Heb jij een uitdagende vraag over beveiliging, recht en privacy, stel hem aan ICT-jurist Arnoud Engelfriet en maak kans op zijn boek
"De wet op internet".

Arnoud is van alle markten thuis, maar vindt vooral in technische / hacking vragen een uitdaging. Vragen over licenties worden niet behandeld, aangezien die geen raakvlak met beveiliging hebben. De Juridische vraag is een rubriek op Security.nl, waar wetgeving en security centraal staan. Elk kwartaal kiest Arnoud de meest creatieve vraag, die dan zijn boek zal ontvangen.

Vraag: De laatste tijd lijken er weer meer 0day lekken in software te worden misbruikt. Nu is het natuurlijk verboden om misbruik te maken van lekken in software, dat is duidelijk. Maar is het ook illegaal om lekken in software van anderen door te verkopen? En hangt dat dan af van je intenties, of is het altijd verboden ook als je bijvoorbeeld beveiligingsonderzoeker bent en je collega's wilt informeren?

Antwoord: Lekken in software gebruiken om binnen te dringen in de computers waar het op draait, is al heel snel computervredebreuk. Ook als je "alleen maar" een privilege-escalatie doet of een bestand leest waar je eigenlijk niet bij mag komen. Op computervredebreuk staat een straf van maximaal 1 jaar cel of geldboete van 16.750 euro (art. 138ab lid 1 Strafrecht). Wie na het opzettelijk en wederrechtelijk binnendringen ook nog eens gegevens kopieert, kan een straf van maximaal vier jaar cel (of boete tot 16.750 euro) verwachten (art. 138ab lid 2 Strafrecht). Idem voor gebruik van een computer als "springplank" naar een ander systeem (art. 138ab lid 3 Strafrecht).

Voor computervredebreuk worden meestal speciale "hack"-programma's gebruikt. Het maken, vervaardigen, verkopen, verwerven, invoeren, verspreiden of anderszins ter beschikking stellen of voorhanden hebben van dergelijke software is op zich ook een strafbaar feit (art. 139d lid 2 onder a Strafrecht). De wet hanteert daarbij als criterium dat de software "hoofdzakelijk geschikt gemaakt of ontworpen is tot het plegen" van computervredebreuk. Netcat of een hex editor zou je kunnen gebruiken om in te breken maar daar zijn ze niet speciaal voor gemaakt, dus die vallen er niet onder. Een trojan die een rootkit installeert valt er wel onder, want een rootkit heeft hoofdzakelijk maar één doel en dat is inbreken.

De wet eist wel dat jij de software ter beschikking stelt of voorhanden hebt met het oogmerk dat daarmee computervredebreuk wordt gepleegd. Ben je bezig met security-onderzoek en deel je hacks of cracks met collega's, dan heb je niet het oogmerk dat daarmee ingebroken wordt. Je valt dan buiten het wettelijk verbod. Ook twijfel ik of informatie over een lek - dus zonder concrete exploit erbij - onder dit wetsartikel valt. De mededeling dat Windows op plek X een buffer overflow heeft, lijkt me nog geen technisch hulpmiddel dat hoofdzakelijk geschikt gemaakt of ontworpen is om die overflow te exploiteren. Aan de andere kant, voor dergelijke fouten zijn standaard exploits beschikbaar zodat je in triviale tijd die plek X kunt misbruiken, dus heel zeker ben ik niet. Persoonlijk zou ik er vanuit gaan van wel, en dus informatie over lekken hetzelfde behandelen als (demo-)exploits. Uit alles moet duidelijk zijn dat je niet wilt dat mensen gaan inbreken met behulp van die informatie of exploits.

Op zich maakt het daarbij niet uit of je je laat betalen voor het delen van informatie. Soms staat in de wet specifiek "uit winstbejag voorhanden hebben", maar hier niet. Ik denk alleen wel dat áls je geld vraagt voor cracks of informatie over zero-day lekken, daaruit eerder een crimineel oogmerk kan worden afgeleid. Als je geld wil verdienen met lekken of cracks dan doe je dat meestal door die aan criminelen te verkopen. Natuurlijk zullen er ook mensen zijn die legitiem handelen in cracks maar je hebt in ieder geval de schijn flink tegen.

(Oh ja, iedereen die nog "138a" in zijn boeken of aantekeningen heeft staan: dat artikel is hernummerd tot 138ab want op plek 138a zit nu het kraakverbod. Van woningen dus.)

Arnoud Engelfriet is ICT-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. In 2008 verscheen zijn boek "De wet op internet".