Dotaz: údajné zneužití SW na ip

[xts]

Zdravím,

předem se omlouvám za možná spíš trochu právnický než technický dotaz, ale je to spousta administrátorů a jinak znalých lidí z oboru, zajímalo by mě jak je to v praxi a případné zkušenosti.

Občas spolupracuji s jednou firmou, kterou nyní začala telefonicky a občas mailem uhánět nějaká společnost z anglie, že používali nelegálně nějaký jejich grafický software (název už nevím, čekám co pošlou) , že to jde z jejich ip a mají k tomu nějaké důkazy, že odpovídají za provoz z jejich ip, že tam vznikla škoda atd. Údajně je někdo od nich ochotný přijet a tady jim to předložit. Ta firma normálně v UK existuje.

A teď to zajímavý: ta česká společnost je produkce, která dělala kus animovaného filmu, a nějaké renderovací práce pro ně dělalo jiné české studio, které ten zmíněný SW opravdu používá - ale má ho prokazatelně legálně zakoupený - a i tak sídlí úplně jinde a s jejich ip nemá nic společného, a žádný jejich stroj tam ani běžět nemohl - tady nejde o notebooky, jedná se o velké těžké pracovní stanice, vpn pokud vím nemají.

Trochu to na mě dělá dojem, že poznali že to bylo renderované jejich softwarem a něco zkoušejí, nepředpokládám vyložený scam díky výše uvedenému. Nicméně, zatím jsem jim řekl, ať si vyžádají od té anglické firmy veškeré podklady a "důkazy", nějakou oficiální cestou (poštou, datovka) s razítkem a identifikací, co kdo chce, a proč.

Nicméně je tam pár věcí divných: - ten člověk je ochotný přijet do Prahy a ukázat to, ale chce dopředu souhlas o nějakém sdílení nákladů na právníky, cestu atd - tohle mi přijde už skoro jako vyložený scam, to bylo samozřejmě odmítnuto, setkali jste se někdo s něčím takovým?

- po telefonu z něj vypadlo že mají evidováno 9x porušení - tohle je zajímavé, protože je to malá firma kde mají 2 pracovní stanice na grafiku + jednu měli půjčenou ode mě, a cca 4 lidi s notebookama (kam to ale nemá smysl instalovat - jede to na xeonech a 32GB a víc ram).

- samozřejmě se nedá vyloučit, že to nějaký zaměstnanec nebo spolupracovník neměl na svém zařízení nainstalované - to snad ani nejde návštěvám (ani zaměstnancům) kontrolovat jejich soukromé počítače - ale vzhledem k nárokům je to dost nepravděpodobné. Zcela jisté je, že to na žádném firemním počítači není a nikdy nebylo.

A co mě tedy zajímá: 1, setkali jste se někdo s něčím podobným, řešili jste to, jak? Zajímají mě i technické detaily.. pokud budu brát že tam s tím někdo přišel a pustil to na jejich ip, tak předpokládám že ten jejich SW si ten počítač může prakticky libovolně ošahat - tedy zjistit mac adresu, SN desky, disku apod, název počítače, spočítat nějaký CID/UID identifikátor apod, může to dělat i screeny obrazovky pokud to uživatel odsouhlasí v eula apod? Nebo třeba zjišťovat jaký tam je nastavený emailový účet v běžných klientech nebo účtu (appleid, resp. live ID apod) ? Nebo něco jiného?

2, kdyby se to prokázalo dle bodu 1, ale nebude to žádný z firemních počítačů - co dál? Je je to s odpovědností za provoz na ip? Teď nemyslím to že někdo nahlásí např. že z te ip teď spam nebo i zneužití SW, ale tahle odpovědnost zpětně že někdo v té síti někdy něco použil? Nevím jak to mají řešené, je to malá firmička, předpokládám nějaký adsl modem od O2 a podobně - zcela jistě nemají žádné logy atd.

3, jak to vlastně dopadlo s logováním provozu? Vím že se to nějak rušilo, pak naopak zas víc šmírovalo obousměrně, pak to zrušil ÚS.. musí vůbec takováhle firmička s jedním modemem logovat? Mají zaheslovanou wifi, ale u ní je cedule s heslem, takže je přístupné pro každou návštěvu která k nim přijde. Pokud ano, jaké tam jsou sankce a používají se vůbec v praxi?

díky za jekékoliv info/zkušenosti

---

---

Odpovědi

[Petr Šobáň]

Nějak nechápu co řešíš?

Prostě ve firmě provedu kontrolu zda mám vše legálně zda se nikdo do sítě nenaboural a firmě odepíšu že mám vše v pořádku a víc s nimi nejednám.

Pokud si myslí že jsem něco porušil ať podají žalobu či oznámí to na policii aby to vyšetřila.

Prostě chcou z tebe vytáhnout peníze, prostě bych na žádné vyrovnání či placení nereflektoval nic neplatil a cizí osobu bych do firmy nepustil, pouze policii s povolenou prohlídkou.

[xts]

jde mi hlavně o to, jestli je nějaká odpovědnost za to co se děje na tvé ip, a jaká je aktuální situace s tím logováním - protože některý info bylo o tom že už budu muset pomalu logovat i mobila když ho někomu půjčím

[Petr Šobáň]

Jseš ISP?

Ano jseš zodpovědný za zabespečení své sítě, ale těžko tě může někdo uhánět bez důkazů a jak jsi se o tom dozvěděl kontrolu jsi provedl...

Neřešit.

[xts]

ok dík. Víš ještě jak je to s tím logováním?

[xts]

a ještě jedna věc - dejme tomu že někdo bude mít ty důkazy, že to opravdu šlo z mé ip, ale nebyl jsem to já ani nikdo z mých lidí - tedy návštěva, nebo někdo kdo si získal heslo k wifi apod. Co dál? Stačí jako vysvětlení prostě "Provedli jsme kontrolu na všech našich počítačích, nikde ten SW není a nebyl, tečka." ? Nebo je tam nějaký postih/problém?

[Roman DAVID]

Jako nevim co resis, takovyhle veci se hazou rovnou do spamu/do kose. Podobny kdavoviny chodej pravidelne a je zasadni chyba uz jen to, na to jakkoli reagovat.

[pavlix]

Přesně tak. Už jenom reakcí se člověk dostane do databáze vydíratelných debilů.

[xkucf03]

To platí v případě BSA šmejdů, kteří ten svůj spam/scam posílají plošně všem.

V první řadě udělat audit těch pár počítačů – jestli tam nějaký zaměstnanec instaloval warez/pirátský software, tak klepnout přes prsty, všechno promazat a přeinstalovat. Pravděpodobně nic nenajdete, ale jistota je jistota. Určitě je dobré mít zameteno před vlastním prahem, než začnete někomu tvrdit, že vy nic.

Taky si udělej průzkum na internetu, jestli s touto firmou má někdo podobnou zkušenost – třeba to jsou šmejdi, kteří to zkouší na každého, třeba taky ne…

Pak se teprve rozhodni, jestli jim něco odepisovat nebo ne. Pokud ano, tak bych jim odepsal, že jste si udělali audit, že to nikdo z vašich zaměstnanců nepoužívá a že to mohl být nějaký návštěvník, který se u vás připojil přes WiFi, a že nejde zjistit, kdo to mohl být. Případně je můžete požádat, ať vám řeknou, na jaké adresy a porty že se ta věc připojuje, že to podle toho budete hlídat – ve skutečnosti to jen zablokujete na firewallu a budete mít klid. A pokud jde o vaše dílo (bylo někde veřejně přístupné?), tak že to dělal váš dodavatel, který má licenci má.

Rozhodně jim nic neplatit, nic nepodepisovat (ani na papíře, ani digitálně – jestli používáte elektronický podpis, tak v komunikaci s nimi ho nepoužívejte). Pište z nějaké generické e-mailové adresy, podepisujte se jen křestním jménem, nechte odpovídat nějakého brigádníka nebo externistu, klidně i z jiné domény (toho se můžete pak snadno zbavit, říct, že pro vás už nepracuje nebo že nikdy nebyl kompetentní). Dobře si rozmyslete, jestli to, co jim píšete, nemůžou použít proti vám… pokud si nejste jistí, tak se poraďte s právníkem. Šmejdi typu BSA to dělají stejně, působí skrze nastrčenou osobu „mluvčího“, ale žádnou právní subjektivitu tady nemají, takže nejsou za nic odpovědní a toho „mluvčího“ se můžou kdykoli zbavit, distancovat se od něj. Tahle firma zrovna šmejdi být nemusí, ale i tak je opatrnost na místě.

[xts]

tohle

Pokud si myslí že jsem něco porušil ať podají žalobu či oznámí to na policii aby to vyšetřila.

není pravda, protože třeba při používání nelegálního SW musí ten nahlašovatel prokazatelně udělat vše pro to aby se to dál nedělo, včetně upozornění toho kdo to má porušovat aby s tím přestal, pokud to jde - ještě před kontaktováním policie (info od pčr)

[Petr Šobáň]

Panebože kontrolu jsi provedl ne? A máš vše OK tak jim to napíši a víc neřeším ty jsi pro to udělal co šlo.

[Petr Šobáň]

Pokud tomu nerozumíš předej to svému právnímu zástupci ať to řeší pokud se v tom chceš angažovat.

[xts]

právník už to má, i když úplně nerozumí technický stránce.

Zarazil mě ale ten hovor s policajtem (z skpv co tyhle věci řeší, ne nějakej botičkář) - furt mlel něco o tom že není pravda že nahlásím že tam mám wifi, čistý počítače a tím to hasne - naopak že jsi odpovědnej za to co jde z ip adresy, že záleží na tom co je důkaz atd, nebyl jsem z toho moc chytrej.

Proto me zajímá zejména, jestli někdo něčím podobným prošel, jak to probíhalo, detaily atd. Logickým úsudkem se dostanu k tomu co ty, ten ale bohužel u nás a obecně v právnickým prostředí neplatí - a tedy budu vděčný za jakékoliv zkušenosti

[Sten]

Ano, „provozovatel“ (či jak by se to nazvalo) IP adresy je odpovědný za to, co odtamtud jde. Ale je na policii či té druhé firmě prokázat, že to odtamtud skutečně šlo a bylo to to, co si myslí. Ty jako obviněný nemáš povinnost jim poskytovat důkazy proti sobě.

[drc@drc.drc]

skpv? A on se te na neco pta? Tak asi tape a hleda podklady pro prohlidku.

Tak zde bych bez pravnika nerekl ani slovo, pripadne nebudu vypovidat, zacal formatovat disky a instalovat projistotu OS znova, nikdy nevis cos tam v minulosti meli zamestnanci.

Tedy resil jsem uz lecos s PCR, ale nikdy ani, kdyz slo o AP, tak se mi neozval nikdo z skpv. Ti se te obvykle na nic neptaji, ale rovnou pozve k vyslechu/vypovedi, pripadne se soudnim povolenim a jinou slozkou ti ve 4 rano zaklepou na dvere a delaji domovni prohlidku, pripadne prohlidku jinych prostor.

Co se tyce toho sw, mohl nekdo dojit s NTB a pripojit se a mit ten SW nainstalovany -> provoz z tve IP?

[Petr Šobáň]

Vždyť to říkám celou dobu, pro jistotu bych nechal kompletně prověřit svoji síť, udělat audit co mám na PC a potom bych slušně napsal té firmě že děkuji za upozornění že jsem provedl kontroly a u mě je vše v pořádku a víc bych se s nimi nebavil natož někoho pouštěl do firmy to může pouze policie s příkazem od soudce.

A nedej bože něco platit a nebo se vyjadřovat a omlouvat se...........aby to pak nepovažovaly za přiznání.

Trestný čin ti musí prokázat policie. A soudce musí rozhodnout.

[Kit]

Zdravím, - ten člověk je ochotný přijet do Prahy a ukázat to, ale chce dopředu souhlas o nějakém sdílení nákladů na právníky, cestu atd

Nechápu, proč bych měl platit právníka někomu, kdo proti mně chce podávat žalobu. To je přece jeho problém a v žádném případě bych na to nepřistoupil. Není to totiž nic jiného než vydírání.

[Sten]

Přesně tak. Přistoupí snad ta firma na sdílení nákladů, kdyby se to potvrdilo? Asi těžko. Tak ať si to platí hezky ze svého.

[Bilbo]

Otázkou je pak i jestli ten člověk je skutečně z té firmy co tvrdí, nebo se jen vydává za někoho kdo je z té firmy .... pak by to asi byl spíše scam ....

[Petr Šobáň]

Dlouho jsem tu nebyl, ale tak trochu dlužím vysvětlení a trochu i varování.

Takže: firma si zaplatila práci u jiné firmy za několik mega (renderování), v ceně byla jedna licence renderovacího SW aby se mohli dívat jak to pokračuje, na změny atd. V tuhle chvíli přichází na scénu zaměstnanec - idiot, kterému se nechce přenášet výkonný stroj s licencí, stáhne si cracklou (blbě) verzi a nainstaluje to čert ví proč na nějakou dobu postupně skoro na všechny firemní počítače.

Právník nakonec přijel, doložili komplet logy se jménama uživatelů, projektů, screeny plochy, a ač to nevytáhli, jsem si skoro jistý že jako případný eso v rukávu měli i fotky z kamer kdo u toho sedí, prostě takový menší backdoor v jejich programu.

Po diskuzi s právníkama to skončilo relativně smírem, že zaplatí něco okolo 15000 Eur a za to dostanou ještě jednu licenci (zachránilo je že tu licenci fakt měli, jejich právník to původně vyčíslil na masakr). Dle několika právníků včetně specialistů na IT / duševní vlastnictví / copyright to absolutně neměli šanci vyhrát, bylo to dost jednoznačný a všichni důrazně doporučovali tu nabídku přijmout jako skvělé a hlavně levné řešení.

Tolik k tomu, jak to může skončit s hloupým zaměstnancem (odpovědným do 4,5 násobku platu).

Ironie je, že na tom ani nic nedělal protože ten sw na většině těch strojů vpodstatě neběží, a jen omezeně zobrazoval výsledky/úpravy atd.

[hhsb]

"doložili komplet logy se jménama uživatelů, projektů, screeny plochy" - odkdy jsou použitelné nelegálně získané důkazy?

[xkucf03]

Právník nakonec přijel, doložili komplet logy se jménama uživatelů, projektů, screeny plochy…

Vždycky říkám, že proprietární software je svinstvo a co všechno může obsahovat… Bylo by dobré zveřejnit název programu + text licence, ať se pobavíme.

Tady to byla vaše chyba… ale jinak by to bylo spíš na soud s autorem toho programu.

[MadCatX]

Díky za info o té dohře, může se to hodit.

Osobně bych asi neměl koule na to používat ten jejich soft dál, i když bych ho měl legálně. Čert ví, co všechno a kdy to kam odesílá? Docela by mě zajímalo, zda by si na podobný kousek troufli v době GDPR.

[j]

Zajimavej vysledek, ale obavam se, ze pripadnej soudni spor by naopak neustali oni, to mame nezakonny odposlech, nezakonne vyuzivani/vlamovani se do cizi infrastruktury ... a to je narozdil od porusovani autorskych prav mnohem zasadnejsi trestny cin.

Samozrejme na druhou stranu je to jejich bordel, ze si neumej hlidat co je kde nainstalovany. User proste vubec nema mit prava cokoli nejen instalovat, ale i cokoli nenainstalovanyho spravcem vubec spustit, coz spousta managoru nechce pochopit (oni prece strasne nutne potrebujou spoustet ty viry, co jim prisly mailem ...)

A pozor, zamestnanec je zodpovedny do nasobku mzdy pouze v pripade, ze jeho jednani neni v trestni rovine (tzn jde treba o nedbalost), a to by v tomhle pripade byt mohlo, a v takovym pripade se na nem firma muze hojit veskerym jeho majetkem. To by sis totiz taky moh rict, ze ukradnes v praci 10 aut za 10M, protoze se ti to vyplati pri tvech 10k vejplaty ...

[xts]

A pozor, zamestnanec je zodpovedny do nasobku mzdy pouze v pripade, ze jeho jednani neni v trestni rovine (tzn jde treba o nedbalost), a to by v tomhle pripade byt mohlo, a v takovym pripade se na nem firma muze hojit veskerym jeho majetkem. To by sis totiz taky moh rict, ze ukradnes v praci 10 aut za 10M, protoze se ti to vyplati pri tvech 10k vejplaty ...

To jako že úmyslně instaloval cracklou verzi, aby poškodil firmu tím, že jí bude někdo někdo žalovat? To asi ne, že? Srovnávat to s krádeží je mimo, neměl z toho žádný prospěch, vpodstatě se tím snažil dělat svojí práci - prostě byl to jenom blb. Tohle na úmysl neobstojí, a to vůbec nemluvím o našich soudech. Pokud to není pomsta zaměstnavateli nebo krádež, tak je skoro nemožný to nějak uhrát a jde to k tíži zaměstnavateli.

S druhým odstavcem o právech usera naprosto souhlasím.

[j]

To jako ze umyslne instaloval nelegalni software, jeste stale totiz plati, ze neznalost zakona neomlouva. Totez je napriklad to, ze firemnim auto zrusis, pricemz bude prokazano, zes ho zrusil pri 200km/h, atd atd.

Pokud firme skodu zpusobis tim, ze porusujes zakony, tak se ti proste muze stat, ze po tobe bude firma vymahat (a uspesne) celou skodu.

Samo muze firma prozmenu narazit na to, ze takovy chovani dlouhodobe toleruje.

[xts]

to "prokazano" je tady právě důležitý, protože důkazní břemeno je na zaměstnavateli. A to jak úmysl, tak skutek jako takovej. Právníci v tom úmysl celkem jasně neviděli, a nelíbilo se jim to i v tom případě, že by se přiznal nějak prokazatelně. Druhej problém je, že to sice věděli, ale neměli jediný důkaz kdo to tam nahrál - a jak známo, není to o tom co víš, ale co jsi schopný dokázat. Žádnej log kdo kdy kde seděl, kamery na zaměstnance ve většině případů nesmí být - a nebyly, u těch strojů se střídá řada lidí...

Prostě právnící to viděli jinak, bylo to tak na vodě že nemělo smysl do toho jít, a zejména když se to vyřešilo relativně "dobře".

Btw - zrovna překročení rychlosti, stejně jako jakýkoliv přestupek včetně způsobení nehody je učebnicovej případ nedbalostního porušení povinnosti, musí to být značná hodnota přes aby se to mohlo posuzovat jako úmysl - s nejistým výsledkem.

Ona totiž každá nehoda, kterou zaměstnanec dostane k úhradě je důsledek porušení zákona

[Pavel 'TIGER' Růžička]

To vypadá, jako když onu "cracklou" verzi vystavila samotná firma a pak nějakým kanálem dala doporučení onomu zaměstnanci. Ale nemohu si pomoci, ať to čtu, jak to čtu, tak pořád vidím zbytečně vyhozeních patnáct tisíc €. Jednalo se totiž o selhání jedince s důsledkem nevědomého porušení licence. Ovšem otázkou zůstává, jestli skutečně bylo ono porušení nevědomé. To nikomu nebylo divné, že jedna licence je najednou všude? Pořád se to dá ale dostat z onoho zaměstnance, i když tam hodně záleží jak je postavená pracovní smlouva.

[xts]

Pavle, bez urážky - ale řešil jsi někdy nějaký právnický věci, spory, soudy? U firmy fakt nikoho nezajímá nějaký nevědomý porušení licence, zrovna tak jako selhání jedince.. to by možná obstálo u českýho soudu u zaměstnance.

Ten program nikdo jinej nepoužíval tak si toho nevšimli, byl na jednom - k tomu určeném stroji, a jedinej kdo v něm měl občas něco zkontrolovat byl ten zaměstnanec. Oni i tu jednu používali minimálně.

Na smlouvě záleží, souhlasím, ale pořád je základ prokázat úmysl - který tam ostatně ani nebyl, on žádnou škodu způsobit nechtěl, byl línej chodit jinam ke stroji s licencí.

[Pavel 'TIGER' Růžička]

Ano, bohužel jsem se musel prokousávat § jedna věc je důvěřovat právníkům a druhá věc je být v obraze a mít představu o čem hovoří. Obé je dost důležité. Pokud je smluvně dáno, co zaměstnanec smí a nesmí, pak jde prokazování úmyslu stranou, protože porušil pracovní smlouvu. Ale pochybuji, že tak silnou smlouvu bude mít, když i správa sítě byla dosti lehkovážná.

[xts]

ok, já mám, resp. měl jsem jiné informace - porušení povinností zaměstnance je podmínka nutná k tomu, aby byl za škodu vůbec odpovědný, ať už jsou specifikovány ve smlouvě, řádech nebo jinde. Takže pokud po něm chci náhradu škody, samozřejmě něco porušil a to musím být schopný prokázat.

Prokazování úmyslu právě vůbec nejde stranou (resp. nešlo), protože u nedbalosti je hranice 4,5 násobku, zatímco u úmyslného hranice není, což definoval tuším zákoník práce.

Ale nevím, jestli se za ty 3 roky tohle nějak zásadně změnilo, nevím o tom, vyloučit to nemůžu.

Právník zmínil zajímavou variantu hrát to pokaždé jako jednotlivé porušení, ale byl by to boj s dost nejistým výsledkem, tak se na to vykašlali.

[xts]

Jsem skálopevně přesvědčený o tom, že to budou mít v licenčním ujednání, se kterým někdo souhlasil (jak je to s legálností nevím).

Právník byl z UK, kde mají sídlo vývojáři netuším, ani pod jakou jurisdikci to spadá.

Tou plochou nemyslím jak si někdo čte maily ve widlích, ale plochu z projektu toho programu, kde bylo přesně vidět o jaký projekt se jedná. Nedal bych ruku do ohně za to že toho nemají víc - typu screeny opravdové plochy nebo ty záběry z kamery, ale k tomu se nikdy nepříznali - asi celkem pochopitelně i kdyby to měli.

Byl tam název uživ. účtu ze systému, teď nevím jestli i jméno, název souborů, projektů, myslím že i sn počítače atd. Vyloženě osobních dat tam moc nebylo.

Každopádně - to, že mám extrémní výhrady k tomu, jak ten sw funguje je jedna věc - a je to přesně ten důvod, proč vše co jde včetně antiviru aktualizuju offline a zakazuju ve fw. Nicméně druhá věc je, že to opravdu podělali a byla to jednoznačně jejich chyba, ten SW stáhli, ještě k tomu s nějakým crackem a na několika strojích nainstalovali a nějaký čas to tam bylo. To, že to byl jeden zaměstnanec, kterej si na tom prohlížel věci na který ještě k tomu tu licenci jinde měl, to je perlička pro nás.

A ten blb zaměstnanec to samozřejmě zatloukal, takže slavnýho právníka poslali do háje (pochopitelně) - no a pak dostali ty logy.

K té právničině atd - jak jsem psal, dělalo na tom několik právníků včetně expertů na mezinárodní copyrightové právo (protože původně ta částka "škody" byla daleko vyšší - a to mnohonásobně) a všichni do jednoho říkali, že to je fakt špatný, dobře doložený a musejí to projet. Ještě k tomu když tu firmu tohle živí, kdyby to byl nějakej studentík co si něco zkouší tak dejme tomu, ale tohle bylo studio.. prostě všechno špatně.

Název bohužel nenapíšu, součástí té dohody byla mlčenlivost, každopádně nakonec relativně ustoupili (hlavně po tom, co zjistili že tu licenci jednu mají a že to pro ně dělá smluvně na několik let někdo jiný, kdo jich má hromadu) a vpodstatě je nechali si koupit jen další licenci, která jim zůstala. Na to, že jejich právník byl 2x v Praze a už to přebírala česká pobočka nějaký mezinárodní právnický firmy to dopadlo ještě "dobře", resp. vypadalo to hůř. Jejich právníci řekli ať po té dohodě okamžitě skočí než si to druhá strana rozmyslí, že to je pro ně vpodstatě výhra.

Tož tak. Zajímavá zkušenost.