Is het valsheid in geschrifte om andermans TTL aan te passen?

| AE 9960 | Cloud, Domeinnamen | 10 reacties

Sorry, beetje nerdtitel. Via Twitter de vraag:

DNS TTL violations is a controversial topic. It basically means a resolver overrides a TTL value provided by an authoritative server, and then serving its clients with this value. In this post, we analyse if this is happening in the wild. … is ttl violation geen valsheid in geschrifte?

Nu zie ik wel vaker de discussie of het aanpassen van elektronische informatie telt als valsheid in geschrifte, dus laten we er weer eens voor gaan zitten. In de basis is het wetsartikel vrij simpel:

Hij die een geschrift dat bestemd is om tot bewijs van enig feit te dienen, valselijk opmaakt of vervalst, met het oogmerk om het als echt en onvervalst te gebruiken of door anderen te doen gebruiken, wordt als schuldig aan valsheid in geschrift gestraft, met gevangenisstraf van ten hoogste zes jaren of geldboete van de vijfde categorie.

Het moet dus gaan om een geschrift. Dit mag ook elektronisch zijn, dus een digitaal document of gegevensverzameling valt er ook onder. Het geschrift moet wel een bewijsfunctie hebben, het doel van het geschrift moet zijn dat je er iets mee kunt aantonen of weerleggen. Een bioscoopkaartje voldoet aan die discussie (het bewijst dat je naar die en die film mag), een liefdesbrief niet (en nee “het bewijst je liefde” is juridisch niet goed genoeg). In de elektronische wereld zou een nep-SSL-certificaat bijvoorbeeld deze functie hebben, maar nepnieuws niet.

Dat “valselijk opmaken of vervalsen” is een brede omschrijving voor de ‘valsheid’ die je pleegt: je past dingen aan in een echt bewijsdocument, of je maakt een geheel nieuw document dat eruit ziet als echt. Beiden zijn goed genoeg om van valsheid in geschrifte te plegen. Wel is daarbij vereist dat het doel van je aanpassing is dat je het resultaat voor echt wilt laten doorgaan. Een bioscoopkaartje met Photoshop bewerken tot een ludieke uitnodiging voor je verjaardag in Star Wars-thema is dus niet strafbaar.

Goed, dan die TTL schending. Heel kort gezegd: de informatie achter domeinnamen die via nameservers wordt verspreid, heeft een houdbaarheidsdatum, de time to live of TTL. Na die TTL wordt je als ontvanger geacht die informatie opnieuw bij de bron op te vragen, zodat je niet met verouderde informatie (zoals oude IP-adressen en dus de verkeerde site) zit te werken.

De aanleiding voor de vraag was de constatering dat het voorkomt dat organisaties de TTL van andermans domeinnaaminformatie ongevraagd aanpassen. Enerzijds inkorten – zodat de bron veel vaker dan gewenst opnieuw bevraagd wordt – en anderzijds verlengen – zodat de ontvanger met mogelijk verouderde informatie werkt. Voor beide opties zijn argumenten te over.

Is dit nu valsheid in geschrifte? De makkelijke stukken: een brokje DNS informatie is een elektronisch geschrift en het wordt aangepast om het als echt door te laten gaan, want de ontvanger van de aangepaste informatie kan het niet onderscheiden van het origineel. Maar ik denk dat het hier stukloopt op de bewijsfunctie: het informatiebericht dient niet als bewijs, het is niet “wij verklaren bij deze dat onze informatie 2 dagen geldig is” maar het is een stukje informatieverstrekking met een houdbaarheidsdatum “controleer deze informatie na 2 dagen opnieuw”. Ik denk dus niet dat je er langs die route komt.

Arnoud

Internationale domeinbeheerder staat afschermen domeininfo toe

| AE 9785 | Domeinnamen, Privacy | 13 reacties

De wereldwijde domeinnaambeheerder ICANN gaat geen stappen ondernemen tegen beheerders van domeinnaamextensies die de zogenoemde WHOIS-gegevens afschermen. Volgens de ICANN-regels moeten gegevens van domeinnaamhouders in het WHOIS register worden gepubliceerd, waar ze zonder enige restrictie toegankelijk zijn voor de hele wereld. Onze eigen Autoriteit Persoonsgegevens kwam recent tot de conclusie dat dat niet mag wanneer het gaat om persoonsgegevens, en ICANN lijkt daardoor nu overstag te gaan.

Domeinnamen en WHOIS bestaan al enkele decennia. In de basis is het erg nuttig dat je kunt zien wie de eigenaar is van een domeinnaam, zodat je deze bijvoorbeeld kunt contacteren in geval van misbruik van het systeem. Meestal was dat ook geen probleem voor de eigenaar, want lange tijd hadden eigenlijk alleen bedrijven en instellingen hun eigen domeinnamen.

Nadat steeds meer privépersonen domeinnamen gingen registreren, begon het ietwat te knellen. Je moest namelijk je ware en volledige gegevens invullen, inclusief je naam en privéwoonadres. Dat voelt nogal privacygevoelig en dat is het natuurlijk ook, maar zo waren de regels nu eenmaal. En zeker met de AVG in het vooruitzicht werd het tijd dat hier een knoop over werd doorgehakt.

De AP is stellig, zij het kort:

Het onbeperkt publiekelijk toegankelijk maken van WHOIS-gegevens via internet is een vorm van verwerking van persoonsgegevens waarvoor een wettelijke grondslag is vereist. Volgens de AP én eerder dus ook WP29, kunnen ICANN en de registries zich niet beroepen op de grondslagen ‘noodzakelijk voor de uitvoering van een overeenkomst’ en ‘gerechtvaardigd belang’. Ook een beroep op de grondslag ‘toestemming van individuele domeinnaamhouders’ is niet mogelijk, omdat het geven van toestemming een vereiste is voor het verwerven van een domeinnaam en er dus geen vrije wilsuiting is.

De kern zit hem natuurlijk in die noodzaak. ICANN zei altijd dat die gegevens nodig waren, maar dat is eigenlijk een cirkelredenering: zij hadden een regel ingevoerd dat het moest, dus moest het. Maar dat is niet genoeg, je moet een objectieve noodzaak kunnen aantonen. En die is er eigenlijk niet. Het zou net zo goed kunnen werken bijvoorbeeld als de WHOIS gegevens afgeschermd zijn, en men via een opvraagprocedure gemotiveerd moet aangeven waarom men die gegevens wil hebben.

Ook is er geen sprake van toestemming, want (zeker onder de AVG) wie zegt “zonder toestemming kom je er niet in” die dwingt toestemming af, en die is dan niet rechtsgeldig. Niet meer dan logisch.

In haar verklaring zegt ICANN dat ze nu voorlopig dit vereiste los gaat laten voor persoonsgebonden domeinnamen. Een registrar die op deze manier wil gaan werken, moet wel aan ICANN uitleggen wat haar proces is om op zorgvuldige manier de werkelijke houderdata te verkrijgen en te bewaren.

Voor Nederlandse domeinnamen geldt dit niet: die worden beheerd door SIDN en die heeft al jaren een afgeschermd register. Alleen een zelfgekozen mailadres moet zichtbaar zijn bij privépersonen, de overige gegevens zijn alleen gemotiveerd op te vragen.

Arnoud

Nee, een domeinnaam hoef je niet af te staan als je er niets mee doet

| AE 9519 | Domeinnamen | 17 reacties

Wie een nieuwe domeinnaam wil gaan gebruiken, kent de frustratie: die is al bezet. Vrijwel elke leuke Nederlandse term is al geclaimd, en in de meeste gevallen gebeurt er weinig meer mee dan een reclamepagina of een “Hier wordt een concept ontwikkeld, overname is bespreekbaar”-achtige tekst. Erg vervelend als je daar zelf al plannen voor had, en het verbaast dan ook niet dat mensen met merken of handelsnamen gaan zwaaien om ze op te eisen. Maar dan moet er echt wel meer aan de hand zijn, zoals uit een recent arrest over de domeinnaam OK.nl blijkt.

In 2015 blogde ik al over deze zaak. De domeinnaam OK.nl was toen al 15 jaar in handen van de gedaagde, en eiser Fuelplaza (handelsnaam: OK) wilde deze opeisen omdat men zelf met een onhandiger domeinnaam moest werken en de gedaagde er al jaren niets mee deed. Bovendien had men een merk én een handelsnaam, en nog in Nederland ook. Dus inbreuk, en inleveren graag. De rechtbank had de eis afgewezen, en nu is er uitspraak in hoger beroep die dit bevestigt.

Allereerst het merkenrecht. Fuelplaza heeft een merk op het woord OK voor brandstof, en meende om die reden de domeinnaam te kunnen opeisen. Maar, zo stelt het Hof, ook al is het triviaal de domeinnaamhouder Gaos dóet wel iets met die domeinnaam. Er wordt niets mee gedaan dat concurreert met of aanhaakt bij de diensten van Fuelplaza, dus gewone merkinbreuk (of handelsnaaminbreuk) is het niet.

Er is een restcategorie, “afbreuk doen aan de reputatie van het merk”. Daarvan zou sprake zijn omdat Gaos op de site bij die domeinnaam had gezet “Deze domeinnaam is geregistreerd door een van onze klanten”, en dat zou gek staan voor klanten van Fuelplaza. Waarom precies werd me niet duidelijk, mogelijk het idee dat iemand dan denkt, wat een raar bedrijf hebben die geen website of zo. Maar dat is te algemeen om rechtens overtuigend te zijn, en de mededeling is ook verder niet negatief over Fuelplaza of de tankstations met OK erop, dus dit slaagt niet.

Ook het idee dat Gaos zou wachten tot de nood Fuelplaza te hoog zou zijn gestegen en ze met geld zou gaan smijten, gaat niet op. Dat is in theorie natuurlijk denkbaar maar er zal wel iets van bewijs moeten komen. Als vaststaat dat Gaos de domeinnaam zou willen verkopen, zeker als dat met een profiteur-achtig luchtje zou zijn omgeven, dan zou een overdracht wegens merkinbreuk wellicht mogelijk zijn.

Belangrijker: de domeinnaam is al in 1999 geregistreerd, en het merk pas in 2003. Daarmee heeft Gaos een “eigen recht” verworven op die domeinnaam, dat boven de merkrechten gaat. En omdat Fuelplaza ook niet op internet geblokkeerd wordt – via okolie.nl zijn ze gewoon te vinden – is er dus geen enkele reden om die domeinnaam over te moeten dragen.

Arnoud

Is het een datalek om een domeinnaam te laten vervallen?

| AE 9491 | Domeinnamen | 29 reacties

Door het laten verlopen van een domeinnaam heeft Samsung miljoenen gebruikers risico laten lopen, zo laat de Portugese beveiligingsonderzoeker Joao Gouveia op Twitter weten. Dat las ik bij Security.nl. De domeinnaam hoort bij een door Samsung opgeheven dienst (S Suggest), die gebruikers populaire applicaties laat zien die gegarandeerd compatibel met hun apparaat zijn. De onderzoeker… Lees verder

Nee, een domeinnaam is geen maatwerk onder de Wet Koop op afstand

| AE 9310 | Domeinnamen | 30 reacties

Regelmatig zie ik bij domeinnaamverkopers en webhosters staan dat aangeschafte domeinnamen niet kunnen worden geannuleerd onder de Wet koop op afstand, omdat het om maatwerk zou gaan. Immers, je vult zelf in welke naam je wilt hebben. Maar een recent vonnis over maatwerkdomeinnamen laat zien dat dit écht niet klopt. Domeinnamen zijn diensten, en daarvoor… Lees verder

Wat moet ik doen met mail naar een gekocht domein?

| AE 9232 | Domeinnamen, E-mail | 7 reacties

Een lezer vroeg me: nlangs heb ik een domeinnaam overgenomen van een bedrijf. Kennelijk heeft de verkopende partij de domeinnaam overgedragen terwijl deze nog actief gebruikt werd voor e-mailaccounts. Op basis van een catch all komt er allerlei mail binnen. Moet ik deze doorsturen, bewaren of terugzenden (bouncen)? Wat zijn mijn wettelijke plichten in deze?… Lees verder

Mag je jezelf een merknaam.expert noemen?

| AE 8782 | Domeinnamen | 15 reacties

Een lezer vroeg me: Onlangs is de ‘.expert’-domeinnaamextensie vrijgekomen. Ik wil graag een paar van die domeinnamen vastleggen omdat ik als IT-specialist me best expert in diverse merken software durf te noemen. Maar mag dat of is dat merkinbreuk? Over merken en domeinnamen bestaan veel misverstanden, waarvan een hoop zijn ontstaan in de cowboytijd. Het… Lees verder

Is een disclaimer genoeg tegen het merkenrecht?

| AE 8316 | Domeinnamen, Merken | 13 reacties

Ik kan niet eens meer een wandeling maken door de stad zonder disclaimers tegen te komen: “Wij zijn geen Auping dealer!” op het etalageraam van beddenhandel Tom Smeenk in Utrecht. Ook de website van Smeenk vermeldt deze tekst in diverse groottes. Over het gebruik van merken doen veel misverstanden de ronde. De belangrijkste: het zou… Lees verder

Wanneer mag je een productnaam in je domeinnaam opnemen?

| AE 8144 | Domeinnamen, Merken | 4 reacties

Een lezer vroeg me: Voor een nieuwe webshop wil ik Acer Aspire laptops gaan verkopen en wel onder de domeinnaam aspire-laptops punt nl. Ik weet dat je geen merknamen van bedrijven (zoals HP of Apple) in je domeinnaam mag voeren, maar geldt dat ook voor productnamen? Oftewel mag ik deze domeinnaam voeren? Het is onjuist… Lees verder