Ius Mentis

Crimineel computernetwerk ontmanteld, mag dat?

Geplaatst op 27 oktober 201016 mei 2013 in Regulering, Security, 51 reacties

Een speciaal team van de nationale recherche heeft maandag een crimineel computernetwerk platgelegd, meldde nu.nl. Na klachten over het Bredolab-botnet vorig jaar werd een onderzoek ingesteld, waarbij maar liefst 143 command-and-controlservers aangetroffen werden. Deze werden maandag offline gehaald door provider Leaseweb. Het brein achter het botnet zou ook zijn gearresteerd.

Bij Tweakers laat men weten dat men de komende tijd gebruikers wil gaan waarschuwen dat hun pc geïnfecteerd is. En daar is men al mee bezig: klik maar op het plaatje om te zien wat je dan in beeld krijgt (dank aan Com-connect). Je krijgt dus als slachtoffer van dit botnet een redirect naar de server van de nationale recherche, en bent daardoor min of meer verplicht om je PC te gaan opschonen.

Ik vraag me af of dit kan. Het lijkt me niet echt de bedoeling dat de politie bij mensen gaat inbreken immers. Tegelijkertijd lijkt het wel netjes dat de politie je waarschuwt als er iets mis is met je beveiliging en je daardoor slachtoffer van een misdadiger bent geworden. Vroegah kreeg je ook wel eens briefjes door de deur “Tijdens uw afwezigheid stond het keukenraam open” of “Er liggen waardevolle zaken in deze auto, doe dat nou niet”. Zou er daarmee een parallel te trekken zijn?

We kennen in het recht de figuur ‘zaakwaarneming‘. Je mag andermans problemen gaan oplossen als daar een goede reden voor is en die persoon dat niet zelf kan doen. Als je buren op vakantie zijn en de kat zit hongerig alleen thuis, dan mag je de deur forceren en het dier naar een dierenarts of asiel brengen. (En de rekening is dan voor je buren.) Dat is dan geen inbraak maar een gerechtvaardigd binnentreden op grond van zaakwaarneming. Het lijkt me dat als dat mag, je ook virtueel naar binnen mag om te zeggen “hoi u heeft een botnet, doe er wat aan”.

Wie trouwens kan uitleggen waarom dit botnet a) 143 servers had en b) al haar servers bij 1 resellertje had staan, mag het zeggen.

Arnoud

Mag ik weigeren aan prutswerk te programmeren?

Geplaatst op 26 oktober 20108 september 2012 in Innovatie, 36 reacties

Een lezer vroeg me:

Ik werk sinds kort bij een bedrijf dat webapplicaties bouwt in PHP. Helaas moet ik constateren dat meer dan de helft van mijn collega’s echt te weinig verstand van zaken heeft. Men gebruikt procedureel PHP alsof het 1997 is (in plaats van het veel veiligere object-georiënteerde), men heeft geen enkel benul van veiligheidsrisico’s en documentatie ho maar. En nee, we onderhouden geen antieke applicatie van een belangrijke klant maar dit is code die vorig jaar geschreven is. Kan ik weigeren nog langer op deze manier door te gaan? Ik vind de risico’s voor onze klanten onaanvaardbaar.

Het kan zeker frustrerend zijn om ergens te werken waar men zwaar onder je eigen kwaliteitsstandaards werkt. Alleen, dat is geen reden om te stoppen met werken en te eisen dat het bedrijf haar standaards aanpast. Als er wettelijke regels worden overtreden, ja dan kun je denk ik wel terecht het werk neerleggen.

Dat is hier echter niet zo. Een bedrijf is vrij om procedureel PHP te gebruiken, en als ze onveilige applicaties oplevert dan krijgt ze daar wel claims over van haar klanten (hoop ik). Er zijn geen wetten of regels die je overtreedt door procedureel code te schrijven of niet-onderhoudbare code te maken.

Afgezien van een paar stevige gesprekken voeren met collega’s of de veiligheids-evangelist uithangen, zie ik geen mogelijkheden om te weigeren op deze manier door te gaan. Dit zal worden uitgelegd als werkweigering, en dat is grond voor ontslag. Het feit dat je het oneens bent met het beleid, is niet genoeg om het werk te mogen weigeren. De werkgever beslist hoe het werk verricht wordt, en zolang men redelijke beslissingen neemt, heb je die uit te voeren. Ook al vind jij ze onveilig, ouderwets of gewoon dom.

Arnoud

Nieuw op Ius Mentis: Oplichting en fraude

Geplaatst op 25 oktober 20108 september 2012 in Iusmentis, Ondernemingsvrijheid, 3 reacties

Jaja, zo schrijf je maandenlang niets, en zo schrijf je een handvol artikelen in één maand. Deze keer nieuw op Ius mentis een artikel over oplichting.

Van oplichting is sprake wanneer iemand met listige kunstgrepen een ander geld of producten afhandig maakt. Oplichting, zeker op internet, komt vaak voor. Maar niet leveren of niet betalen is niet automatisch oplichting.
Er is sprake van oplichting als iemand met valse voorwendselen, slinkse trucs of wat de wet noemt listige kunstgrepen probeert goederen, geld of “gegevens met geldswaarde” afhandig te maken. Denk aan het vragen om geld voor een dienst die nooit wordt geleverd, of het opsturen van een lege doos. Varianten zijn flessentrekken (regelmatig iets kopen zonder te betalen) en verduisteren (iets zonder gerechtigd te zijn achterhouden nadat je het legaal verkregen hebt). Ook een vorm van oplichting is acquisitiefraude, zoals het versturen van spookfacturen of misleidende offertes.
Een contract of overeenkomst die is aangegaan als gevolg van oplichting of fraude, kan worden geannuleerd. Aangifte van oplichting is natuurlijk ook mogelijk, maar soms is het moeilijk deze erdoor te krijgen. Een recent meldpunt internetoplichting moet hierin verbetering brengen. En je relaas doen op een forum tegen oplichting is ook mogelijk, hoewel je dan wel moet uitkijken voor smaadclaims.

Lees verder in Oplichting en fraude op iusmentis.com.

Arnoud

Blogdialoog: Wat vinden jullie eigenlijk?

Geplaatst op 23 oktober 20108 september 2012 in Intellectuele rechten, 39 reacties

Auteursrechtenblog Futureofcopyright en ik gaan de komende tijd in dialoog over de toekomst van het auteursrecht. Elke zaterdag vind je hier of bij Future of Copyright een nieuwe post in de serie. We reageren op elkaars stellingen en hopen met een inhoudelijke discussie verder te komen in complexe auteursrechtelijke vraagstukken.

Future of Copyright slaat een weekje over in verband met vakantie en drukte. Ik wilde daarom graag eens jullie, mijn grote schare gewaardeerde lezers en commenters, de gelegenheid geven. Wat vinden jullie van de discussie tot nu toe?

Of, iets algemener: hoe zien jullie de toekomst van het auteursrecht? Waar gaat het fout, hoe kan het beter?

Arnoud

Mag je iemand vertellen dat hij stinkt?

Geplaatst op 22 oktober 201018 september 2012 in Informatiemaatschappij, 23 reacties

Een lezer wees me op SMELL-WELL.net, “waar u op een subtiele wijze uw vrienden, kennissen, collega’s of partner kunt attenderen op hun “Geur-probleem”.” Het idee is dat je iemand niet zomaar in z’n gezicht zegt dat hij slechte adem of stinkvoeten heeft. Deze anonieme dienst biedt dan een manier om dat toch te kunnen melden zonder dat jij er persoonlijk op aangekeken wordt.

Even afgezien van de ethische vraag: is het legaal om zo’n dienst aan te bieden? Het riekt (haha) naar een reclamedienst gebaseerd op het tell-a-friendprincipe. Nu zijn tell-a-friendsystemen onder voorwaarden legaal, dus laten we eens kijken of aan de voorwaarden is voldaan.

1. De communicatie gebeurt volledig op eigen initiatief van de internetgebruiker (of afzender), de website stelt hier geen (kans op) beloning tegenover voor afzender of ontvanger.<br/> Ik kan op de site nergens vinden dat jij of de ontvanger een beloning krijgt. Dit lijkt me dus prima.

Wel staat er een hyperlink naar deze site, waar je kunt kijken “welke oplossingen er voor je probleem beschikbaar zijn.” Dat is natuurlijk ook de insteek van deze site: reclame maken voor de producten van dit bedrijf.

2. Voor de ontvanger moet het duidelijk zijn wie de initiatiefnemer van de e-mail is, zodat hij diegene kan aanspreken als hij niet gediend is van dergelijke mails.<br/> In de mails die je ontvangt via deze dienst, staat

Met Vriendelijke Groet, )|( Smell-Well.net

3. De afzender moet volledige inzage hebben in het bericht dat namens hem wordt verzonden, zodat hij de verantwoordelijkheid kan nemen voor de persoonlijke inhoud van het bericht.<br/> Die krijg ik niet: na het invullen van het veld krijg ik alleen te horen dat de mail is verzonden. Wel krijg ik achteraf een kopie van de mail zoals verzonden, maar da’s natuurlijk een beetje laat.

4. De website in kwestie mag de e-mailadressen en andere persoonsgegevens niet gebruiken of bewaren voor andere doeleinden dan het eenmalig verzenden van een bericht namens de afzender. Daarnaast dient de website het systeem te beveiligen tegen misbruik, zoals het geautomatiseerd verzenden van spam.<br/> Ik twijfel of hieraan wordt voldaan, want nadat de mail is verstuurd krijgt de afzender nog een mail, met daarin

Mocht het door jou gemelde Geurprobleem zijn opgelost, dan verzoeken we je vriendelijk om op onderstaande link te klikken. Gooi deze e-mail niet weg, want met deze link wordt een automatisch bericht gestuurd naar de voormalige Stinker waarbij hij/zij wordt bedankt voor het aanpakken van het geurprobleem.

Ik kan uit de URL niet halen of daar het e-mailadres van de ontvanger in zit (“reporterid=3560&token=0e000c1328b0a0870ee0ba02e0b3a58a”), maar ik zit er zélf wel in gezien die reporterid. En dat mag niet van de tell-a-friendregels: het is mailen en weggooien die informatie.

Er is wel een beveiliging in de vorm van een captcha, dus het is niet eenvoudig om mensen grootschalig te spammen met mails. Ook moet de afzender eerst zijn e-mailadres bevestigen via een link.

Alles bij elkaar vind ik ‘m twijfelachtig. Jullie?

Arnoud

Hoe veilig moet een smartphone zijn?

Geplaatst op 21 oktober 20108 september 2012 in Intellectuele rechten, Security, 33 reacties

Een lezer vroeg me:

Al enige jaren verbaas ik mij over het gebrek aan beveiligingsupdates/patches bij embedded systemen. Zo heb ik zelf een op Linux gebaseerde Nokia smartphone. Nu weet ik dat er regelmatig stabiliteits- en veiligheidslekken in Linux en de applicaties daar bovenop worden ontdekt, maar Nokia lijkt zich daar weinig van aan te trekken. Ik krijg namelijk nauwelijks firmware updates. Is een bedrijf niet verplicht om dergelijke updates te backporten als onderdeel van de aankoop van het produkt? Je mag immers verwachten dat het produkt naar behoren en veilig functioneert.

Dat is een goeie vraag, waar ik me ook regelmatig over verbaas. Inderdaad, een product moet aan de overeenkomst beantwoorden, en daarbij geldt dat

de koper mag verwachten dat de zaak de eigenschappen bezit die voor een normaal gebruik daarvan nodig zijn en waarvan hij de aanwezigheid niet behoefde te betwijfelen, alsmede de eigenschappen die nodig zijn voor een bijzonder gebruik dat bij de overeenkomst is voorzien.

Veiligheid lijkt me bij (embedded) software vandaag de dag wel een eigenschap die voor normaal gebruik nodig is. Je mag niet verwachten dat software foutvrij is, want iedereen weet dat dat niet kan voor de prijs van een smartphone, maar je mag wel verwachten dat fouten van tijd tot tijd worden gerepareerd lijkt me zo.

Niet iedere update of fix voor de originele software is automatisch ook passend voor de embedded software. Deze kan specifiek zijn voor de PC-versie in plaats van het embedded platform, hij kan dingen instabiel maken of eenvoudigweg te groot of complex zijn voor de embedded variant. Ik denk dus niet dat je mag verwachten dat elke security-update doorgevoerd zal worden vanuit de originele software. Maar waar ligt de grens?

Arnoud

Onze Internetrecht vraagbaak (en een persoonlijk dingetje)

Geplaatst op 20 oktober 20108 september 2012 in Iusmentis, 19 reacties

Mooi initiatief van ICTRecht-collega Sara Biersteker: zij gaat twitteren als @ICTRecht en opent meteen maar een juridische dienst:

Heeft u een korte juridische vraag? Stel hem aan ons via Twitter! Wij willen u via Twitter niet alleen op de hoogte houden van de nieuwe blogberichten op ons weblog maar u ook de gelegenheid geven uw juridische vragen met betrekking tot online shops, algemene voorwaarden, e-privacy, commerciële communicatie en andere Internetrecht gerelateerde onderwerpen aan ons voor te leggen. Stel uw vraag aan @ICTRecht en wij zullen u in een tweet een duidelijk en praktisch antwoord geven waarmee u verder kunt.

Wie weet log ik ook nog wel eens in op @ictrecht 🙂

En omdat dit wel een kort blogberichtje wordt zo, nog even een stukje frustratie. Ik krijg veel mails met een juridische vraag, die eindigen met “mag dit zomaar en zo ja waar staat dat precies”. Vaak gaat het dan om zaken waarbij iemand het oneens is met werkgever, vereniging of leverancier.

Een paar jaar geleden had ik dat opgevat als “ik ben geïnteresseerd in wetten en wil het graag nazoeken, maar tegenwoordig lees ik het eerder als “ik geloof het bij voorbaat niet” of “ik wil graag bijdehand gaan doen met dat wetsartikel om zo mijn zin door te drijven”. Ben ik cynisch aan het worden?

Arnoud

Mag je een krantenartikel inscannen en op internet zetten?

Geplaatst op 19 oktober 20108 september 2012 in Intellectuele rechten, 47 reacties

Niet echt een lezersvraag maar ik werd genoemd op Twitter in een discussie over auteursrechten bij ingezonden brieven in de Volkskrant. Het ging hier over een ingezonden brief die was ingescand en op internet gezet. Kan een krant daar bezwaar tegen maken?

Allereerst is dan de vraag: heeft de krant wel het auteursrecht? Dat lijkt me niet, de krant heeft de brief niet geschreven en volgens de wet heeft alleen de schrijver het auteursrecht. Het is dus de ingezondenbrievenschrijver die bezwaar moet maken tegen publicatie van zijn tekst. Bij een zeer uitgebreid geredigeerde brief zou het kunnen dat de redacteur (en daarmee de krant) een auteursrecht krijgt op de versie zoals gepubliceerd. Immers, redigeren kan creatieve arbeid vereisen en dat kan een auteursrecht opleveren. Maar meestal wordt er niet zó veel aangepast in een ingezonden brief.

Maar stel dat de krant wel een auteursrecht heeft, kan zij dan bezwaar maken tegen herpublicatie van een artikel op internet? Daarover werd in die conversatie gezegd

Wanneer is t ‘verspreiden’ en wanneer is t een vriend laten meelezen? Nogmaals, kranten laten zich voorstaan op meeleescijfers

Auteursrechtelijk gezien is het echter duidelijk: een kopie tonen is wat anders dan het origineel tonen aan een ander. Dat origineel mag je vertonen, laten rondslingeren, doorverkopen aan iemand anders, op de post doen, aan een prikbord hangen of in de vogelkooi leggen, maar met een kopie val je ineens onder de Auteurswet.

Voor die kopie is toestemming nodig. Maak je hem voor jezelf, dan valt dat onder de thuiskopieregeling: je mag een “klein gedeelte” uit een krant of tijdschrift kopiëren en bewaren voor je eigen studie of gebruik. Publiceer je deze op internet, dan is dat een publicatie.

Vaak zul je denk ik wel kunnen stellen dat sprake is van citeren: je zet die scan online omdat je wilt reageren op wat er staat. Bij korte artikelen mag je het werk integraal citeren. Bij een ingezonden brief gaat dat wel op lijkt me zo.

Het punt over meeleescijfers is in zoverre terecht dat je als krant moeilijk schade kunt claimen door digitaal meelezen als je je tegelijkertijd voorstaat op het aantal meelezers. Want welke schade lijdt je dan door dit meelezen?

Arnoud

Het cc-veld bij e-mail als privacyschending

Geplaatst op 18 oktober 20108 september 2012 in Privacy, 18 reacties

Een lezer vroeg me:

Bij onze vereniging heeft laatst het bestuur iedereen een mail gestuurd met ieders e-mailadres zichtbaar in het cc-veld. Nu weet ieder lid mijn e-mailadres! Is dat strafbaar? Wat kan ik hieraan doen?

E-mailadressen in het kopieveld (cc) in plaats van het blindekopieveld (bcc) zetten, het kan iedereen gebeuren. Netjes is het niet, en het leidt ook vaak tot een storm van reacties (en daar weer reacties op dat iedereen moet ophouden met reply-to-all en dan daar weer reacties op, afijn..). Er is eigenlijk geen enkele reden waarom je grote hoeveelheden ontvangers zo zou moeten mailen, en het zou goed zijn als mailprogramma’s weigeren mails te versturen met meer dan zeg tien ontvangers in To of Cc velden.

Maar goed, dit is geen feedbackforum voor Thunderbird of Gmail maar een juridische blog: kun je nu juridisch gezien iets doen tegen een actie als deze?

De enige optie die ik kan verzinnen, is het over de boeg van de verwerking van persoonsgegevens te gooien. Het idee is dat je je dan beroept op artikel 13 Wet Bescherming Persoonsgegevens: je moet “passende technische en organisatorische maatregelen” nemen om persoonsgegevens (zoals e-mailadressen) te beschermen tegen “verlies of tegen enige vorm van onrechtmatige verwerking”.

De constructie wordt dan: je hebt mijn e-mailadres niet afdoende beschermd tegen onrechtmatige verwerking, want die ontvangers kunnen er zomaar mee aan de haal gaan. Het doet me wat gezocht aan, en ik twijfel of het de giecheltoets zal overleven. Maar uitsluiten dat het werkt, kan ik niet.

Arnoud

Blogdialoog: Van portalen naar weeswerken (toekomst van auteursrecht)

Geplaatst op 16 oktober 20108 september 2012 in Innovatie, Intellectuele rechten, 19 reacties

Toen ik nog een heel klein nerdje was, ging ik met mijn ouders wel eens op bezoek bij kennissen in de DDR. We zijn daar ook een keer gaan winkelen, en dat was een zeer aparte ervaring. De keuze in de speelgoedafdeling was beperkt: er stond letterlijk één model bouwvliegtuig op de plank. Afrekenen was ook een hele ervaring. Eerst met de doos naar een streng kijkende mevrouw die de prijs noteerde op een briefje (met carbonnetje), waarmee ik dan naar een apart hokje moest met mijn vader. Daar moest het geld worden neergeteld, in ruil voor een ander bonnetje waarmee ik weer naar de eerste mevrouw mocht en eindelijk mijn bouwdoos mocht meenemen. (Helaas bleek de bijgesloten verf zwaar giftig maar dat terzijde.)

Die jeugdherinnering werd getriggerd door Future of Copyright’s opmerking over communistische baardmannen van vorige week. Want mijn voorstel om het auteursrecht en de maatschappij vooruit te werken door duizend <del”>bloemenbedrijfsmodellen te laten bloeien middels een systeem van verplichte licenties, was namelijk “contentcommunisme”, terwijl een streamingportaal van één aanbieder “vertrouwen in de efficiëntie van de markt” is. Ik hoop dan maar dat die portals van de entertainmentindustrie zelf minder karig en dichtgetimmerd worden dan die DDR-winkel (en Considerati krijgt een mooi kistje wijn als dat zo is).

Deze jeugdherinnering biedt me tevens een mooi opstapje naar een nieuw onderwerp rond innovatie in het auteursrecht: de wettelijke uitzonderingen, oftewel de mogelijkheden om legaal een werk te gebruiken voor maatschappelijk relevante doelen. Het auteursrecht bevat immers een balans tussen de belangen van de maker en de belangen van de maatschappij. Die uitzonderingen zijn er om te zorgen dat een maker cultuur niet ‘op slot’ kan doen: mensen moeten een werk kunnen bespreken, bekritiseren, parodiëren of kunnen bewaren.

Laten we eens met dat laatste verder gaan. Het is goed dat er 1200 Nederlandse films en honderden series digitaal beschikbaar komen, maar Nederland heeft veel meer dan 1200 films en series. Om over oude boeken nog maar niet te spreken. Dit is de problematiek van de weeswerken: werken waarvan de eigenaar niet bekend is, zodat hergebruik een juridisch risico is. Want ook al investeer je een hoop in het restaureren, digitaliseren en verkopen van dat werk, de eigenaar kan zich op elk moment melden en je investering teniet doen met een beroep op zijn exclusieve recht. De maker beslist, nietwaar?

Kortom: laten we het even niet meer hebben over het actuele aanbod maar over de oudere werken die ook dolgraag digitaal beschikbaar willen komen (zoals ook onze Koninklijke Bibliotheek al signaleerde). Hoe maken we dat mogelijk?

Arnoud