Juridische vraag: Hoe legaal is reverse engineeren?
Heb jij een uitdagende vraag over beveiliging, recht en privacy, stel hem aan ICT-jurist Arnoud Engelfriet en maak kans op zijn boek
"De wet op internet".
Arnoud is van alle markten thuis, maar vindt vooral in technische / hacking vragen een uitdaging. Vragen over licenties worden niet behandeld, aangezien die geen raakvlak met beveiliging hebben. De Juridische vraag is een rubriek op Security.nl, waar wetgeving en security centraal staan. Elk kwartaal kiest Arnoud de meest creatieve vraag, die dan zijn boek zal ontvangen.
Vraag: Hoe legaal is het reverse engineeren van software? Mag ik bijvoorbeeld proberen te achterhalen hoe software werkt, of zelfs daarvan de functionaliteit veranderen?
Antwoord: Het reverse engineeren van software is onder omstandigheden legaal. Software is beschermd door het auteursrecht, en het bewerken (wijzigen, aanpassen en uitbreiden daarvan) wordt gezien als een vorm van verveelvoudigen. Je hebt daar normaal dus toestemming voor nodig van de rechthebbende.
Bij reverse engineeren moet je de software uitvoeren om te kunnen zien wat hij doet. Uitvoeren van software op een wijze die de licentie te buiten gaat, is normaal inbreuk op het auteursrecht. Maar voor deze vorm van reverse engineering is er een speciaal artikel in de Auteurswet. Dit artikel zegt dat je mag reverse engineeren om interoperabiliteit van onafhankelijk gemaakte software tot stand te brengen met de software die je wilt reverse engineeren. Wil je bijvoorbeeld een eigen module integreren in Microsoft Excel, dan mag je daarvoor met Excel gaan prutsen om de interface te achterhalen en dit aan de gang te krijgen.
Een beperking is wel dat de gegevens niet al snel en gemakkelijk beschikbaar zijn. Biedt Microsoft dus een officiele API om dit soort modules toe te kunnen voegen, dan hoef je niet meer te reverse engineeren om die API te achterhalen en dan mag je ook niet meer reverse engineeren.
Daarnaast is er ook nog artikel 45l Auteurswet dat zegt dat je bevoegd bent "de werking van dat werk waar te nemen, te bestuderen en te testen teneinde de daaraan ten grondslag liggende ideeën en beginselen te achterhalen." Dat klinkt ook als reverse engineeren maar het slaat in feite nergens op: er staat in juridische taal dat je goed mag opletten wat de software doet, maar met de handjes op de rug. Het enige dat je hieraan hebt, is dat je mag achterhalen wat het idee achter een bepaalde functie is (bv. het algoritme of het stappenplan) en dat je daarmee je eigen programma mag gaan maken. Leuk, maar dat valt sowieso al buiten het auteursrecht.
Reverse engineeren voor andere doelen mag niet. Maar voor de duidelijkheid: het herstellen van fouten wordt niet gezien als reverse engineeren in de wet. Artikel 45j Auteurswet bevat expliciete toestemming voor het kopiëren van de software voor het verbeteren van fouten, en die toestemming kan niet bij overeenkomst worden uitgesloten.
Arnoud Engelfriet is ICT-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. In 2008 verscheen zijn boek "De wet op internet".
PS
Dan gaat het niet op voor open source waar verspreiden pas is als je de aangepaste software naar buiten brengt op welke manier dan ook. Voor eigen gebruik, binnen je organisatie hoef je de nieuwe broncode niet te leveren aan de gemeenschap, hoe vaak je het ook verveelvoudigd.
(Denk maar aan het MoD van de USA, die aangepaste Linux software -kernel e.d.- draait en die aanpassingen niet hoeft vrij te geven).
Dit is wel een heel slecht voorbeeld; Mark van Sysinternals (o.a. Process explorer) zei in een van zijn videos bijvoorbeeld ook dat hij delen van windows heeft ge-reverse engineerd om achter verschillende ongedocumenteerde functies te komen, en Sysinternals is later overgekocht door Microsoft, dus blijkbaar vinden ze het niet zo erg ;)
Maar als je Windows7 gebruikt mag je niet zo maar de code ervan veranderen,en dan verder distribueren omdat windows gesloten bron software is.
Wel mag je dingen er aan voor eigen gebruik veranderen als je dat kan,dacht ik zo voor eigen handigheidjes.
Als je Linux of een ander open bron besturingssysteem gebruikt mag je wel alles veranderen en dan her distribueren.
Security.nl ondersteunt de volgende bbcode codes:
Het plaatsen van afbeeldingen (img tags) wordt niet ondersteund.
Wat is de juridische definitie van een fout ?
Wat wordt juridisch precies onder "fouten" verstaan? Zijn dat alleen echte bugs, of is het ook een "fout" als een programma voor het opstarten contact wil opnemen met een verificatieserver en die is na 10 jaar niet meer bereikbaar omdat het bedrijf overgenomen is en de nieuwe eigenaar zegt dat je maar moet upgraden? Als ik die beveiliging dan uit mijn legaal gekochte versie sloop dan wel laat slopen, mag dat van de wet?
Een fout is waar een objectief kijkend deskundige van zou zeggen "ja, dat is een fout". Verder dan dat gaat de wet niet, wanneer iets een fout is hangt af van het vakgebied en de opvattingen die men er daar zoal op nahoudt. Bij consumentenelectronica is iets bijvoorbeeld sneller een fout (je cassettebandje dat opgegeten wordt) dan in de IT (je harde schijf wordt geformatteerd). Dat is dom en raar en zo maar de wet respecteert de gebruiken in de branche.
Voorbeeld: oudere versies van Foxit Reader ondersteunden het "Launch" commando in PDF bestanden conform de officieele PDF specificatie (die niets vermeldt over het waarschuwen van gebruikers). Foxit Reader waarschuwde niet en startte externe (en mogelijk ook executable bijlagen in het PDF bestand) zonder vragen. Zelf heb ik het advies van ene "Thomas" (eerste comment in http://blog.didierstevens.com/2010/03/31/escape-from-foxit-reader/) opgevolgd: d.w.z. met een hexeditor in de executable gezocht naar de ASCII string "Launch" en hierin iets gewijzigd, waardoor deze functionaliteit effectief wordt uitgeschakeld.
Maar ook in andere gevallen zijn er personen geweest die third-party patchtools beschikbaar stelden voor dit soort gevallen (o.a. Ilfak Guilfanov bij de WMF problemen in 2005). Een wat technische verhandeling over "Hotpatching and the Rise of Third-Party Patches" is hier te vinden: http://www.blackhat.com/presentations/bh-usa-06/BH-US-06-Sotirov.pdf.
Kortom, is het zelf uitschakelen van functionaliteit (daartoe adviseren en/of een tool daarvoor uitbrengen) en vanzelfsprekend de daaraan voorafgaande reverse engineering handelingen, in closed source en auteursrechtelijke software, d.w.z. ter bescherming tegen kwetsbaarheden, strafbaar of niet, c.q. bestaat er sowieso jurisprudentie over? En hoe zit het met het adviseren m.b.t. het op dergelijke wijze patchen van executables?
N.b. in geen geval bedoel ik het verspreiden van gepatchte executables (waaronder DLL's, ActiveX applets etc), dat dit niet mag lijkt me duidelijk, het gaat dus om het verstrekken van tools en/of aanwijzingen om dergelijke patches zelf uit te kunnen voeren.
@Bitwiper: het uitschakelen van kwetsbare functionaliteit lijkt me vallen onder het repareren van fouten. Het is strikt gesproken geen reparatie, maar de functie uitzetten neemt wel de fout weg.
In tegenstelling tot mijn bijdrage hierboven is in zo'n situatie wel duidelijk sprake van een bug - tenzij de leverancier van de software expliciet heeft aangegeven dat de software slechts op PC's langzamer dan 200Mhz gedraaid mag worden, maar die kans lijkt me klein. Maar dan nog betreft het in het geval van de Turbo Pascal bug een probleem in code toegevoegd door de compiler, niet door de applicatiebouwer geschreven code. Vergelijkbare problemen zijn ook goed denkbaar in andere ontwikkelomgevingen dan van Borland (aka Inprise aka Embarcadero Technologies, zie http://www.embarcadero.com/).
Je zou kunnen stellen dat de fout van de fabrikant er in zit dat hij niet heeft voorzien dat de betreffende functionaliteit zou kunnen worden misbruikt. Maar misschien heeft de fabrikant dat wel voorzien, maar geconstateerd dat het nut groter is dan het risico. Blijft lastig...
@Bitwiper: dat TP probleem ken ik (ben ik als programmeur zelf tegenaan gelopen rond 2002), maar daar was hier geen sprake van.
Er is een grijs gebied: advertenties uit legitieme software slopen (bv. de gratis Opera of Foxit PDF) lijkt me niet juist, maar waarom ik dan wel adware mag verwijderen kan ik niet goed onderbouwen. Waar leg je de grens?
Er zijn toch wel rechtszaken over geweest in het verleden: Kaspersky is ooit aangeklaagd door Zango (180 Solutions) omdat hun anti-virus programma de rotzooi van Zango verwijderde. Kansloos uiteraard voor Zango.
@ redactie: welke meerwaarde heeft dit +/- systeem ? je weet niet waarom iemand een artikel wel/niet waardeert, en het heeft daardoor geen enkele meerwaarde.
als ik wel fouten mag herstellen, dan mag ik ze toch ook wel eerst gaan zoeken.....
klinkt voormij als, coffeshop mag wel wiet verkopen maar niet kweken:P
Ook is je aanname dat bewerken gezien wordt als verveelvoudiging ook wat te kort door de bocht volgens mij want er zijn talloze vormen van bewerken die ook binnen het kader van de auteurswet legaal zijn: het aanpassen van de toonregeling van de stereoinstallatie bij het afspelen van muziek bijvoorbeeld is toch echt 'bewerken' maar volkomen legaal.
Ok schiet maar af, want ik ben geen jurist ;-)
Wat jij beschrijft heet "werking van dat werk waarnemen, bestuderen en testen". Dat mag inderdaad zonder meer.
Een bewerking zoals jij noemt, valt wel degelijk onder "verveelvoudiging". Volgens artikel 13 "iedere geheele of gedeeltelijke bewerking of nabootsing in gewijzigden vorm" (sic). Je hebt geluk dat dit onder de thuiskopie-regeling valt als je thuis gaat zitten remixen of de toonregeling aan gaat passen. Hoewel je ook goed kunt betogen dat dit zo gebruikelijk is dat je er altijd vanuit mag gaan dat een licentie mede deze vorm van bewerking omvat.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
