versturen van extreem grote aantallen e-mails, of juist e-mails met zeer grote bijlagen. Dit verstopt de mailbox van de ontvanger, en belemmert daarmee dus het gebruik van de e-mail dienst.

Verstikken door claimen systeembronnen

Veel verstikkingsaanvallen gebeuren door zo veel mogelijk gegevens te versturen, zodat de ontvanger daar onder bezwijkt. Een andere mogelijkheid is het belemmeren van het systeem door zo veel mogelijk systeembronnen te claimen. Een gebruiker kan bijvoorbeeld alle vrije ruimte reserveren op een netwerkschijf, waardoor anderen daar geen bestanden meer op kunnen slaan.

Verstikken van netwerk

Verstikkingsaanvallen zijn vaak gericht tegen één specifieke computer. Ze kunnen ook tegen een heel netwerk tegelijk gericht worden, bijvoorbeeld door de router aan te vallen zodat geen enkele computer op dat netwerk meer verkeer kan zenden of ontvangen. Zo werden in 2002 verstikkingsaanvallen uitgevoerd tegen de root DNS servers, waardoor in potentie heel Internet platgelegd had kunnen worden.

Willoos meedoen

Het is ook mogelijk dat de aanvaller de computers op het netwerk van het slachtoffer zelf mee laat doen aan de aanval. Het Internet- protocol kent bijvoorbeeld een speciaal bericht dat neerkomt op “bent u daar nog” (het “ping” bericht). Een computer die dat bericht ontvangt, zal een bevestiging sturen naar de afzender (dat heet dan natuurlijk het “pong” bericht). Ook hebben netwerken vaak een adres (het broadcast adres) waarmee alle computers op een netwerk te bereiken zijn. Een ping-bericht naar dat adres zorgt dus voor antwoorden van alle computers tegelijk. Dat vaak herhalen kan het netwerk al aardig verstoppen.

Misbruiken van protocol

Ook kan misbruik worden gemaakt van een netwerkprotocol. Een voorbeeld is wat heet een SYN-flood. Om een verbinding tot stand te brengen tussen twee computers op Internet, stuurt de eerste computer een verzoek naar de tweede. Deze bevestigt dat de verbinding gemaakt kan worden, waarna de eerste computer een laatste bericht stuurt waarmee de verbinding feitelijk tot stand komt. De verstikkingsaanval berust nu simpelweg in het feit dat dit laatste bericht nooit wordt verstuurd, zodat de tweede computer computer gedurende een lange tijd blijft wachten. Ondertussen kan hij geen andere verbindingen meer accepteren. Daarmee wordt de toegang tot het systeem belemmerd.

Programmabommen

Bij een verstikkingsaanval moet het gaan om belemmeren door het versturen van gegevens of verzoeken. De goede werking van een systeem kan ook worden belemmerd door een programma te draaien dat het systeem overbelast. Zulke programma’s heten ook wel logische bommen.

Een bekend voorbeeld is de zogeheten forkbom: dit programma doet niets anders dan kopieën van zichzelf opstarten tot het systeem geen enkel ander programma meer kan opstarten. Ook kan een programma continu op volle kracht steeds dezelfde rekenoperatie uitvoeren, waardoor het alle processorkracht claimt. Hierdoor kunnen andere programma’s veel minder goed functioneren.

Dergelijke activiteiten zouden wellicht als verstikkingsaanval kunnen worden gezien, wanneer het installeren (uploaden) van dit programma gezien wordt als het versturen van gegevens. Ook kunnen ze worden vervolgd als het opzettelijk vernielen, beschadigen of onbruikbaar maken van een computer- of communicatiesysteem (art. 161sexies lid 1).

Spam en verstikking

Het versturen van ongewenste e-mail (spam) is op zichzelf nog geen verstikkingsaanval. Pas wanneer het ontvangende systeem in de werking wordt belemmerd, kan er sprake zijn van een verstikkingsaanval. Grofweg dus pas wanneer de mailserver bezwijkt onder de aangeboden mail.

In 2002 organiseerde een producent van vitaminepreparaten een e-mail actie waarbij binnen zes maanden meer dan 600 miljoen(!) e-mails werden verstuurd naar politici in de Tweede Kamer. Oftewel meer dan 30 per seconde. De servers van het parlement konden dit niet aan. Hiervoor moest hij een schadevergoeding betalen. Met de huidige wet computercriminaliteit had dit vervolgd kunnen worden als een verstikkingsaanval.

Het versturen van spam aan natuurlijke personen is overigens wel verboden onder artikel 11.7 van de Telecommunicatiewet.

Gedistribueerde verstikking

Een verstikkingsaanval kan worden gepleegd vanaf één enkele computer, maar dat is niet zo effectief omdat de meeste computers slechts een beperkte hoeveelheid gegevens kunnen versturen. Bovendien is dan de aanvaller natuurlijk snel terug te traceren. Vandaar dat de zogeheten distributed denial of service (DDoS) aanval de laatste jaren steeds populairder is geworden. Hierbij worden tientallen of honderden computers (in fraaie Internet-terminologie “zombies”) tegelijk ingezet om gegevens te versturen naar het slachtoffer.

Een veel gehoorde vraag is of het door computers van derden laten versturen van gegevens valt onder strafbare verstikking. Artikel 138b spreekt alleen van het “aanbieden of versturen” van gegevens. Bij een DDoS-aanval verstuurt de dader wel degelijk gegevens naar het slachtoffer, alleen gebruikt hij andermans computers om dit te doen. Daarmee is dus ook de gedistribueerde verstikkingsaanval verboden volgens dit artikel.

Internet-providers

Dit wetsartikel is met name gericht tegen aanvallen op gebruikers (personen en bedrijven) van netwerken. Wanneer een Internet-provider slachtoffer is van een verstikkingsaanval, kan dat ook gerekend worden onder het verhinderen of bemoeilijken van een openbare telecommunicatiedienst (art. 161sexies). Wanneer dat leidt tot “gemeen gevaar voor de verlening van diensten” kan de aanvaller tot maximaal zes (in plaats van één) jaar cel veroordeeld worden. Zo vond de rechtbank dat een denial-of-service aanval tegen de sites van overheid.nl en geenstijl.nl onder bemoeilijken van een openbare telecommunicatiedienst viel.

Effectiviteit van de aanval

Er moet wel sprake zijn van een echte belemmering, een “aanval” waarbij een marginaal aantal pakketjes gegevens worden verstuurd is niet strafbaar. Het is echter niet nodig dat de toegang of het functioneren volledig wordt geblokkeerd. Ook een gedeeltelijke blokkade valt al onder dit wetsartikel. Wordt naast (of door) het belemmeren van de toegang ook schade aan het systeem toegebracht, dan valt dat onder de algemene bepalingen van vernielen van gegevens.

Hulpmiddelen

Net als software en andere hulpmiddelen voor computervredebreuk zijn ook hulpmiddelen voor verstikkingsaanvallen verboden. Het maken, vervaardigen, verkopen, verwerven, invoeren, verspreiden of anderszins ter beschikking stellen of voorhanden hebben van dergelijke software is een strafbaar feit (art. 139d lid 2 onder a). Hierop staat een jaar cel (of een boete van 16.750 euro).

De hulpmiddelen moeten wel specifiek gemaakt zijn voor verstikkingsaanvallen. In theorie kun je met een gewoon e-mail programma mailbommen versturen, daarmee is dat programma nog geen verboden hulpmiddel geworden. Ook een Linux-programma als “ping” kan gebruikt (misbruikt?) worden bij een verstikkingsaanval maar is daarmee nog niet verboden.