Categorie: Security

About Security

Subscribe Feeds

Mag ik betaalde draadloze internet accesspoints hacken?

Geplaatst op in Security, 19 reacties

wifi-hotel.pngEen lezer vroeg me:

Ik begreep dat het niet illegaal is om een router te hacken en daarmee internet op te gaan. Nu vroeg ik me af, geldt dat ook bij betaalde diensten zoals internet in een hotel?

In maart heeft het gerechtshof Den Haag geoordeeld dat meesurfen met de buren geen computervredebreuk is. Het argument was dat een router/modem niet voldoet aan de definitie van ‘geautomatiseerd werk’ van de strafwet, zodat inbreken op zo’n apparaat niet strafbaar is. Bij het strafrecht worden definities streng toegepast, om te voorkomen dat je gestraft wordt voor iets dat niet duidelijk in de wet staat.

Velen vinden dit te streng (ik ook) en er is cassatie bij de Hoge Raad ingesteld. Ik zou dus niet heel hard op deze uitspraak durven vertrouwen.

Bij betaalde toegang tot internet is computervredebreuk niet het enige artikel dat je zou kunnen overtreden. Het kraken van een betáálinterface is echter apart strafbaar gesteld. Artikel 326c Strafrecht verbiedt het gebruik maken van een dienst die via telecommunicatie aan het publiek wordt aangeboden, als je dat doet met het oogmerk daarvoor niet volledig te betalen en wel door een technische ingreep of met behulp van valse signalen.

Dit artikel gaat primair over betaaltelevisie en dergelijke diensten, maar het lijkt me ook prima op te gaan voor betaalde internettoegang in hotels, restaurants etcetera. Ik zou dus niet aanraden een betaalde hotspotdienst te kraken, ook niet met deze uitspraak.

En dan nog een persoonlijke frustratie: wáárom is internet altijd zo kneiterduur in hotels? En dan met name in de duurdere hotels: ik heb kamers van 80 euro mét gratis internet gehad en kamers van 250 euro waar internet 7,95 per uur was.

Arnoud<br/> Foto: Jacek Becela, Flickr, CC-BY-SA.

Mijn kind heeft credits gekocht op Facebook, wat nu?

Geplaatst op in Security, 62 reacties

Een lezer vroeg me:

Mijn kinderen spelen op Facebook allerlei spelletjes, en gebruiken daarbij het account van mij of van mijn vrouw. Bij sommige spellen kun je via extra credits hogerop komen, maar die moet je dan kopen. Onze dochter van 9 ontdekte echter dat onze creditcardgegevens werden onthouden door Facebook, zodat ze snel voor 55 euro wat credits aanschafte. Hoger kon niet, want daarvoor hadden ze de pincode nodig. Kan ik deze ongewenste betaling ongedaan maken?

De wet (art. 1:234 BW) bepaalt dat minderjarigen niet zelfstandig overeenkomsten kunnen sluiten. Daarvoor is toestemming nodig van de ouders. Het is alleen niet handig als een kind voor elke reep chocola een briefje van zijn ouders nodig zou hebben. Daarom staat in de wet staat dat die toestemming wordt verondersteld te zijn gegeven als het een rechtshandeling is “waarvan in het maatschappelijk verkeer gebruikelijk is dat minderjarigen van zijn leeftijd deze zelfstandig verrichten.”

De vraag is dan, is het voor minderjarigen van 9 jaar gebruikelijk dat ze credits voor Facebookspelletjes kopen. Ik heb eerlijk gezegd geen flauw idee. Wie onderzoek heeft naar dit onderwerp, ik hoor het graag.

Een bijkomstig punt is hier wel dat het niet het kind is dat de aanschaf deed, maar de vader. Althans, zo zag het eruit voor Facebook. Er werd immers gewerkt vanaf diens account, en niet vanaf een account dat gekoppeld was aan de negenjarige dochter. Ik denk dan ook dat het in die situatie niet mogelijk is de aankoop te annuleren op grond van artikel 1:234 BW. Het zou wel érg makkelijk zijn voor volwassen om dan dingen te kopen en achteraf te zeggen dat het hun minderjarige kind was.

Een juridisch argument om dat te onderbouwen is dat wanneer je je kind jouw account laat gebruiken, je hem of haar in feite als jouw vertegenwoordiger aanstelt. Het kind koopt dan niets, maar jíj koopt die zaken en het kind handelt daarbij als uitvoerder in jouw naam. In die situatie is het onmogelijk om je op artikel 1:234 BW te beroepen want jij als ouder bent meerderjarig.

Het lijkt me dus handiger je kinderen een eigen account te geven, dat stevig af te sluiten tegen ongewenst gebruik en ze zelf te laten sparen voor eventuele credits.

Arnoud

Mag ik ons netwerk opschonen van illegale zaken?

Geplaatst op in Privacy, Security, 66 reacties

delete.pngEen lezer vroeg me:

Ik ben systeembeheerder bij een school. Wij geven iedereen een netwerkaccount zodat ze bestanden kunnen opslaan en kunnen mailen. Nu weet ik dat leerlingen (maar ook docenten) regelmatig illegale zaken opslaan op hun account (plaatjes, filmpjes, muziek, keyloggers, hacktools, niet school gerelateerd materiaal, etcetera). Vorige week heb ik een grote schoonmaak gehouden en alle niet-schoolgerelateerde zaken verwijderd. Maar nu is een aantal gebruikers behoorlijk boos en zeggen ze dat dit niet mag! Ik kan toch als beheerder niet tolereren dat er illegale zaken op onze servers staan?

Ik zou dit niet op deze manier aanpakken. Inderdaad, als je weet hebt van illegale zaken dan mag (moet?) je ingrijpen. Maar dat is niet hetzelfde als “het zijn scholieren, die hebben dús bergen illegale meuk, ik ga alle mappen langs en alles weggooien dat ik zie”.

Dit gaat niet goed vallen bij systeembeheerders, maar zo’n netwerkaccount met eigen opslag is een privéruimte net als de locker bij de ingang of de bureaulades op kantoor. Daar mag je als BOFH dus niet zomaar in gaan snuffelen.

Er zijn een aantal voorwaarden waaraan voldaan moet zijn. Allereerst moet er een expliciet geaccordeerd IT-reglement zijn waarin aangegeven staat wat men mag met het account en vooral wat niet. En daarbij geldt dat “alleen schoolgerelateerde zaken” te kort door de bocht is: er moet enige ruimte voor privégebruik zijn. (Klachten dat dit onzin is, mag u bij het Europese Hof voor de Mensenrechten kwijt.)

Verder mag monitoren in principe alleen op anonieme basis, en moet dit gericht zijn op werkgeversbelangen als overlast, schade of storingen. Als ik 20MB aan MP3’tjes in mijn account heb, heeft niemand daar last van. Daar moet het beheer afblijven. Wordt het 20GB, dan lopen er schijven vol en dat kan wellicht een onderzoekje rechtvaardigen. Of als je heel veel inlogs op mijn account ziet vanaf IP’s over de hele wereld. Dat is een aanwijzing dat ik aan filesharing doe (of dat mijn account gecompromitteerd is) en dan mag je ingrijpen.

Persoonsgericht monitoren (wat spookt die Engelfriet uit op ons systeem) mag alleen bij concrete aanwijzingen dat die persoon iets fout doet, en het hoe en wat wordt dan gedocumenteerd in het IT-reglement. Bijvoorbeeld: als uit het maandelijks dataverkeer-rapport blijkt dat er zeer overmatig wordt gedownload, dan mogen we gaan kijken wie daarvoor verantwoordelijk is en die persoon daarop aanspreken. Wel zou ik dan een waarschuwing verwachten naar alle medewerkers toe.

Bij personen die bestuurslid zijn van de vakbond of medezeggenschapsraad (of de bedrijfsarts) mag het beheer helemaal niet in hun privémappen kijken tenzij met hun toestemming of in zéér uitzonderlijke situaties.

Arnoud

Is Sony aansprakelijk voor gestolen Playstation-gegevens?

Geplaatst op in Security, 26 reacties

sony-playstation.pngSony stelt zichzelf niet aansprakelijk in het geval een onbevoegde buitenstaander zichzelf toegang verschaft tot persoonlijke gegevens, las ik bij Nu.nl. Dat zou blijken uit de TOS van de dienst. Bij een inbraak werden persoonsgegevens en creditcardinformatie gestolen uit de databases van het Playstation Network van Sony. Hoewel het CVV-getal niet is gestolen, kan er toch misbruik worden gemaakt van de informatie omdat lang niet elke creditcard-acceptant deze code vraagt. Sony

Het is me onduidelijk of Sony dit nu daadwerkelijk heeft gezegd of dat Nu.nl (en Gamer.nl) het klakkeloos overnemen van Edge, dat de pechgehadclausule in de terms of service ontdekte:

We exclude all liability for loss of data or unauthorised access to your data, Sony Online Network account or Sony Online Network wallet and for damage caused to your software or hardware as a result of using or accessing Sony Online Network.

Kan dat zomaar? Natuurlijk niet. Een bedrijf kan haar aansprakelijkheid proberen te beperken, maar de wet (zowel in Nederland als in de Verenigde Staten) stelt daar grenzen aan. Eén van die grenzen is “opzet en grove nalatigheid”: daarvoor ben je te allen tijde aansprakelijk, ongeacht je voorwaarden.

Voor specifieke soorten datadiefstal zijn er strengere regels. Zo kent de Wet bescherming persoonsgegevens de plicht om data “adequaat” te beschermen tegen diefstal en ongeautoriseerd gebruik. Die plicht is niet in de voorwaarden weg te tekenen, en aansprakelijkheid bij schending van die plicht is niet uit te sluiten. Een probleem is wel om aan te tonen wélke schade je hebt geleden door deze schending. Ik blijf het een goed idee vinden om gewoon een vast bedrag, zeg 300 euro, in de wet te zetten als schadebedrag als er geen hogere schade is geleden. Als Sony een risico van 70 miljoen maal 300 euro loopt, vinden ze een investering in een beveiligingsbedrijf misschien wel een goed idee.

En specifiek voor creditcardgegevens is er nog artikel 7:529 BW. (Voor de mensen met e-commerce achtergrond: artikel 7:46g BW bestaat niet meer.). Dit bepaalt dat de kaarthouder slechts aansprakelijk is tot een bedrag van ten hoogste ” 150 voor niet-toegestane betalingstransacties met een verloren of gestolen betaalinstrument. Uitzondering is als de kaarthouder “frauduleus of opzettelijk of met grove nalatigheid heeft gehandeld”. Het lijkt me niet dat het geven van je creditcardgegevens aan Sony telt als grove nalatigheid, dus het risico voor de Playstation-Netwerkgebruikers is beperkt.

Het blijft een goed idee om je creditcardstatements te controleren en meteen de bank te bellen als er een ongeautoriseerde transactie verschijnt. (Dit níet doen zou kunnen worden gezien als grove nalatigheid.) En misschien kun je maar beter sowieso een nieuwe creditcard aanvragen om elk risico uit te sluiten.

Arnoud

DollarRevenue-affiliate krijgt 14.000 euro boete voor verspreiden reclameworm

Geplaatst op in Security, 6 reacties

Een affiliate van het beruchte DollarRevenue heeft van de rechtbank een boete van 14.000 euro gekregen, meldde Webwereld vorige week. De OPTA kwam tijdens het onderzoek naar spyware van DollarRevenue de namen tegen van twee Nederlanders die als affiliate stonden geregistreerd bij het bedrijf. Zij verspreidden tegen betaling de DollarRevenue-software, en de OPTA merkte ze daarom aan als zelfstandig verspreiders van spyware.

Eén van de beboete personen ging in beroep, maar ook de rechtbank acht hem schuldig. Alleen de hoogte van de boete wordt ietwat gematigd (van 16.000 naar 14.000 euro) omdat onvoldoende rekening was gehouden met het feit dat hij ten tijde van de overtreding psychisch in de war was.

Het maakte niet uit dat deze personen ‘slechts’ affiliates waren en dus andermans software promootten. Hun handelingen zorgden er namelijk voor dat de software werd geïnstalleerd op computers van eindgebruikers, en dat mag niet als daar niet expliciet toestemming voor is gekregen. Het boetebesluit van de OPTA legt uit hoe de affiliates werkten:

[E]en argeloze gebruiker kreeg een link toegestuurd naar de kwaadaardige software via één van de contactpersonen uit zijn MSN-contactenlijst. De gebruiker dacht dat dit een persoonlijke boodschap betrof met een link naar een foto. Zodra hij de link opende, werd advertentie- en verspreidingssoftware op zijn computer geïnstalleerd. De volgende keer dat de gebruiker het chatprogramma MSN opstartte, werd automatisch aan al zijn contactpersonen in de contactenlijst dezelfde link toegestuurd.

Dat is dus niets meer of minder dan een ordinaire worm die zichzelf verspreidt. En of je nu je eigen of andermans worm loslaat, het is en blijft een overtreding van de wet.

Zestien- of veertienduizend: het blijven forse boetes. Bij deze zaken krijg je wel altijd de vraag of ze echt effectief zijn. Deze spyware is op 180.000 computers geïnstalleerd en volgens Tech’n Security kreeg je

30 cents per install in the USA, 20 cents per install in Canada, 10 cents in the UK, 1 cent in China and .02 cents in other countries

Volgens Pay per Install geldt die “.02 cents” voor Azië, dus ik aarzel nu wat het Nederlandse bedrag is. Bij 10 cent per installatie (analoog aan de UK) is de revenue dus 18.000 dollar, maar bij 2 cent is het slechts 3600 dollar en dan heeft de boete toch wel aardige impact.

Arnoud

Meesurfen met internet van de buren geen computervredebreuk

Geplaatst op in Security, 38 reacties

Nou, mooi is dat. Meeliften bij het internet van de buren is geen computervredebreuk, oordeelde het Hof Den Haag vorige week (via). Ook als je daarbij de router kraakt. Een router is namelijk geen “geautomatiseerd werk” in de zin van de wet, en je kunt alleen computervredebreuk plegen als je binnendringt in een geautomatiseerd werk. Dit is het hoger beroep van de 4chan-zaak.

In deze strafzaak had een jongen via het netwerk van de buren op het NSFL-imageboard een dreigende tekst geplaatst (“I”ll go and kill some peeps from my old school”). In eerste instantie oordeelde de rechtbank dat deze bedreiging niet serieus te nemen was omdat het motto van 4chan was “only a fool would take anything posted here as fact”. Daar komt het Hof op terug: gezien de context van enkele andere school shootings mocht je die bedreiging wel degelijk serieus opvatten, ook als deze niet daadwerkelijk zo bedoeld was.

Het oordeel dat er geen computervredebreuk bij de buren werd gepleegd, blijft in stand. Het Hof neemt de redenering van de rechtbank over dat er pas sprake kan zijn van een computerinbraak als je daadwerkelijk iets doorbreekt (wat dus niet klopt gezien de huidige wet). Maar belangrijker, het Hof stelt dat je op een router niet kunt inbreken omdat een router geen “geautomatiseerd werk” is. Artikel 80sexies Strafrecht definieert dat namelijk als

een inrichting die bestemd is om langs elektronische weg gegevens op te slaan, te verwerken en over te dragen.

Het Hof interpreteert die “en” nu netjes als een AND: een apparaat moet alle drie die dingen doen met (een gegeven set) gegevens. En een router doet dat niet, want die slaat niets op.

Het hof stelt vast dat een router een schakelapparaat op de knooppunten van een netwerk zoals het internet is. Een router houdt een wachtwoord of gebruikerscode opgeslagen en zorgt, in opdracht van de gebruiker van die router alleen voor de verzending van gegevens naar de juiste bestemming.

Net als ik heeft ook ict-jurist Jan-Jaap Oerlemans grote moeite met dit arrest.

Ik denk dat artikel 80sexies Sr verkeerd wordt geïnterpreteerd en dit onwenselijke effecten met zich meebrengt. Wat als mensen spam of kinderpornografie over je beveiligde wifi-netwerk verspreiden? De onderhavige zaak illustreert overduidelijk een ander onwenselijk effect. Als via een ander wifi-netwerk misdrijven worden gepleegd en op basis van het IP-adres wordt getracht een verdachte te identificeren komen opsporingsdiensten bij de verkeerde persoon uit!

Het lijkt mij ook dat dit niet de bedoeling is geweest van de wetgever. Maar het staat er wel, en ik vrees dat we niet heel ver komen met dat een router een geheugen heeft voor firmware of dat er een buffer is die 0,1 seconde alle data vasthoudt. Echter, ik vond een sprankje hoop in de memorie van toelichting uit 1993:

een “geautomatiseerd werk”. Hieronder wordt verstaan elke inrichting die met technische middelen geschikt is gemaakt voor de opslag, verwerking of overdracht van gegevens. … Hieronder vallen dus computers, netwerken van aan elkaar verbonden computers en geautomatiseerde inrichtingen voor telecommunicatie (mijn cursivering)

Echter, bij de Eerste Kamer werd het “op te slaan en te verwerken”. En in 2006 werd het het huidige “op te slaan, te verwerken en over te dragen”, waarbij werd opgemerkt

Daarmee vallen niet alleen computers in de meer gangbare betekenis onder het begrip geautomatiseerd werk, maar ook computernetwerken en geautomatiseerde inrichtingen voor telecommunicatie, zoals telefoon en telefax.

In het Cybercrime-verdrag vond ik nog een definitie van “computer system” die hoopvoller klinkt:

any device or a group of interconnected or related devices, one or more of which, pursuant to a program, performs automatic processing of data

Onze wet moet immers passen binnen het Cybercrime-verdrag, dus daar kan de Hoge Raad wellicht nog wat mee in eventuele cassatie. Dat zal wel lastig worden, want tegen de letterlijke tekst van een wetsartikel ingaan met je interpretatie is heel erg moeilijk.

Ook kun je zoals mijn collega Paul Pols betoogt, verdedigen dat niet ingebroken is op de router maar op het netwerk, en dat slaat wel gegevens op naast ze te verwerken en versturen. Maar ik vrees dat dat niet gaat werken.

Een wetswijziging lijkt me dan ook nodig. Daarvoor nu gaan pushen vind ik eng, want dat gebeurt dan in het wetsvoorstel dat ook het OM de bevoegdheid zou geven websites te sluiten zonder gerechtelijk bevel.

Arnoud

Toxbot-verspreider pleegde computervredebreuk en “gemeen gevaar” voor financiële dienstverlening

Geplaatst op in Security, 11 reacties

De uitspraak van het Gerechtshof tegen de Nederlandse hacker die enkele jaren geleden werd veroordeeld voor het verspreiden van het W32.Toxbot-virus om zo een botnet te bouwen, is door de Hoge Raad vernietigd. Dat meldde ISPam.nl gisteren. Het Gerechtshof had de verkeerde toets aangelegd om te bepalen of sprake was van “gemeen gevaar” voor het verlenen van diensten. Maar het binnendringen in een ongepatchte Windows XP Servicepack 0-computer is wel degelijk computervredebreuk, want “[de Hoge Raad] heeft geoordeeld dat elke consumentenversie van het computerbesturingssysteem Windows XP is voorzien van enige beveiliging in de zin van art. 138a, eerste lid aanhef en onder a, (oud) Sr.”

In 2005 rolde de Nationale Recherche een botnet op van meer dan 100.000 gehackte computers dat opgebouwd was uit Toxbotbesmette computer. Het netwerk werd gebruikt als springplank voor computervredebreuk maar ook voor het kapen van Ebay- en Paypalaccounts. Dankzij onder meer een oplettende SARA-systeembeheerder kon een onderzoek gestart worden, waar onder meer uit bleek dat meneer flink de pé in had omdat hij het virus “codbot” wilde noemen en “stomme av’s” hadden gekozen voor “toxbot”. Maar, iets relevanter: dat hij updates van Toxbot verstuurde naar een medeverdachte en dat beiden commando’s gaven aan het botnetwerk dat zij beheerden om nieuwe versies van het virus te verspreiden.

Onder de toenmalige Wet Computercriminaliteit kon slechts sprake zijn van computervredebreuk als een beveiliging werd doorbroken. En dat stond hier ter discussie, omdat Windows van vóór SP2 naar deskundige meningen zo lek als een mandje (zonder onderkant) geacht wordt. Maar dat maakt niet uit. Zodra het slachtoffer van computervredebreuk kan aantonen dat er sprake is van enige reële beveiliging dan is dat voldoende. Omdat Microsoft de optie van administratortoegang van buitenaf bij de introductie van XP bewust geblokkeerd had, en Toxbot toch met adminprivileges kon draaien, was daarmee sprake van doorbreken van een beveiliging.

In haar arrest had het Gerechtshof daarbij geconstateerd

Zoals uit de wetsgeschiedenis blijkt kan daarbij worden gedacht aan het plaatsen van een tekst op het beeldscherm dat toegang voor onbevoegden verboden is. Maar omdat deze woorden een per ongeluk tot stand gekomen toegang niet uitsluiten, bevat voornoemd artikel 138a onder meer ook het aanvullende vereiste dat sprake moet zijn van enige beveiliging, ofwel een kenbare drempel zodat onbevoegden zich niet simpelweg de toegang kunnen verschaffen.

De Hoge Raad stemt daarmee in en voegt daaraan toe:

dat onder het doorbreken van enige beveiliging, zoals bedoeld in art. 138a, eerste lid onder a, (oud) Sr, mede dient te worden verstaan het tegen de wil van de rechthebbende binnendringen in een computer langs een weg die de aanwezige beveiliging niet of onvoldoende afsluit. Daarbij is, anders dan de steller van het middel betoogt, niet van belang of die opening inherent is aan het systeem of is veroorzaakt door andere ‘aanvallers’.

Onder het huidige recht geldt een nóg lagere standaard: je hoeft niet eens een beveiliging te doorbreken, genoeg is “het tegen de wil van de rechthebbende binnendringen in een computer”. (Hoewel in april 2010 binnendringen op een draadloos netwerk niet strafbaar werd geacht.)

Het Gerechtshof had bij de gekaapte Ebay- en Paypalaccounts geoordeeld dat geen sprake was van het veroorzaken van “gemeen gevaar” voor dienstverlening. Dat artikel (ook ingezet bij DDoS-aanvallen) was niet van toepassing volgens het Hof omdat alleen de computers van de eindgebruikers waren verstoord, en niet de servers die de dienst leveren. Zolang die servers gewoon draaien, is er geen “gemeen gevaar”, zeg maar.

Dat onderscheid is echter irrelevant volgens de Hoge Raad. Het gaat er niet om of servers dan wel clients verstoord worden, maar of er sprake is van “gevaar voor een ongestoorde dienstverlening aan een onbestemd doch aanmerkelijk aantal afnemers.” Het gaat erom of van de opzettelijk veroorzaakte stoornis gemeen gevaar te duchten was voor een ongestoorde dienstverlening. En dat kan ik wel billijken: als je een groot deel van de clients weet te compromitteren dan breng je toch de dienstverlening in gevaar, zelfs als de servers ongestoord doordraaien. De dienst wordt op die manier onbetrouwbaar omdat mensen hun vertrouwen erin verliezen – en dat is eigenlijk erger dan dat de servers er om de haverklap uitliggen.

Arnoud

Nieuwste OV-chipkraak maakt zwartrijder onzichtbaar

Geplaatst op in Innovatie, Security, 45 reacties

ov-chipkaart-kraak-perfecte-misdaad.jpgHet is mogelijk te frauderen met de OV-chipkaart zonder gebruik te maken van de poortjes. Daardoor valt het misbruik niet meer te detecteren in de centrale systemen. Dat meldde Webwereld gisteren op basis van Brenno de Winter’s geweldige onderzoeksjournalistiek over de OV-faalkaart. Bij het NOS-journaal mocht ik zeggen dat dit “de perfecte misdaad” is: wel strafbaar maar niets aan te doen.

Hopelijk is dit het laatste hoofdstuk in de langlopende soap rond de OV-chipkaart. Al jaren is bekend dat de kaart grote technische zwakheden vertoont, maar tot nu toe werden die steeds afgedaan als “theoretisch” of “alleen voor übernerds”. Nu is er een Windowsapplicatie waarmee ook mijn vader gratis zou kunnen reizen.

Niet dat hij dat moet gaan doen, want het is en blijft strafbaar. In december werd nog een man veroordeeld wegens computervredebreuk (wtf?) omdat hij zijn OV-chipkaart illegaal had opgewaardeerd en daarmee was gaan reizen. Een kaart faken of zelf opladen valt onder het “valselijk opmaken van een betaalkaart” (art. 232 Strafrecht).

Op zich snap ik dus dat TLS na bekend worden van deze hack aangifte heeft gedaan. Alleen: ik mag hopen dat het OM die allemaal in het halfronde archief stopt, pardon via politiesepot afdoet zodra de woordvoerder weer naar buiten is. De strafwet is bedoeld voor die gevallen waarin je goed beveiligde kaart ondanks al je inspanningen toch vervalst werd. Niet als compensatie voor implementatiefalen van de leverancier.

Wie zijn huis totaal niet beveiligt, mag niet verwachten dat de politie veel doet om diefstal van zijn spullen op te lossen. Evenzo zie ik niet waarom TLS nu mag verwachten dat de politie het probleem van hun rammelende beveiliging gaat oplossen.

En nee, ik reis niet zwart maar keurig met (papieren) kaartjes.

Arnoud

Mag een bedrijf de gsms van werknemers tappen?

Geplaatst op in Privacy, Security, 12 reacties

Een lezer vroeg me:

Recent kwam in het nieuws dat de beveiliging op GSM-communicatie eenvoudig te kraken is. Nu vroeg ik me af, als deze techniek gemeengoed wordt, zou je daarmee dan ook als bedrijf je werknemers mogen aftappen om bv. te controleren op verboden privégebruik van hun mobiele telefoon?

Het opvangen van vrije signalen uit de ether is toegestaan, maar je mag daarbij geen bijzondere maatregelen nemen (zoals kraken van een encryptie). Zie artikel 139c Strafrecht. De beschikbaarheid van deze kraak verandert daar niets aan denk ik: het blijft een “bijzondere” maatregel om GSM-verkeer te kraken.

Verder staat in datzelfde wetsartikel dat het opnemen van andermans telefoongesprekken strafbaar, is maar met een uitzondering voor wanneer de eigenaar van de randapparatuur de tap uitvoert. Zie lid 2 sub 2: “door of in opdracht van de gerechtigde tot een voor de telecommunicatie gebezigde aansluiting, behoudens in geval van kennelijk misbruik”.

Dit wil echter niet zeggen dat sniffen zomaar mag omdat men eigenaar is van het apparaat. Het arbeidsreglement dient te vermelden dat men telefonie mag aftappen wanneer er een vermoeden is van misbruik van de faciliteiten of overtreding van de bedrijfsregels. Sniffen zonder dat de medewerker dit kan weten is m.i. per definitie onrechtmatig. En de OR dient in te stemmen met dit reglement (art. 27 lid 1 Wet OR). Sniffen is verwerken van persoonsgegevens immers.

Arnoud

RTL beschuldigt maker RTL Gemist-applicatie van overtreding auteursrecht

Geplaatst op in Intellectuele rechten, Security, 33 reacties

rtl-gemist-app.pngRTL Nederland beschuldigt een student, die een iPhone-applicatie met RTL Gemist-programma’s heeft ontwikkeld, van auteursrechtschending. Dat meldde, gisteren, Nu.nl (met irritante komma’s). Met deze applicatie kunnen de iPad-programmastreams worden opgevraagd vanaf RTL Gemist. Wie vanaf een mobiele telefoon RTL-programma’s wil bekijken, moet (soms) betalen per kijk.

Het is me niet helemaal duidelijk wie er nu voor het eerst “auteursrechtschending” heeft gezegd. De woordvoerder van RTL wordt geciteerd dat men dit “oneigenlijk gebruik” vindt, en dat kan ik ergens wel volgen, maar of het dan ook een schending van de Auteurswet oplevert, is vraag 2.

De streams worden niet gekopieerd of opnieuw uitgezonden. Gebruikers van de app vragen de stream op vanaf hun iPhone, maar deze komt nog steeds direct vanaf de originele plek (de server van RTL). In feite is dit dus niets anders dan een variant op embedded linken – en daarvan is zeer de vraag of het inbreuk op auteursrechten is.

Bovendien is er nóg een wezenlijk verschil: een webpagina met embedded viewer kan door meerdere mensen tegelijk worden bekeken, terwijl de stream op die app maar door één persoon wordt bekeken. Om van auteursrechtinbreuk te spreken, moet sprake zijn van “aanbieden aan een nieuw publiek” en niet van vertonen binnen de privésfeer. Het schermpje van een iPhone lijkt me evident een privéomgeving.

Wel kun je – in analogie met de ZoekMP3, Mininova, Pirate Bay en FTD-zaken – betogen dat dit onrechtmatig is: RTL loopt geld mis, en dat is niet netjes, daarom mag het niet. Maar ik moet zeggen dat ik dat een beetje een zwaktebod vind. Immers zo is alles wel krom te praten: als het concurreert met een “officiële” dienst en de officiële dienst is betaald, dan handelt de concurrent maatschappelijk onzorgvuldig door dat gratis te doen. Nee, dat gaat me te makkelijk.

Arnoud