Mag een bedrijf me weigeren omdat ik een Tor exit node draai?

tor-on.pngEen lezer vroeg me:

Als ik de supportpagina’s van Apple (support.apple.com en discussions.apple.com) probeer te benaderen, krijg ik een “Access Denied” foutmelding. Ik vermoed dat dit is omdat ik een Tor exit node draai (zie https://trac.torproject.org/projects/tor/wiki/org/doc/ListOfServicesBlockingTor). Maar mag Apple me nu zomaar support ontzeggen? Ik heb toch een dure iPhone bij ze gekocht!

Ik kan me goed voorstellen dat organisaties de toegang vanaf het Tor-netwerk blokkeren, omdat daar de kans groter is dat er malafide verkeer langs komt.

De vraagsteller is natuurlijk niet malafide en komt bovendien niet eens via het Tor netwerk: hij heeft hetzelfde IP-adres als iemand die via net Tor netwerk zou komen. Dat zou hem dan niet aangerekend moeten worden zou je zeggen, alleen in dit geval heeft hij er zelf voor gekozen om die Tor exit node te draaien.

De discussie wordt dan: mag je tegen meneer zeggen, wij kunnen niet zien of u het bent dan wel een potentiële malafide persoon via uw IP-adres, dus wij weigeren het IP-adres?

Juridisch is hier geen eenduidig antwoord op. Natuurlijk heeft meneer recht op service, maar dat is geen absoluut recht waar men ongeacht omstandigheden altijd aan mee moet werken. Als hij bijvoorbeeld naakt de Apple-winkel binnengaat mogen ze hem echt weigeren service te geven tot hij zich fatsoenlijk aankleedt. Hetzelfde geldt als iemand zich zeer onbeleefd opstelt.

Is het draaien van een Tor exit node hetzelfde als onbeleefd naaktlopen? Dat denk ik niet, maar de redenering gaat wel via dezelfde lijn. Het juridische criterium is of je je redelijk opstelt, omdat je alleen dan mag verwachten dat je wederpartij met je meewerkt.

Hoewel ik weet dat Tor zeer zeker nuttige toepassingen heeft, is het een feit dat er óók misbruik van wordt gemaakt. De keuze voor een bedrijf om dan Tor te weren, is dan ook een begrijpelijke. De consequentie voor de vraagsteller is dan vervelend maar onvermijdelijk. Hij mag geweigerd worden.

Hoewel ik weet dat er misbruik van Tor wordt gemaakt, heeft Tor óók zeker nuttige toepassingen. De keuze voor een bedrijf om Tor dan te weren, is dan ook onbegrijpelijk. De vraagsteller mag dan ook niet geweigerd worden.

(Leuk hè, juridische vragen?)

Arnoud

25 reacties

      1. Er staan gewoon lijsten online op internet waar de nodes opstaan (https://check.torproject.org/exit-addresses). Zodat systeembeheerders kunnen kiezen of ze dit al dan niet willen blokkeren. En sommige zijn inderdaad niet zo slim dat ze het verschil weten tussen gewone en exit-nodes. Best Buy blokkeert bijvoorbeeld ook beide.

        Ik snap dat het lastig is als je een dienst afneemt van een bedrijf, maar ik kan dat nog enigszins begrijpen als die het blokkeren. Wat ik raar vind is dat een instantie als de Europese Unie tor verkeer via exit nodes blokkeert, terwijl ze aan de andere kant wel geld gaven voor beveiligd internet aan Arabische landen tijdens de Arabische lente. Voor zo’n instantie vind ik het eigenlijk niet kunnen dat ze dat blokkeren.

  1. No offence meant, maar dit klinkt echt als een advocaat… Van de ene zin naar de andere zin 180 graden draaien en geen duidelijk antwoord geven. 😉 Maar klant heeft toch altijd de keuze om met iPhone en al naar de apple winkel te gaan? Apple moet service bieden, maar kunnen toch niet verplicht worden dit voor iedereen via elk mogelijk kanaal te doen?

    1. Het kan natuurlijk best zo zijn dat ze voor bepaalde downloads naar de support site verwijzen, dan moet die natuurlijk wel bereikbaar zijn. Kan je wel in de appstore en OS updates downloaden vanaf dat IP adres? Of blokkeert Apple alles?

      Overigens mag dit best wat meer aandacht krijgen, Apple blaast hoog van de toren over de privacy van hun gebruikers en de geweldige functies daarvoor in iOS. Maar in the end zijn het dus hypocrieten en is dat alleen maar marketing praat. Als het erop aankomt blokkeert Apple de enige fatsoenlijke manier om privacy te hebben.

      Misschien moet ik me eens verdiepen in het draaien van een TOR node. Ik zal toch nooit (meer) iets van Apple kopen, dus die support pagina kan me gestolen worden 😉

    2. Maar klant heeft toch altijd de keuze om met iPhone en al naar de apple winkel te gaan?

      Als je in Groningen of zo woont, is de dichstbijzijnde apple store (iStore? hoe heet zo’n ding eigenlijk?) zo’n twee uur reizen. Dat vind ik dus eigenlijk niet echt een realistisch alternatief. Plus dat ’t gewoon onverwacht is van Apple, na al die reclameblaat over hoe geweldig ze wel niet bezig zijn met het beschermen van de privacy van hun gebruikers.

    3. Arnoud een advocaat noemen? Dikke kans dat je nu wordt weggejorist + permaban ziet staan op de plek waar ooit jouw reactie stond + morgen een post over digitaal beledigen 😉

      Anywho; recht is nu eenmaal niet altijd eenduidig. Des te specifieker wetten worden gemaakt, des te meer er nodig zijn en des te sneller ze ook achterhaald zijn en omzeild worden. Daarom kun je zaken op meerdere manieren uitleggen en de afweging blijf, tot de HR wat vindt, altijd een eigen invulling. Als er geen onduidelijkheid zou kunnen bestaan over de wet en of iemand schuldig/verantwoordelijk is, hadden we ook geen rechters nodig gehad.

  2. Voordat je zaken met iemand doet, maak je altijd een inschatting hoe betrouwbaar een persoon is. Laat dat nou net iets zijn dat lastig is om te codificeren, en dat is waar het hier mis gaat. Deze zaak is het equivalent van een Hells Angel of een verward persoon die je winkel in komt lopen. Op zich geen probleem, maar de kans op ‘gedoe’ is groter. Wat ik van een winkel in een dergelijk geval verwacht is dat ze een dergelijk persoon gewoon helpen, maar moet ik ook niet gek opkijken als er scrutineus gekeken wordt naar mogelijke signalen die wijzen op gedoe of problemen, en als daar een zekere drempel overschreden wordt, de persoon toch nog geweigerd wordt met het verzoek later terug te komen. Dus als het alléén een Tor exit node is, geen probleem. Ik verwacht echter dat in dit geval er andere signalen zijn geweest, wellicht een ongebruikelijk veel inlogpogingen vanuit Tor. Als de gebruiker (tijdelijk) geweigerd is vanwege ‘gedoe’ vanuit Tor, en niet vanwege de Tor exit node op zichzelf, dan geef ik Apple gewoon gelijk.

  3. Er speelt hier echter een veel belangrijker issue op de achtergrond, dan de vraag of Apple wel of niet mag blokkeren: hoe gaan we om met beslissingen die automatisch genomen worden? Zeker in het licht dat deze beslissingen soms fout zijn. Zoals hier: deze persoon wil legitiem support kunnen krijgen, maar dat wordt door een automatische IP blokkade geweigerd. Deze vraag komt niet van mij, Bruce Schneier stelde hem na aanleiding van zijn boek, Data and Goliath. Hier lijkt een besluit genomen te worden op basis van IP adres (i.t.t. bijvoorbeeld IP + browser ID). Dat lijkt me -in deze tijd van NAT en Carrier Grade NAT- nogal vragen om false positives. Het lijkt me dan ook dat Apple een procedure zou moeten hebben om een dergelijke blokkade te kunnen opheffen. Het stoort me enorm dat bedrijven (of de overheid!) nu niet gedwongen worden om een dergelijke automatisch genomen onjuiste besluit te corrigeren. Deze blokkade is nog te omzeilen, maar wat nou als je door verkeerde BKR registratie geen lening krijgt, of dat je geflagd wordt als verdacht persoon, alleen omdat je providers een IP reeks overneemt van een Jordanese ISP? Op dit moment zijn er -voor zover ik weet- geen wetten waarmee je dit soort fouten kan corrigeren. Ik zie dit als maatschappelijk probleem waar de wetgever ernstig tekort schiet.

    1. Heb je als klant niet gewoon de keuze ergens anders heen te gaan? Je hoeft geen Apple producten te kopen en als maar genoeg mensen tegen dit probleem aanlopen en naar de concurrent overstappen, zal het beleid vanzelf wijzigen. Achter dit soort (automatische) beslissingen zit vrijwel altijd een financiële afweging (wat kost misbruik versus wat kost verlies aan klanten). De roep om de wetgever vind ik in dit geval veel te voorbarig. Een vergelijk met een onjuiste BKR registratie gaat mank omdat je dan nergens meer een lening krijgt (dus ook niet naar een concurrent kan).

      1. @Alex: Het probleem is juist die financiële afweging! Apple (en andere bedrijven) accepteren die paar false positives.

        Overstappen heeft dan ook geen effect: als iemand geen klant kàn zijn, zullen ze echt niet onder de indruk zijn als zo’n persoon dan geen klant meer wíl zijn.

        Gezien het enorme aantal beslissingen dat door een algoritmes genomen wordt, is zelfs <1% false positives zeer onwenselijk. Stel dat 0.1% van de populatie geen gebruik kan maken van Apple support: dat klinkt niet heel erg. Maar ik claim dat het aantal mensen dat onterecht afgewezen wordt groter is dan het aantal mensen dat terecht afgewezen wordt. Dit is simpele (maar niet-intuitieve) kansrekening. Stel dat Apple's 'hacker-scanner' 99.9% nauwkeurig is, en er 1000 hackers zijn per 10.000.000 gebruikers, dan worden er 999 hackers terecht tegengehouden, en 9.999 mensen als hacker aangemerkt terwijl ze dat niet zijn. Ruim 10 keer zo veel.

        Misschien klinkt het bij Apple support niet erg, maar dit soort algoritmes worden ook gebruikt voor, krediet-beoordelingen, of voor terrorisme-scanners voor reizigers. En meestal is de nauwkeurigheid een stuk slechter dan 0.1% foutmarge. Voor de ontwikkelaars is dit goed genoeg: als ze die paar hackers tegenhouden, accepteren ze de veel grotere (maar in hun ogen nog steeds kleine) collateral damage. Kortom, het probleem is maatschappelijk.

        1. @Freek: Wat betreft kredietafwegingen en terrorisme scanners geef ik je volledig gelijk, omdat in die gevallen grondrechten van mensen onterecht ingeperkt kunnen worden. Daarom is een veel hogere mate van zorgvuldigheid – die zich in dit concrete geval zou moeten vertalen in een lagere false positives ratio – van groot belang. Maar het gebruik van dezelfde algoritmes in andere gevallen zal aan minder strenge zorgvuldigheidseisen hoeven te voldoen. Customer support is geen grondrecht. Een ondernemer heeft daarin een keuze, net zoals een klant een keuze heeft. Als de customer support van Apple knudde is – om welke reden dan ook – kan je makkelijk overstappen naar Samsung, HTC, whatever. Geen toegang tot customer support is vervelend, geeft een negatieve productervaring maar tast niet je grondrechten aan. Op een bepaald moment, als je het echt zat bent, zal makkelijk toegankelijke support een selling argument gaan worden. Dat is een stuk marktwerking waar ik echt geen taak voor de wetgever zie.

          1. Het probleem is natuurlijk wel dat niemand in de winkel of bij apple je dit vertelt, je komt er pas achter als je het product hebt gekocht. Als online dan de enige optie zou dat een probleem kunnen zijn, het is niet normaal om te verwachten dat een bedrijf jouw internetverbinding niet accepteerd en het product doet dan mogelijk niet aan de verwachtingen. Echter:

            Als je de kennis hebt om een TOR exit node te runnen (en je computer te beveiligen tegen de hackers die dat aantrekt) dan kan je ook een vpn verbinding op te zetten om wel bij Apple support te kunnen komen.

        2. Je maakt hier een heel gevaarlijke aanname, namelijk dat de fout van de eerste soort (hackers worden aangezien voor niet-hackers) net zo groot is als de fout van de tweede soort (niet-hackers worden aangezien voor hackers). Dat is natuurlijk niet zo. Daarnaast zijn de gevolgen van de eerste soort fout en de tweede soort fout ook heel anders: Voor terrorisme scanners op vliegtuigen is het zeer acceptabel, dat voor 1000 terrorristen ook 10.000 toeristen hun tas moeten openmaken, en een paar extra vragen van de douane moeten beantwoorden. Alleen als de toeristen niet meewerken, of al erg laat waren, missen ze daardoor hun vliegtuig, terwijl de gevolgen van EEN terrorist aan boord met een bom veel groter zijn. Van de 10.000 legitieme Apple klanten zullen 9000 het gewoon vanaf hun werk / restaurant / KPN-fon / andere verbinding proberen, en maar een klein gedeelte daadwerkelijk klagen op social media. Ik heb overigens niet veel sympathie met mensen die een TOR exit node draaien, en niet op de Apple site kunnen komen. Als ze weten wat ze doen, komen ze daar toch wel op, en als ze niet weten wat ze doen, wat moeten ze dan met een TOR exit node?

      1. Een goede IT-er zegt dan “wat jij wilt heeft de volgende consequenties, wil je het nog steeds?”, en “de vraag die jij stelt interpreteer ik als volgt …, klopt dat?”

        Ik verwacht iets dergelijks van een goede jurist.

  4. Ik heb wel eens bij websites gezien dat mensen kunnen kiezen of ze via TOR kunnen inloggen (default: staat uit). Dan geef je de bulk van de klanten bescherming tegen aanvallen vanuit TOR, en die paar TOR-gebruikers zijn waarschijnlijk tech-savvy genoeg om een sterke passphrase te gebruiken, waardoor ze op die manier ook veilig zijn. Je moet als TOR-gebruiker natuurlijk wel de mogelijkheid hebben om die optie aan te passen, maar dat hoeft maar eenmalig te gebeuren, en zou bijv. via andermans WiFi(*) of bij een fysieke vestiging kunnen gebeuren.

    Als Apple een goede service willen leveren zouden ze zoiets kunnen aanbieden.

    Ik ben zelf wel eens geblokkeerd op een website; het bleek dat ik werd geblokkeerd omdat ik een TOR relay-node draai (niet eens een exit node!). Gelukkig was dat een website die niet zo belangrijk voor mij was, dus ik heb het er maar bij gelaten.

    (*) Er zijn genoeg legale opties, bijv. restaurants / winkels en mensen die aan openwireless.org mee doen.

    1. Een eerste vereiste bij contractuele vrijheid is dat er een evenwicht in de macht- en kennispositie van de betrokken partijen. Daar waar die scheef is, is de contractuele vrijheid in het geding, en dus de taak van de “hoeder” van de vrije markt, in casu de overheid, om in te grijpen.

  5. Wel, hoewel we focusen op of Tor nu wel of niet misbruikt wordt door duistere individuen met duistere zaakjes is er eigenlijk nog een reden waarom Apple Tor zou kunnen blokkeren. Een hele simpele, eigenlijk. Normaal gesproken is op basis van het IP adres wel ongeveer te bepalen in welk land de bezoeker woont. Maar via Tor wordt dat onduidelijk en kan achter het IP adres een Noord-Koreaan of Iranier zitten die support willen opvragen bij Apple en dat niet via hun normale provider kunnen doen. Ofwel, Apple weet dan niet te bepalen waar de bezoeker vandaan komt en die informatie hebben ze kennelijk wel nodig omdat er een boycot kan zitten op bepaalde producten die Apple maakt. Een Noort-Koreaan met een iPad heeft dan mogelijk deze boycot weten te omzeilen en probeert support te krijgen. Maar support valt ook onder deze boycot. Ofwel, Apple doet dit misschien niet om misbruik te voorkomen maar om te voorkomen dat ze bepaalde handels-boycotten schenden. En dat is een prima reden om Tor te blokkeren. Ofwel, 2-1 in het voordeel van het blokkeren!

  6. Hele volksstammen (serverclusters) in de US blokkeren TOR users. Wenselijk, gemakzuchtig, of simpelweg commerciële overwegingen. Je krijgt geen advertenties op TOR voorgeschoteld, bedrijven kunnen geen gebruikersdata verzamelen.

    Het is een beetje een Wilders tactiek. Criminelen rijden vaak in een BMW, dus verbieden we alle BMW’s. Je zou zeggen, discriminatie op afkomst is niet wenselijk, sterker nog verboden. Blokkeer geen TOR gebruikers, maar blokkeer misbruik. Dat is wat moeilijker, maar de agenda om TOR te blokkeren is op zijn minst dubbel.

    Ik zou geen TOR gebruiken als niet iedere site allerlei JS-widgets inbouwt, allemaal programma’s van allerlei buitenlandse bedrijven ongevraagd en verborgen op mijn PC laat draaien, die behalve mijn energierekening omhoog jagen, ook nog veiligheidsrisico’s meebrengen, en mijn surfgedrag proberen vast te leggen.

    En dan heb je nog allerlei bedrijven die zeggen. Wie JS uitschakelt maakt het internet stuk. En wie TOR gebruikt is een crimineel. My ass.

Geef een reactie

Handige HTML: <a href=""> voor hyperlinks, <blockquote> om te citeren, <UL>/<OL> voor lijsten, en <em> en <strong> voor italics en vet.