Uit zijn onderzoek blijkt dat veel ernstige digitale incidenten ontstaan doordat gevoelige of kwaadaardige gegevens zich ongemerkt door verschillende onderdelen van software bewegen en pas na meerdere stappen schade veroorzaken.
In plaats van een cyberaanval te beschouwen als één groot incident, laat Johannesmeyer zien dat aanvallen beter te begrijpen zijn als een kettingreactie van kleine, ogenschijnlijk onschuldige stappen. Door deze stappen afzonderlijk te volgen en te analyseren, kunnen kwetsbaarheden worden ontdekt die met traditionele beveiligingsmethoden vaak onopgemerkt blijven. Met deze aanpak zijn duizenden tot dan toe onbekende beveiligingslekken gevonden in veelgebruikte software, waaronder besturingssystemen die de basis vormen van servers en smartphones wereldwijd.
Minder valse alarmen door deze methode
Een belangrijk resultaat is dat deze methode veel minder valse alarmen produceert dan bestaande beveiligingssystemen. Dat maakt de techniek niet alleen nauwkeuriger, maar ook praktisch toepasbaar voor ontwikkelaars en beveiligingsteams. Zij kunnen gerichter zoeken naar echte risico’s, zonder overspoeld te worden door meldingen die uiteindelijk onschuldig blijken.
Kritieke digitale systemen - zoals die in ziekenhuizen, energievoorziening, clouddiensten en persoonlijke apparaten - zijn steeds complexer en sterker met elkaar verbonden. Juist in zulke systemen kunnen kleine fouten in de omgang met data grote gevolgen hebben, variërend van datalekken tot verstoring van essentiële infrastructuur. Door beter inzicht te krijgen in hoe data zich door software verplaatst, kunnen deze risico’s eerder worden onderkend en voorkomen.
In de praktijk betekent dit dat beveiligingsproblemen niet pas aan het licht komen na een incident, maar al tijdens het ontwikkelproces kunnen worden opgespoord. Ontwikkelaars kunnen automatisch testen of onbevoegde of onbetrouwbare gegevens invloed kunnen uitoefenen op cruciale beslissingen in hun software. Daarmee draagt het onderzoek bij aan veiligere digitale systemen en verkleint het de kans op maatschappelijke ontwrichting door cyberaanvallen.
Johannesmeyer verdedigt zijn proefschrift 12 januari aan de Vrije Universiteit Amsterdam.