Afscherming online archieven omzeilen, mag dat?

| AE 2001 | Beveiliging, Hacken | 20 reacties

De afscherming van online archieven blijkt makkelijk te omzeilen, meldde Webwereld gisteren. Dit geldt voor bijvoorbeeld het Haags Gemeentearchief, maar ook voor de Financial Times en Elsevier. Zoekmachine-expert Henk van Ess ontdekte het lek en publiceerde de truc in een aantal filmpjes. De trucs blijken simpel:

Zo is met een bookmark-truc het online-ontoegankelijke deel van het Haagse Gemeentearchief toch gewoon in te zien. Voor het maximum van zes leesbare artikelen bij opinieweekblad Elsevier is het nog eenvoudiger. Het uitschakelen van JavaScript volstaat om meer artikelen te kunnen zien.

U voelt ‘m al aankomen: mag dat eigenlijk wel, zo’n beveiliging kraken en uitleggen hoe dat kan? Het gaat immers om beveiligingen wegens auteursrechten, en artikel 29a Auteurswet zegt dat het omzeilen van “doeltreffende technische voorzieningen” onrechtmatig is.

Bij de Elsevier-truc heb ik daar geen twijfel over: ja, dat mag. Het aan- of uitschakelen van Javascript is een doodnormale handeling. Ik kan dat moeilijk als omzeilen van een beveiliging zien. Ok, als je het doet specifiek om de Elsevier-’beveiliging’ te omzeilen wordt het misschien iets anders, maar dan zou ik graag dat woord “doeltreffend” eens willen benadrukken in artikel 29a.

Er is bij de invoering van dit wetsartikel niet heel uitgebreid ingegaan op wanneer een beveiliging nu “doeltreffend” is. De minister liet het bij de opmerking dat het “uiteindelijk aan de rechter” is om dit te toetsen. Het proefschrift van Kamiel Koelman over auteursrecht en technische voorzieningen (PDF, 1,5MB, pagina 88 e.v.) gaat er iets dieper op in maar begint al meteen met “Het is echter onduidelijk wat ermee wordt bedoeld”.

Het verdrag waar de bepaling uit komt, eist dat de beveiliging “de beoogde bescherming bereikt”. Een cirkelredenering natuurlijk: een beveiliging is doeltreffend als hij beveiligt. Maar uit de literatuur blijkt dat als het doorbreken “geen bijzondere inspanning vergt” of als de ‘beveiliging’ slechts een “signalerend of waarschuwend effect” produceert, er geen sprake kan zijn van doorbreken.

In 2007 oordeelde een Finse rechter als eerste (en tot dusverre als enige) over het kraken van zo’n beveiliging. Uit het door Ars Technica vertaalde vonnis:

[S]ince a Norwegian hacker succeeded in circumventing CSS protection used in DVDs in 1999, end-users have been able to get with easy tens of similar circumventing software from the Internet even free of charge,” wrote the court. “Some operating systems come with this kind of software pre-installed…. CSS protection can no longer be held ‘effective’ as defined in law

Oftewel, als de kraak wijd en zijd bekend is en zelfs gewoon standaard met Linux meekomt, dan kan niet langer sprake zijn van het doorbreken van een ‘doeltreffende’ voorziening. Ik zou zeggen: deze ‘kraak’ is evenzo gebaseerd op standaardfunctionaliteit van webbrowsers en kan dus met de beste wil van de wereld niet onrechtmatig zijn.

In het filmpje over toegang tot het Haagse Gemeentearchief wordt aan de bookmark een code toegevoegd die links naar afbeeldingen herschrijft. Henk legt niet uit hoe dat werkt maar ik vermoed dat het een dieplink is naar de afbeeldingen die dus zelf niet beveiligd zijn. Dit is een bekende dommigheid: men beveiligt wel de webpagina waar de afbeelding op moet verschijnen maar niet de afbeelding zelf.

De redenering lijkt me dezelfde. Je kunt zelfs zeggen dat er geen beveiliging wordt doorbroken omdat de afbeeldingen zelf onbeveiligd online staan. Wie de URL weet van zo’n afbeelding, kan deze intypen en het plaatje zien. Hoe is dat onrechtmatig?

Arnoud