De Business Software Association, belangenbehartiger van de commerciële software industrie, heeft het gerenommeerde marktonderzoeksbureau Gfk NOP een onderzoek laten uitvoeren naar het bewustzijn van de risico’s van het gebruik van illegale kopieën van software bij het MKB. Dit meldde Computable afgelopen donderdag. Het MKB blijkt zich wél bewust van de juridische risico’s, maar niet van de veiligheidsrisico’s.
“Bedrijven die illegale software gebruiken, kunnen niet rekenen op dezelfde ondersteuning, services, patches en upgrades als gebruikers van legale versies”, aldus Jacco Brand, voorzitter van de BSA. Zo is maar 13% zich bewust van het feit dat het gebruik van illegale software kan leiden tot minder functionaliteit, weet maar 11% van meer kans op virussen en maar 12% dat illegale kopieën vaker crashen. De BSA: "Het is opvallend dat het Nederlandse MKB dit onvoldoende onderkent en meer oog heeft voor externe factoren als schadevergoedingen en juridische procedures."

Nu zal een marktonderzoeksbureau de vragen kritiekloos afgevuurd hebben, maar op dit podium zijn de stellingen van de BSA wellicht wat kritischer te beschouwen. Hoe reëel zijn de genoemde veiligheidsrisico’s en zijn deze specifiek voor illegale software?

BSA Stelling 1: zonder services van de leverancier van software is je systeem onveiliger. Nu hebben de meeste organisaties die wél betalen voor al hun software geen servicecontract met alle leveranciers, zeker niet in het MKB. Een supportcontract is gangbaar voor de grotere pakketten zoals Exact, maar niet met Microsoft of Adobe. Services zijn optioneel, en het rendement is blijkbaar nooit bewezen, gegeven de geringe verspreiding daarvan bij legale software. Deze stelling klopt niet.

BSA Stelling 2: zonder patches van de leverancier van software is je systeem onveiliger en minder stabiel. Patches dichten beveiligingsgaten. Zonder patches heb je dus gaten. Op het eerste gezicht is dit valide. Maar dat is het niet: beveiligingspatches zijn van de meeste leveranciers (en zeker bij MS) gewoon te downloaden en te installeren, ongeacht de licentie. En dat blijft ook zo: leveranciers zouden wel gek zijn om de toch al geringe verspreidingsgraad van de updates nog verder te verkleinen. Je wilt immers niet te boek staan als de bakker van die baggersoftware die altijd onveilig is. Dat is nu eenmaal, terecht of onterecht, slecht voor je omzet. Dus deze stelling is niet correct.

BSA Stelling 3: zonder upgrades van de software is je systeem onveiliger en minder stabiel. Upgrades brengen extra functies aan in je software. Afgezien van beveiligingsfuncties (zoals een malicious software removal tooltje) voegen extra functies wellicht gebruikersgemak en zinvolle mogelijkheden toe, maar geen veiligheid of stabiliteit. En voor dergelijke zaken zijn tal van al dan niet legale tools te vinden, zoals Adaware. Maar die komen er niet vanzelf op. Updates om je systeem stabiel te krijgen? Die zijn er niet. Geen leverancier meldt ooit dat de dure software eerst instabiel was. Deze stelling is hooguit een heel klein beetje waar.

BSA Stelling 4: in illegale kopieën werken bepaalde functies niet. Als je een gecrackede trial versie hebt, komt dit voor. Meestal gaat het dan op door de leverancier aangebrachte beperkingen die de crack niet wegwerkt. Heb je de verkeerde crack te pakken. En om nu te zeggen dat dit veel voorkomt? Nee. Bovendien gebruiken de meeste mensen maar een zeer beperkte set van de functies van de programma’s, dus of het opvalt? Deze stelling is hooguit zeer beperkt waar.

BSA Stelling 5: virussen propageren beter in illegale software. De essentie van een kopie is dat deze gelijk is aan het origineel. Dus de virusgevoeligheid is ook gelijk. In sommige software die illegaal verspreid wordt, of in crackerstools om beveiliging te omzeilen, zit wél troep. Maar die vindt je Antivirus wel, behalve bij de installatie van een OS. Als je AV de troep niet vindt, ligt dat niet aan de al dan niet legale status van de software, maar aan de afwezigheid van de juiste signature. Ook deze stelling is niet waar.

Het meeste illegale gebruik betreft niet gedownloade iso’s of gepatchede trial versies. En zelfs als dit wel zo zou zijn, kunnen we dit testen. Koop twee identieke PC’s waarvan één met een OEM XP. Zoek op reliz.ru een iso-tje van Windows op een vage Litouwse FTP-server. Er staan ook Engelstalige, hoor. Installeer deze op de andere PC. Laat beide zich automatisch upgraden, waarbij de illegale machine geen WGA, IE7 en WMP11 installeert. Koop voor de legale machine een officiële Kaspersky en zet op de andere de testversie en haal via wat gegoogle een licentiefile op voor Kaspersky. Leuk het nog wat verder op met een legale en een illegale WordPerfect, een trial versie met een beschrijving hoe je het serienummer erin krijgt (zie het nfo-bestand). MS Office kan ook, maar er bestaan ook andere softwareleveranciers... Ga vervolgens met beide machines een avondje vieze plaatjes, films en muziek opzoeken (we emuleren de gemiddelde MKB-gebruiker, voor het realisme). Onderzoek vervolgens beide machines en vergelijk de mate van vervuiling. Ik vrees dat ze identieke malware hebben opgelopen. Oftewel: ook deze stelling houdt geen stand.

BSA Stelling 6: illegale kopieën crashen vaker. Dit is alleen geloofwaardig als je te maken hebt met een aangepaste kopie. Anders zullen ze precies even vaak crashen. Bovendien hebben de meeste crashes te maken met de onderliggende hardware, zoals elke warme periode weer blijkt. Dus ook deze onderzoeksvraag mag in het ronde archief.

Het lijkt mij dat partijen die niet willen betalen voor hun software, gebruik moeten maken voor software waarvoor dat niet hoeft. Daar is ruimschoots voldoende aanbod in en de kwaliteit is best aardig. Als ik de BSA mag geloven zelfs heel goed, want bij open source kun je legaal de software downloaden van gerenommeerde servers en automatisch patchen en upgraden. En omdat het legaal is, crasht het ook nog eens minder. Alleen een servicecontract kan misschien een beetje lastig worden. Maar ik denk niet dat de BSA reclame mag maken voor open source.

Het lijkt er op dat de BSA het aandikken van zeer beperkte beveiligingsrisico’s en het verzinnen van niet-bestaande nodig acht, om gebruikers van illegale software te overtuigen dat betalen toch echt beter is. En passant worden ze nog wat servicecontracten in de maag gesplitst. Blijkbaar worden Nederlandse ondernemers niet bang genoeg van de dreiging met boetes, dus dan maar dreigen met hel en verdoemenis. Dit naar het aloude calvinistische principe dat gestolen goed niet gedijt. Jammer voor de BSA is dit niet zo, een gestolen fiets krijgt niet eerder een lekke band. Als dat wel zo is, had je die fiets ernaast moeten stelen.

Peter Rietveld, Senior Security consultant bij Traxion - The Identity Management Specialists -

Vorige columns van Peter