3 november 2005
Sony is hevig bekritiseerd vanwege het gebruik van tactieken van virus
schrijvers om het illegaal kopiren van CD’s tegen te gaan. En systeem
van kopieerbeveiliging, geanalyseerd door Mark Russinovich van Sysinternals, gebruikt
bestanden, die zich op plaatsen binnen Windows nestelen en verbergen,
zonder dat ze door de gebruiker gevonden kunnen worden. Volgens
Russinovich gaat deze vorm van bescherming veel te ver, ook al heeft
Sony een patch aangeboden die de verborgen bestanden ‘zichtbaar’ maakt.
Russinovich, een programmeer-expert, kwam het Sony BMG-systeem tegen
toen hij zijn computer scande met een door hem mede-ontwikkelde utility
die ‘rootkits‘ zoekt. Rootkits worden gebruikt door een aantal
virus-programmeurs, omdat zij toelaten dat ‘vijandige’ code diep in het
Windows-besturingssysteem wordt geplaatst. De rootkits worden niet
opgemerkt door de meeste anti-virusprogramma’s. Na uitgebreide analyse
realiseerde Russinovich dat de rootkit genstalleerd was toen hij
luisterde naar de CD ‘Get Right With the Man’ bij de country-rockband
Van Zant.
Hoewel het sterk leek op een virus, ontdekte Russinovich dat de
‘verborgen’ bestanden afkomstig waren van een
kopieerbeveiligingssysteem, genaamd Extended Copy Protection (XCP),
ontwikkeld door de Engelse firma First 4 Internet. Er zijn nu ongeveer
20 albums uitgerust met deze XCP-software en in mei 2005 heeft Sony
verklaard dat er ongeveer 2 miljoen CD’s geproduceerd zijn met
gebruikmaking van deze techniek. Dat zijn er nu ongetwijfeld nog veel
meer. XCP is slechts een van de verschillende technieken voor
kopieerbeveiliging die Sony aan het uitproberen is. XCP maakt het
slechts mogelijk om drie kopien te maken van een CD en staat het
alleen toe dat de CD wordt afgespeeld op een computer met gebruik van
een specifieke, aan Sony behorende media-speler. De rootkit wordt
tegelijkertijd met de media-speler gedownload en genstalleerd. Het
verwijderen van deze XCP bleek geen sinecure en leidde er zelfs toe dat
Russinovich CD-speler het tijdelijk niet meer deed. In zijn blog gaf
hij een verslag van het gebeuren en de gebruikte techniek en verklaarde
hij: ‘Not only had Sony put software on my system that uses techniques
commonly used by malware to mask its presence, the software is poorly
written and provides no means
for uninstall’. Volgens hem maakte de licentieovereenkomst die hij
accepteerde geen gewag van het feit dat hij het programma niet kon
de-installeren of van de veranderingen die aangebracht werden in de
inrichting van zijn computer. Nick Lockett, een specialist in
internetrecht van DL Legal, stelde dat als Sony BMG XCP-beschermde CD’s in
Groot-Brittanni op de markt heeft gebracht, het muziekbedrijf vervolgd
kon worden op grond van de Computer Misuse Act, omdat het
‘unauthorised’ veranderingen in de machine aanbracht. ‘There would be
no problem if there’s a big screen coming up saying as part of the
anti-piracy measures this CD will amend your operating
system’, so stelde hij. Hij voegde er aan toe dat de gebruikte
technologie gebruikers zou kunnen provoceren om de beveiliging te
omzeilen. Russinovich is er vooral bezorgd over dat gebruikers in de
poging hun computer ‘schoon en veilig’ te houden de verborgen
XCP-bestanden ontdekken, ze verwijderen en vervolgens geconfronteerd
worden met een niet meer goed werkende computer. Dat is dezelfde vrees
die ook Mikko Hypponen heeft, onderzoeksbaas van het Finse F-Secure,
die ook naar de XCP heeft gekeken. ‘What we are scared of is when we
find a new virus written by someone that relies on the fact that this
[XCP] software is running on tens of thousands of computers around the
world. The rootkit would
hide that virus from pretty much any anti-virus program out there’.
Volgens Mathew Gilliat-Smith, directeur van First 4 Internet, zijn de
‘techniques used to hide XCP used by many other programs and there is
no evidence that viruses were being written that took advantage of
XCP’. Het onderzoek van Russinovich heeft echter het bedrijf er echter
wel toe gebracht informatie vrij te geven aan anti-virusbedrijven om
hen in staat te stellen de rootkit te ontdekken. Sony zelf maakt het
mogelijk de de verborgen bestanden zichtbaar te maken of te
verwijderen, zij het via een ingewikkelde en zeer onhandige methode
waarover de gebruiker betrekkelijk weinig controle heeft. Gilliat-Smith
gaf aan dat zijn bedrijf de gebruikte techniek niet langer gebruikt.
Sony is door het gebruik van deze techniek het mikpunt geworden van zware kritiek,
en niet ten onrechte. Want de techniek heeft een nadelen. Het is in
ieder geval discriminerend, want het betreft alleen Windows computers
en heeft alleen betrekking op legitieme bezitters van de CD. De muziek
is vrijelijk te kopiren als de shift-toets wordt ingedrukt bij het
plaatsen van de CD of op een niet-Windows PC. Daarnaast: de albums zijn
over het algemeen vrij te downloaden via P2P, zodat als de gebruiker
niet wil betalen toch makkelijk de muziek te verkrijgen is, tegen
minder risico’s dan een echte CD kopen. Wat dit geval wel duidelijk
heeft gemaakt: Digital Rights Management gaat in sommige gevallen veel
te ver en schendt verschillende ethische en privacy-grenzen met het
gebruik van sommige technieken. Zeker is in ieder geval dat het
plaatsen van rootkits op PC’s van argeloze gebruikers die netjes CD’s
hebben gekocht onacceptabel is.
