Dat politici zich zorgen maken over de veiligheid van het internet is een goede zaak. Dat ze daarvoor ook aansturen op kwaliteitseisen voor de hardware, zoals routers, is ook in orde. Maar wat nu als letterlijk elke buitenlandse router verdacht wordt een security risk te zijn en dus verboden wordt?
De Federal Communications Commission heeft haar „Covered List“ bijgewerkt en daarin alle in het buitenland geproduceerde routers voor consumenten opgenomen. Routers zijn de apparaten die in elk huishouden computers, telefoons en slimme apparaten met het internet verbinden. Dit gebeurde naar aanleiding van een besluit van een door het Witte Huis bijeengeroepen interdepartementaal orgaan van de uitvoerende macht, met de nodige expertise op het gebied van nationale veiligheid, waarin werd vastgesteld dat dergelijke routers „onaanvaardbare risico’s vormen voor de nationale veiligheid van de Verenigde Staten of de veiligheid en beveiliging van Amerikaanse burgers“.
In de vaststelling van de uitvoerende macht werd opgemerkt dat in het buitenland geproduceerde routers (1) “een kwetsbaarheid in de toeleveringsketen introduceren die de Amerikaanse economie, kritieke infrastructuur en nationale defensie zou kunnen verstoren” en (2) “een ernstig cyberbeveiligingsrisico vormen dat zou kunnen worden aangewend om de kritieke infrastructuur van de VS onmiddellijk en ernstig te verstoren en Amerikaanse burgers direct schade te berokkenen”.
Kwaadwillende actoren hebben misbruik gemaakt van beveiligingslekken in in het buitenland geproduceerde routers om Amerikaanse huishoudens aan te vallen, netwerken te verstoren, spionage mogelijk te maken en diefstal van intellectueel eigendom te vergemakkelijken. In het buitenland geproduceerde routers waren ook betrokken bij de cyberaanvallen Volt, Flax en Salt Typhoon, die gericht waren op vitale Amerikaanse infrastructuur.
De beslissing omvatte een uitzondering voor routers waaraan het Ministerie van Oorlog (DoW) of het Ministerie van Binnenlandse Veiligheid (DHS) een “voorwaardelijke goedkeuring” heeft verleend, nadat was vastgesteld dat dergelijke apparaten geen onaanvaardbare risico’s vormen.
Fabrikanten van routers voor consumenten worden aangemoedigd om een aanvraag voor voorwaardelijke goedkeuring in te dienen aan de hand van de bij het besluit gevoegde richtlijnen. Aanvragen dienen te worden ingediend bij conditional-approvals@fcc.gov.
Zoals hieronder uiteengezet, heeft de maatregel van vandaag geen invloed op het voortgezette gebruik door consumenten van routers die zij eerder hebben aangeschaft. Evenmin belet deze maatregel dat detailhandelaren routermodellen blijven verkopen, importeren of op de markt brengen die eerder via het apparatuurgodkeuringsproces van de FCC zijn goedgekeurd. Op grond van de regels van de Covered List van de FCC zijn de vandaag opgelegde beperkingen van toepassing op nieuwe apparaatmodellen.
Dit is geen vroege 1 april grap, maar iets waar wel om gelachen mag worden. Er is namelijk geen enkele fabrikant in Amerika die routers maakt. Wat providers en de handel nog op voorraad heeft mag worden uitgeleverd. En daarna? Geen idee. FCC roept buitenlandse fabrikanten op de hardware ter keuring aan te bieden. Hoeveel tijd dat kost en hoeveel geld, dat schijnt op dit moment niemand te weten.