'Ik wil een tijd tot falen van vijftig jaar'

29 juni 2010

Informatici kennen Andy Tanenbaum op zijn minst als schrijver van hun lesboeken, maar de VU-hoogleraar staat ook bekend om zijn Minix-besturingssysteem, de kritiek op Linux en vele andere bijdragen aan de informatica. Een gesprek met de informaticaveteraan over Minix, RFID-veiligheid, softwarearchitectuur, de relatie tussen universiteit en bedrijfsleven, stemcomputers en politiek.

Het is een van de zeldzame warme dagen van dit voorjaar. De campus van de Vrije Universiteit zindert, studenten en medewerkers genieten in T-shirts en hemdjes van de zon. In de werkkamer van Andrew Tanenbaum, bij de Systems and Security-groep van het departement der computerwetenschappen is daar niks van te merken. De lamellen zijn dicht en het licht moet komen van de tl-lampen en zijn 30 inch monitor. Het mag duidelijk zijn: de hoogleraar is een computerman in hart en nieren.

De uit de VS afkomstige Tanenbaum (1944) is een grote naam in de informatica, maar hij haalt zijn schouders op als hij daarmee wordt geconfronteerd. Dat is aan anderen om te oordelen. Toch liegen de feiten er niet om. Hij is onder meer fellow van de IEEE en de ACM (Association for Computer Machinery), lid van de Koninklijke Nederlandse Akademie van Wetenschappen (KNAW) en eredoctor van de Polytechnische Universiteit van Boekarest. Daarnaast heeft hij talrijke best paper awards gewonnen en verschillende prijzen voor zijn boeken. Hij schreef vijf titels over computerarchitectuur, besturingssystemen en netwerken, die nog steeds standaard kost zijn voor informaticastudenten. Plus een niet uitgegeven kookboek: ‘How to prepare your input’, in PDF-vorm verkrijgbaar op zijn website. Zijn laatste zegen is het binnenhalen van 2,5 miljoen euro van de ERC, de Europese tegenhanger van de NWO, voor het uitbouwen van Minix 3, met als uiteindelijke doel een besturingssysteem te bouwen dat jaren achtereen kan blijven draaien zonder te crashen.

Minix begon ooit als onderwijstool, maar in zijn huidige vorm is het vooral een researchvehikel. Let wel, eentje dat een werkbaar systeem moet opleveren. ‘Vaak maken academici een systeem om mee te spelen. De kans dat je het binnen tien minuten werkend krijgt is zestig procent als de ontwikkelaar toevallig in de kamer is en op het moment dat die zijn graad behaalt wordt het in een atomische operatie stopgezet en is de wereld weer zoals die was voor aanvang van het project. Wij hebben een daadwerkelijk werkend systeem dat meer dan driehonderdduizend keer gedownload is de afgelopen twee jaar.’ De hoogleraar is cynisme niet vreemd.

Transparant

Tanenbaum schreef versie 1 van Minix in 1987. Het boek ‘Unix version 6’ van John Lions, met daarin de complete broncode van Unix, was toen de standaard voor het onderwijzen van besturingssystemen. Op een goed moment besloot AT&T, eigenaar van dit OS, echter de verspreiding aan banden te leggen. Dus besloot Tanenbaum zelf maar een besturingssysteem te schrijven om te kunnen blijven onderwijzen. Versie 2 volgde met de herziene versie van het boek ‘Operating systems design and implementation’.

Wie Tanenbaum zegt, zegt microkernel. Minix is het schoolvoorbeeld - letterlijk - van de microkernelaanpak. Bij deze benadering draait er alleen een minimalistische harde kern van het OS met ongelimiteerde privileges, terwijl alle drivers en andere kernelcomponenten als processen in user space opereren. Veel embedded OS’en volgen deze aanpak. Besturingssystemen als Linux en Windows stoppen juist alles in kernel space. De microkernelaanpak moet wel wat inleveren op prestaties, maar kent een aantal voordelen. Een driver die onderuitgaat, kan bijvoorbeeld nooit het hele systeem meesleuren. Bovendien spelen prestaties een steeds kleinere rol, vindt Tanenbaum. ‘Vijfentwintig jaar terug was alles zo traag dat een tien procent hogere snelheid gewild was. Maar nu? Intel heeft voor wetenschappers een chip uitgebracht met 48 cores: op een ervan draai je je OS, op een andere je applicatie, maar wat doe je met de rest?’

Lesgeven is iets wat Tanenbaum vandaag de dag niet meer hoeft te doen. Met de ERC-subsidie kan hij zijn tijd volledig wijden aan onderzoek. Met Minix 3 wil hij de microkernelaanpak helemaal uitmelken. Voorkomen van crashes is niet genoeg, het systeem moet zichzelf kunnen repareren als een driver ermee uitscheidt. Want bugs blijven toch wel voorkomen, denkt de VU-hoogleraar.

Troef is de reincarnation server, die gecrashte drivers herstart en ze weer braaf verder laat gaan waar ze mee bezig waren. ‘Als componenten toestandsloos zijn, is dat relatief eenvoudig om te doen. Als ze bijna toestandsloos zijn, is het ook nog wel redelijk eenvoudig. Een audiodriver heeft bijvoorbeeld slechts een paar instellingen zoals het volume, de treble en de bass. Die parameters slaan we op in een component die we de data store noemen. Als de audiodriver opstart, kan hij die instellingen daar opvragen.’

Een ander verhaal wordt het bij componenten met veel toestanden. ‘Neem de bestandsserver. Daarvan kun je niet constant de interne toestand ergens dumpen. Daar hebben we dus andere technieken voor nodig en een deel van ons onderzoek richt zich daarop. Een van de dingen waar we naar kijken voor een oplossing is de LLVM-compiler. Die heeft allerlei aanknopingspunten om acties uit te voeren bij specifieke situaties. Elke keer dat je bijvoorbeeld een globale variabele opslaat, kun je de compiler extra code laten genereren om te kunnen herstellen. We kijken naar wat we kunnen toevoegen om toestanden te kunnen beheren.’

Een belangrijk deel van het onderzoek richt zich op het transparant upgraden van het OS. Als een systeem jaren draait, moeten er immers ook grote upgrades, veranderingen in functionaliteit en wijzigingen in datastructuren doorgevoerd kunnen worden. En dat terwijl alle programma’s gewoon doorwerken. Ook hiervoor kan de reincarnation server worden ingezet. ‘Die zegt tegen bijvoorbeeld het bestandssysteem dat een update ingepland staat en dat het al het nieuw binnenkomende werk in een wachtrij moet plaatsen. Als het huidige werk is afgehandeld, stuurt de component die wachtrij naar de data store en stopt. De reincarnation server ziet dat, updatet de component, en start deze nieuwe versie. Het eerste dat die vervolgens doet, is zijn wachtrij ophalen uit de data store. We kunnen dit doen, het is nog niet helemaal klaar, maar we weten hoe het moet.’

Dit lijkt simpeler dan het is, want de nieuwe versie zou best eens een andere datastructuur kunnen gebruiken dan de oude. Er moet dus een functie worden ingebouwd om de data om te zetten naar het nieuwe formaat. ‘Een extra complicatie is als componenten met elkaar praten en het protocol verandert. Dan moet je die twee componenten atomisch updaten. We begrijpen hoe dit werkt; we zijn nu alle laagniveaudetails aan het uitzoeken.’

Alleen de kernel zelf kan niet op die manier worden geüpdatet. ‘Maar die is zo klein en doet zo weinig, dat kernelupdates waarschijnlijk vrij zeldzaam zullen zijn. Het enige wat die doet, is message passing, het afhandelen van interrupts, wat basale IPC-dingen.’

Apetrots

Tanenbaum is een gedreven en geanimeerd man. Hij spreekt luid en in lange monologen, zeker als het om onderwerpen gaat waar hij enthousiast over is. Voor wie meer over de persoon Andrew Tanenbaum wil weten, onderhoudt hij een persoonlijke Faq. De inspiratie hiervoor komt uit zijn boek ‘Computer networks’: drukbezette mensen die veel mailverkeer ontvangen, doen er goed aan doen om een standaard lijstje met antwoorden beschikbaar te hebben. Het scheelt natuurlijk ook vragen bij een interview.

Tanenbaum groeide op in White Plains, nabij New York. Hij studeerde natuurkunde aan het MIT en stapte daarna over naar de University of California in Berkeley voor zijn promotieonderzoek, eveneens in natuurkunde. Zijn relatie met een Nederlandse deed hem beslissen om naar de Lage Landen te vertrekken, waar hij aan de Vrije Universiteit landde en onder meer twaalf jaar lang decaan was van de Asci-onderzoeksschool (Advanced School for Computing and Imaging) van de VU, de UvA en de Universiteit Leiden.

Nederland is niet echt zijn lievelingsland, maar al met al vindt hij het hier wel best. Natuurlijk heeft hij hier zijn gezin en binnen de faculteit is het sowieso een mengelmoes van 29 nationaliteiten, legt de hoogleraar uit. Het interview loopt in het Engels, want ‘de meningen zijn verdeeld of hij Nederlands kan’. In zijn persoonlijke Faq stelt hij dat Amsterdam saai en druilerig is, ideaal dus om warm binnen achter een knusse monitor te kruipen. Het academische klimaat is hier niet slecht, met een redelijk hoog niveau van wetenschappers en universiteiten. Alleen voor de rol die de overheid erin speelt, heeft hij geen goed woord over: ‘Ik zou willen dat de overheid zou ophouden met ons steeds weer lastig te vallen en te zeggen dat we geen goed werk leveren. Ze controleren alles wat we doen omdat ze het niet vertrouwen. Van tijd tot tijd krijgt de minister een ingeving en stelt hij een miljoen beschikbaar voor een of ander project en dan denkt hij dat we zo goed worden als Stanford. Zo werkt het niet.’

Schrijnend vindt hij het ook dat veel van zijn promovendi naar het buitenland vertrekken: naar Bell Labs, Cornell University, het MIT. Een van hen is nu verantwoordelijk voor het virtualisatiewerk bij AMD. Een ander is CTO van Amazon. Apetrots is Tanenbaum op hen, dat wel.

Spaghetti

Een andere onderzoekslijn onder Tanenbaums vleugels is een OS specifiek gericht op multicore processoren. Ook hier is opdelen het toverwoord. Terugkomend op Intels 48-kernige monster - Tanenbaum werkt aan een subsidieaanvraag om er een aan te schaffen - ziet hij een OS voor zich waarin alle componenten een core voor zichzelf krijgen. ‘Stel dat je het besturingssysteem parallel op twintig cores kan draaien. Dat heeft potentieel allerlei voordelen. Je kunt pijplijnen gebruiken, waarbij je twee onderdelen van een systeemaanroep tegelijkertijd afhandelt. Ook is een component altijd ‘warm’. Als je nu bijvoorbeeld het virtuele bestandssysteem wilt aanspreken, roep je de kernel aan, wat de page tables verstoort, wat op zijn beurt weer de translation lookaside buffer en de branche prediction-tabellen in de war schopt. Alle interne toestanden - en daar zijn er veel van - zullen herladen moeten worden. Als het virtuele bestandssysteem op zijn eigen core draait als enige proces, dan hoef je nooit de interne toestand te verstoren. Het zit daar gewoon te wachten op werk en is daar direct klaar voor.’

Mogelijk is deze aanpak ook een betere oplossing voor de worsteling van programmeurs met de geheugenarchitectuur van multicore chips. Het delen van data tussen processen op verschillende cores gaat normaal gesproken via het cachegeheugen. Alle kernen hebben echter hun eigen cache, die eerst onderling gesynchroniseerd moeten worden voordat data kan worden gedeeld. Dat is een tijdrovende zaak. In het multicore-OS worden gegevens uitgewisseld met boodschappen via welgedefinieerde interfaces van alle componenten.

Voor deze aanpak zijn wel de snelle verbindingen nodig van een multicore chip; bij een gedistribueerd systeem zou de latency te hoog worden. Tanenbaum kan het weten: in de jaren zeventig was hij de geestelijk vader van het gedistribueerde Amoeba-systeem en hij heeft verschillende boeken geschreven over gedistribueerde systemen.

Of het project ook daadwerkelijk tot betere prestaties zal leiden, durft hij nog niet te zeggen. Cachesynchronisatie mag dan traag zijn, het uitwisselen van boodschappen kent ook de nodige beperkingen. ‘In Dresden hebben ze een project uitgevoerd waarbij ze Linux als proces op de L4-microkernel hebben gedraaid. Daar hebben ze de overhead van message passing terug weten te dringen tot vijf à tien procent. Wij hebben ons nog niet echt op prestaties gericht, maar ik denk dat wij dat ook wel kunnen halen.’

Maar misschien is dat nog niet eens het belangrijkste. ‘Ik geloof dat de multiserveraanpak een betere software-engineeringmethode is. Elke component is kleiner, er is een veel beter gedefinieerde interface naar de buitenwereld, je kunt de onderdelen individueel beschermen. We hebben voor elke component een lijst met kernelaanroepen die hij mag doen en een andere lijst waarop staat welke I/O-poorten hij mag gebruiken, dus zelfs de onderdelen van het besturingssysteem worden in feite niet vertrouwd. Elke component kan alleen bij de poorten die hij nodig heeft en mag alleen berichten sturen naar de lijst met goedgekeurde ontvangers. Dat heeft beveiligingsimplicaties. Stel dat er een bug zit in de audiodriver, dat je daar code in kunt uitvoeren. Een hacker kan dan normaal gesproken een fork uitvoeren om een shell starten waarin hij van alles doet. Maar in ons systeem zegt de kernel: ‘Je bent niet bevoegd om een fork uit te voeren, sorry, foutmelding.’ Je kunt vreemde geluiden maken, maar meer niet.’

Bovendien is de code veel beter te begrijpen in relatief kleine onderdelen met goed gedefinieerde interfaces. ‘Componenten communiceren via precies gedefinieerde boodschappen. Je krijgt dus erg dunne interfaces. We hebben ook geprobeerd drivers uit Linux te halen - het is hopeloos. Elke driver gebruikt vijftig headers, en elke header gebruikt vijftig andere headers, enzovoorts. Dus je gebruikt vierduizend headers door het besturingssysteem heen en je kunt het niet uit elkaar trekken. Het is spaghetti.’

Gevaarlijk

Tanenbaum heeft eerder uitgehaald naar de technische merites van Linux, dat in eerste instantie geïnspireerd was op Minix. Met name de keuze voor een monolitische kern in plaats van een microkernel is een doorn in zijn oog en via de mailinglijsten heeft hij lange en pittige discussies gevoerd met Linus Torvalds. Velen interpreteerden dit onterecht als persoonlijke wrevel. In 2004 nam Tanenbaum het zelfs voor Torvalds op, toen Sco hem ervan beschuldigde dat hij Minix had geplagieerd. Toch nemen mensen nog steeds aanstoot aan de onenigheid met Torvalds. ‘Ik krijg nog steeds bijna dagelijks mail met: ‘Linus is een goed persoon, Linus maakt vrije software, ik mag u niet.’ Als je er daar twintigduizend van hebt gehad, dan raakt het nieuwe er wel een beetje van af.’

Maar verder draagt hij de opensourcegemeenschap een warm hart toe, en vice versa. ‘Ik deed al aan opensource voordat de beweging echt bestond, met Pascal-compilers en Amoeba en dergelijke in de jaren zeventig.’ Hij is dan ook regelmatig te vinden op opensourcebijeenkomsten. Afgelopen jaar gaf hij de keynotelezing op Fosdem, de jaarlijkse bijeenkomst van opensourceontwikkelaars in Europa. Bijzonder trots is hij op de Usenix Flame Award ‘voor zijn vele contributies aan systeemontwerp en openheid in zowel discussies als broncode’. ‘Dat is behoorlijk groot: ik ben een van de vijftien of twintig personen die zo’n award hebben gekregen, samen met toppers zoals Brian Kernighan.’

Tanenbaum stelt zijn eigen projecten ook bijna steevast onder een opensourcelicentie beschikbaar, het liefst een liberale BSD-achtige overeenkomst waarbij de gebruiker met de code kan doen wat hij wil. Dat moet ook, want de gemeenschap betaalt de universiteit immers voor het onderzoek. Althans, zo zou het moeten zijn, vindt Tanenbaum. Aan nauwe banden met het bedrijfsleven heeft hij een broertje dood. ‘Universiteiten worden steeds commerciëler, daar hou ik niet van. Ze maken deals met farmaceutische bedrijven, die vervolgens de patenten krijgen. Dat is volgens mij zeer gevaarlijk. Als je ontdekt dat er iets mis is met hun medicijnen, dan sta je onder grote druk om dat niet te publiceren, want dan kun je fluiten naar je contracten. Terwijl een universiteit een plaats zou moeten zijn waar je op zoek kunt naar de waarheid en die gewoon kunt publiceren.’

Dat geldt wat Tanenbaum betreft net zo goed voor informatica. ‘Het hangt ervan af wat voor onderzoek het is en hoe ver het van producten af staat. Het is misschien in orde als het om vooruitlopend onderzoek gaat dat nog minstens tien jaar van de markt af staat. Maar ik maak me zorgen dat je de onderzoekstak van een bedrijf wordt. Dat is niet de rol van de universiteit en het beschadigt de integriteit van de groep. Je wordt te veel beïnvloed door hoe zij dingen doen en bent niet meer onafhankelijk genoeg. Neem Bart Jacobs, die publiceert gat na gat in ieders cryptografie en een van zijn studenten toonde aan dat de ov-chipkaart niet werkt. Stel je voor dat hij geld had gekregen van Trans Link, de ontwikkelaar van de kaart. Dan zou hij dat nooit publiceren.’

Om die reden werkt Tanenbaums groep maar weinig samen met het bedrijfsleven. ‘Maar ook omdat hun tijdschaal anders is. Hier huren wij een aio voor vier jaar, maar een bedrijf wil binnen drie maanden resultaat. Dat kan alleen als het om een simpel programmeerproject gaat.’ Tanenbaum heeft zelf zijn hele leven in de academische wereld gewerkt; het bedrijfsleven heeft hem nooit getrokken. In zijn Faq schrijft hij dat het besluit daarover viel tijdens een vakantiebaantje bij IBM, waar zijn collega’s hem er op een goede dag zeer gedetailleerd op wezen dat hij de verkeerde kleur overhemd droeg.

Natuurlijk kan het bedrijfsleven wel gewoon de software gebruiken die zijn groep produceert. Of dat ook gebeurt, durft Tanenbaum niet met zekerheid te zeggen. ‘Dankzij de BSD-licentie hoeven bedrijven die het willen gebruiken ons niets te vertellen en kunnen ze al hun aanpassingen voor zichzelf houden. Vanuit pr-overwegingen zullen veel bedrijven niet snel zeggen dat ze een of ander academisch project als hart van hun product hebben. We hebben wel eens met Esa gewerkt en met Toshiba. Maar het is moeilijk te zeggen of bedrijven het oppakken.’

Wat in ieder geval voorlopig nog niet helpt, is dat Minix 3 alleen fatsoenlijk draait op de X86-architectuur. ‘Er is wel een port voor de PowerPC, maar die is niet zo goed. Een Arm-port is een van de volgende dingen op onze agenda, maar we hebben maar een beperkte capaciteit.’

Virus

Een ander paradepaardje van de Security and Systems-groep is de RFIDGuardian, een programmeerbaar apparaatje om met RFID-communicatie te spelen. Software en ontwerp maakt de VU vrij beschikbaar. ‘Daarmee kun je op programmeerbare wijze met RFID-chips communiceren. Een van de toepassingen waar we mee bezig zijn, is een ‘persoonlijk privacyscherm’. Als iemand je probeert te scannen, ziet dit apparaat dat en kan het daar iets mee doen. En dat iets is programmeerbaar. Op dit moment kun je nog niet met de scanner onderhandelen, je kunt alleen kijken of het een vriendelijke of vijandige scan is en in dat laatste geval een blokkade opwerpen. Toekomstige RFID-lezers zouden wel slimmer kunnen zijn, dan kun je uitzoeken wie het is en wat hij wil en mogelijk geven waar hij om vraagt.’

Ook voor audits van RFID-systemen zou de tool van pas kunnen komen. ‘Stel, je stopt je winkel vol met RFID-labels en je bent bang voor hackers - dat is een zeer concrete bedreiging en als je je er geen zorgen om maakt, zou je dat zeker wel moeten doen - dan heb je een flexibele tool waarmee je zelf kunt proberen in te breken op je systeem.’ In 2006 kwam de groep groot in het nieuws toen deze aantoonde dat het mogelijk was om een RFID-chip te voorzien van een virus. Sindsdien onderhoudt de club een website over de beveiligingsaspecten van RFID.

Checksum

Ook stemcomputers hebben Tanenbaums warme interesse, vertelt hij met steeds meer enthousiasme. ‘We proberen er een te maken die daadwerkelijk werkt, in tegenstelling tot die in Nederland en de VS.’ De hoogleraar pakt een exemplaar van IEEE Computer Magazine uit de kast waarin zijn ideeën worden uiteengezet, in het hoofdartikel. Binnen de onderzoeksgroep wordt nu getracht om dat te implementeren. ‘Het basisidee is dat je stemmen moet beschouwen als een systeem. Er is veel meer dan alleen de machine. Het begint al als de verkiezingen worden ingepland. Op dat moment begin je actie te ondernemen.’

Een basale aanname is dat niemand te vertrouwen is: ‘De medewerkers van het stemlokaal, het stadsbestuur, degene die de verkiezingen uitschrijft, de drukker die de stemformulieren naar je opstuurt, ze worden allemaal als onbetrouwbaar beschouwd. We proberen echt te vermijden dat er iemand vertrouwd moet worden.’

De methode werkt door cryptografische sleutels op te hakken in stukjes en de delen te verspreiden onder verschillende partijen, waaronder de kiezer. ‘Je geeft ook delen aan bijvoorbeeld tegenovergestelde politieke partijen, om te voorkomen dat er wordt samengewerkt bij vervalsen.’ Bij het stemmen komen al die delen samen in het stemlokaal. Bovendien moet de gebruiker een geheim wachtwoord intoetsen, dat verder nergens ligt opgeslagen. Alleen een cryptografische hash is beschikbaar om het wachtwoord te matchen.

Daarnaast kan de gebruiker in Tanenbaums systeem controleren of er niet is geknoeid met de software in de stemmachine. ‘Je kunt de stemcomputer uitdagen door er een USB-stick of iets dergelijks in te steken. Waarschijnlijk doen we het eerst met een seriële poort omdat dat betrouwbaarder is en er minder kans op bugs is dan in een USB-driver. Dus je plugt je PDA of telefoon of wat dan ook in en je vraagt om een checksum van het geheugen, die cryptografisch ondertekend is door de TPM-chip. Een dergelijk chip zit in de meeste moderne computers en is redelijk bestand tegen manipulatie. Je kunt die checksum ook van een externe website downloaden en daarmee vergelijken. En de software voor je PDA kun je bijvoorbeeld krijgen bij de politieke partij die je vertrouwt. Het blijkt wel dat die TPM-chips ontzettend lastig zijn om mee te werken. Ze zijn slecht gedocumenteerd en we hebben eindeloze problemen om het te laten werken, maar we denken dat we het nu onder de knie hebben.’

Als laatste laat het systeem ook nog toe om de uitslag te verifiëren. ‘Nadat je hebt gestemd, print de machine een groot willekeurig getal uit. Thuis kun je dat nummer op een website invullen en daar staat wat degene met dat nummer heeft gestemd. Aangezien jij de enige bent die dat nummer kent, ben jij de enige die dat kan nagaan. Je kunt ook een lijst opvragen met alle willekeurige getallen met bijbehorende stemmen. Daarmee kun je alle berekeningen zelf uitvoeren, zonder dat je weet wie wat heeft gestemd. Je kunt dus controleren of de stemmachine eerlijk is, je kunt de integriteit van de verkiezingen controleren, je kunt controleren dat jouw stem op de juiste manier is geteld - dat zijn allemaal gigantische verbeteringen ten opzichte van de bestaande systemen.’

Er kleeft wel een nadeel aan deze aanpak: stemmen kunnen worden verkocht omdat iemand kan bewijzen wat hij heeft gekozen. ‘Iedereen in de stemwereld gruwt daarvan, maar wij beschouwen dat niet als heel erg belangrijk want er zijn al veel makkelijkere manieren om je stem te verkopen. Hier in Nederland kun je iemand machtigen om voor je te gaan stemmen. In de VS kun je gewoon een absentee ballot aanvragen.’

Pensioengerechtigd

Het stemproces is niet de enige manier waarop Tanenbaum zich in de politiek mengt, alhoewel niet precies bekend is wat zijn politieke bijdragen zijn. In de jaren zeventig lobbyde hij namens de natuurbeschermingsorganisatie Sierra Club voor een wet om de San Francisco Bay te beschermen (de wet werd aangenomen). Heden ten dage is hij lid van de buitenlandse tak van de Amerikaanse democratische partij. In 2004 probeerde hij afgevaardigde te worden, maar daarvoor kreeg hij niet genoeg stemmen. Overigens boeit de Nederlandse politiek hem niks. ‘In Nederland moet je met een microscoop op zoek naar de verschillen tussen de partijen. In de VS zijn er partijen die de federale regering willen afschaffen en andere partijen die een socialistisch systeem willen. En wat er in de VS gebeurt, heeft invloed op de hele teneur in de wereld.’

Zijn bekendste politieke bijdrage is de website electoral-vote.com, waarmee hij de status van de presidentiële en senaatsverkiezingen volgt in de VS. Waar normale media de peilingen van de popular vote gebruiken, verzamelt Tanenbaums website de electoral votes, die de uiteindelijke uitslag bepalen. Tijdens de laatste presidentiële verkiezingen in 2008 trok de site meer dan een miljoen bezoekers per dag. Een mooi platform om kiezers in den vreemde - hoofdzakelijk democraten - over te halen zich te laten registreren. ‘Op die manier heb ik dertigduizend democratische stemmers geregistreerd. Bovendien werd ik een van de belangrijkste nieuwsbronnen en kon ik verhalen oppikken die anderen lieten liggen.’

Of hij ooit teruggaat naar de VS? Tanenbaum weet het niet. Bezwaren zijn er in ieder geval niet. Zijn kinderen zijn uitgevlogen en hij heeft de pensioengerechtigde leeftijd ondertussen bereikt. ‘Zolang ik het kan, het leuk vind en de studenten in orde zijn, ga ik waarschijnlijk wel door met werken.’ Maar of hij over tien jaar nog aan de VU werkt? ‘Waarschijnlijk ben ik over vijf jaar weg.’

Pieter Edelman

Terug naar overzicht