Mag je gratis betaald internetten met een covert channel?

| AE 8598 | Security | 15 reacties

wifi-hotel.pngEen lezer vroeg me:

Als ik in een hotel wil internetten, moet ik betalen. Maar met tools zoals Iodine of PingTunnel kun je via een oneigenlijke weg alsnog gratis internet op. Is dat computervredebreuk?

Van computervredebreuk is sprake als je binnendringt in een computer. Het is strikt gesproken niet nodig dat je een beveiliging omzeilt, maar in de praktijk komt het daar vaak wel op neer. Het gaat er juridisch om of je ‘wederrechtelijk’ in die computer actief bent, oftewel dingen doet die niet mogen.

Meesurfen met andermans internetverbinding wordt gezien als binnendringen in de router, en daarmee als computervredebreuk. Dat bepaalde de Hoge Raad in 2013. Het binnendringen zit hem hier in het versturen en ontvangen van gegevens op een manier waar je niet toe geautoriseerd bent.

Los daarvan is het strafbaar om hulpmiddelen of gegevens om gratis toegang te krijgen tot betaaldiensten te gebruiken. Hetzelfde geldt voor het aanbieden of bewaren van dergelijke middelen, alleen moet dat dan wel uit winstbejag gebeuren. Een betaalde internetdienst gratis gebruiken lijkt me ook onder dit artikel strafbaar.

Natuurlijk is het maar zeer de vraag of je wordt betrapt met dergelijke diensten. Vrij weinig partijen loggen ICMP of DNS verkeer met het doel om dit soort meeliftdiensten op te sporen. Maar als men het doet én aangifte doorzet, dan heb je een serieus probleem.

Arnoud

Bedrijven, hotels en instellingen mogen internet wél filteren

| AE 7874 | Ondernemingsvrijheid | 24 reacties

wifi-hotel.png Oh en dat is wel een verrassing: in die beleidsregel van gisteren is tevens bepaald dat netneutraliteit alleen geldt voor openbare aanbieders van internet, niet voor private aanbieders zoals bedrijven (gastennetwerken), hotels en instellingen die hun bezoekers op internet laten. (Ik loop een beetje achter geloof ik, laatst ook al de datalekmeldplicht en beveiligingsboetes gemist.)

In de wet (art. 7.4a Telecommunicatiewet) staat dat netneutraliteit geldt voor

Aanbieders van openbare elektronische communicatienetwerken waarover internettoegangsdiensten worden geleverd en aanbieders van internettoegangsdiensten

Bij die tweede categorie aanbieders mist het woordje ‘openbaar’. Maar het “ligt in de rede” dat je dat er wel in moet lezen, aldus de minister:

De internettoegangsdienst, bedoeld in artikel 7.4a van de Telecommunicatiewet is een openbare elektronische communicatiedienst als bedoeld in artikel 1.1. onder g van de Telecommunicatiewet. Van een internettoegangsdienst is geen sprake als deze niet voor het publiek beschikbaar is.

Opmerkelijk genoeg gaat dit in tegen het standpunt van de Minister toen destijds kamervragen werden gesteld over het blokkeren van Bittorrent door de Rijksuniversiteit Groningen. In antwoord daarop legde hij uit:

Het begrip ‘aanbieder van internettoegangsdiensten’ in artikel 7.4a lijkt zowel te zien op aanbieders van openbare internettoegang als op aanbieders van niet-openbare internettoegang. Dit betekent dat ook wanneer, zoals hier het geval is, een aanbieder slechts aan een gesloten groep internettoegang aanbiedt, hij in het kader van artikel 7.4a gezien moet worden als een aanbieder van internettoegangsdiensten.

Daarmee zou de RUG als provider voor studenten op de campus óók onderworpen zijn aan netneutraliteit, aldus de minister toen. Maar eh voortschrijdend inzicht leert anders: de wet geldt alleen voor openbare aanbieders van internet, want:

Een andere uitleg zou ertoe leiden dat bijvoorbeeld ook alle bedrijven en instellingen die via een Wi-Fi netwerk internet aan hun klanten en bezoekers aanbieden aan de netneutraliteitsregels zouden moeten voldoen.

Waarom deze andere uitleg echter in strijd zou zijn met de wet, wordt verder niet gemotiveerd. Ja, “netneutraliteitsregels zijn immers bedoeld om netneutraliteit in het openbare domein te waarborgen” maar wifi vanuit hotels, cafés en dergelijke is toch ook deel van het openbare domein?

Arnoud

Amerikaans hotel krijgt boete voor blokkeren wifi-hotspots

| AE 7034 | Ondernemingsvrijheid, Security | 14 reacties

wifi-hotel.pngHet Marriott Hotel in Nashville heeft een schikking van 600.000 dollar getroffen met de Amerikaanse telecomwaakhond FCC voor het verstoren van de persoonlijke wifi-hotspots van klanten, meldde Nu.nl onlangs. Met deze truc wilde men voorkomen dat huurders van conferentiezalen eigen tijdelijke netwerken zouden aanleggen tegen lagere prijzen dan het hotelnetwerk. Maar de verstoring trof ook privénetwerken zoals een hotspot op je telefoon. Wat voor mij de vraag oproept: waarom mág dat eigenlijk niet, stel dat het een Nederlands hotel was?

In de VS hebben ze een specifiek artikel dat hierover gaat (Section 333 of the Communications Act):

No person shall willfully or maliciously interfere with or cause interference to any radio communications of any station licensed or authorized by or under this Act or operated by the United States Government.

Een dergelijk artikel specifiek over storingen in radio-uitzendingen verzorgen, ken ik niet. We zullen dus op zoek moeten naar een generieker artikel en zien hoe dat ‘past’ op deze vorm van verstoring.

Het ging hier niet om een wifi-jammer of ander radiostation dat gewoon de frequenties voor 802.11-radioverkeer blokkeert. Hoewel die frequentiebanden vrij gebruikt mogen worden, gelden voor apparatuur wel eisen zoals dat deze niet te hard of ongecontroleerd mogen zenden. En apparatuur die stoorverkeer genereert, zou dus tegen dit verbod aanlopen.

De apparatuur van het hotel gebruikte een specifiekere techniek, deauth geheten. Kort gezegd stuurt de apparatuur een commando dat randapparatuur meldt dat ze niet meer geauthenticeerd (deauthenticated) zijn en of ze zich opnieuw willen aanmelden bij het netwerk. En dat dan zo veel keer per seconde, zodat je effectief het netwerk niet meer op kunt. Dan wil je van ellende wel op het Marriott wifi uiteindelijk.

Een dergelijke aanval zou ik strafbaar vinden als denial-of-service aanval, art. 138b Strafrecht:

Met gevangenisstraf van ten hoogste een jaar of geldboete van de vierde categorie wordt gestraft hij die opzettelijk en wederrechtelijk de toegang tot of het gebruik van een geautomatiseerd werk belemmert door daaraan gegevens aan te bieden of toe te zenden.

(Hee Arnoud, maar één jaar cel, dat was toch veel hoger? Nee, alleen bij zware aanvallen die infrastructuur van algemeen nut verstoren.)

Ik zit een klein beetje met dat “daaraan”, dat impliceert dat het alleen opgaat als je één specifiek apparaat op de korrel neemt. En deze aanval kan ook ongericht worden uitgevoerd, oftewel op alle apparaten op het netwerk tegelijk. Maar ik denk dat daaraan (haha) wel een mouw te passen is: iets broadcasten dat bij apparaat X aankomt en mede bedoeld is voor apparaat X, lijkt me wel “daaraan toezenden”.

Weet iemand eigenlijk hoe je detecteert dát men zo’n apparaat gebruikt, ter onderscheid van dat het gewoon een brak netwerk is (zoals in menig hotel)? En wat doe je ertegen?

Arnoud

Wanneer is een reservering nu juridisch bindend?

| AE 5243 | Informatiemaatschappij | 140 reacties

Met enige regelmaat krijg ik vragen van mensen die een reservering of aanvraag hebben ingediend, er vanaf willen zien en dan te horen krijgen dat ze er toch echt juridisch bindend aan vast zitten en dat annuleren niet mag. Of dat er annuleringskosten van 300 euro in rekening worden gebracht. De term ‘reservering’ wordt meestal… Lees verder