OpSec sagt, dass das DMCA-Benachrichtigungssystem "gefälscht" wurde, um auf Ubuntu Download
abzuzielen
Gestern berichteten wir, dass der Reddit-Benutzer NateNate60 offenbar von Comcast eine DMCA-Mitteilung erhalten hatte, in der er erklärte, er habe gegen das Urheberrecht verstoßen, indem er eine legale Kopie von Ubuntu heruntergeladen und weitergegeben habe.
"Wir haben eine Benachrichtigung von einem Urheberrechtsinhaber oder seinem Bevollmächtigten erhalten, in der eine mutmaßliche Verletzung eines oder mehrerer urheberrechtlich geschützter Werke gemeldet wird, die auf oder über Ihren Xfinity-Internetdienst erstellt wurden", heißt es in der veröffentlichten Mitteilung.
"Der Inhaber des Urheberrechts hat die IP-Adresse, die Ihrem Xfinity-Internetkonto zu diesem Zeitpunkt zugeordnet war, als Quelle der verletzenden Werke identifiziert", fährt er fort und fügt hinzu, dass NateNate60 alle mit seinem Netzwerk verbundenen Geräte durchsuchen und die in der Beschwerde.
Laut der Xfinity-Mitteilung war der Absender OpSec Security. Um mehr zu erfahren, haben wir uns an das Anti-Piraterie-Unternehmen gewandt, um eine Erklärung zu erhalten. Das kam spät in der Nacht und obwohl es einige Antworten liefert, wirft es auch noch mehr Fragen auf.
OpSec: Unser Anti-Piraterie-System wurde "gefälscht"
In einer Antwort von Amanda Hershey, Marketing Communications Managerin bei OpSec, erklärte das Unternehmen, dass die Benachrichtigung böswillig sei und gesendet worden sei, um seinen Ruf zu schädigen.
"Das DCMA-Benachrichtigungsprogramm von OpSec Security wurde am Mittwoch, dem 26. Mai 2021, von unbekannten Parteien auf mehreren Streaming-Plattformen gefälscht", erklärt Hershey.
„Der fragliche Inhalt scheint allesamt Ubuntu Linux ISO zu sein. Wir haben unbestreitbare Beweise dafür, dass diese DMCA-Mitteilungen nicht von OpSec Security begangen wurden oder von OpSec Security stammen. “
Warum OpSec auf „mehrere Streaming-Plattformen“ verweist, ist unklar. Die Leute "streamen" Ubuntu-Pakete nicht, sie laden sie herunter – in diesem Fall über Torrents, die von Ubuntus eigenem Tracker verteilt werden. Und obwohl OpSec sagt, dass es „unbestreitbare Beweise“ gibt, die zeigen, dass die DMCA-Mitteilungen nicht vom Unternehmen gesendet wurden, müssen Details noch öffentlich bekannt gegeben werden.
„Die Durchsetzungsbemühungen von OpSec werden gelegentlich von Dritten gefälscht, um den Ruf von OpSec zu schädigen. Diese Versuche sind leicht zu identifizieren und leicht zu widerlegen “, erklärt das Unternehmen.
Während das Sicherheitsunternehmen angibt, dass Dritte sein System „fälschen“, erklärt es nicht, wie dies möglich war. Und zumindest in diesem Fall war der schlechte DMCA-Hinweis anscheinend nicht „leicht zu identifizieren“, da er eindeutig Verwirrung stiftete. Wie ist das passiert?
Erhaltene Insider-Informationen?
In unserem ersten Bericht haben wir festgestellt, dass es für jemanden nicht unmöglich ist, eine DMCA-Mitteilung zu fälschen. In diesem Fall ist es jedoch schwierig, Ereignisse vor Ort und die Aussage von OpSec miteinander zu verzahnen, da eine bestimmte Menge schwieriger zu beschaffender Informationen erforderlich wäre, um dieses Ziel zu erreichen.
Erstens sagt NateNate60, er habe den fraglichen Inhalt heruntergeladen, nachdem er einen Torrent direkt von Ubuntus eigenem Tracker erhalten hatte. Das würde natürlich seine IP-Adresse sowohl dem Tracker als auch allen anderen zugänglich machen, die den Inhalt teilen. Um die DMCA-Benachrichtigung jedoch per E-Mail zu senden (unabhängig davon, ob diese von Comcast oder einer gefälschten E-Mail-Adresse stammt, die angeblich Comcast ist), muss jeder, der die IP-Adresse von NateNate60 erhält, auch seine E-Mail-Adresse benötigen.
Dies wirft die Frage auf, wie diese E-Mail-Adresse erhalten wurde. OpSec Security würde es normalerweise nicht haben, ebenso wenig wie die mutmaßliche böswillige Partei, aber Comcast würde es eindeutig tun. So funktionieren DMCA-Benachrichtigungen, die an ISPs gesendet werden. Der Absender kennt die Kontaktdaten des mutmaßlichen Rechtsverletzers nicht und bittet daher jemanden, der die Mitteilung weiterleitet, in diesem Fall Comcast.
Wenn wir also die Aussage von OpSec zum Nennwert nehmen, hätte zumindest theoretisch ein Dritter Comcast dazu verleiten können, die Benachrichtigung zu senden, nachdem er das „Benachrichtigungssendeprogramm“ von OpSec „gefälscht“ hatte. Dies wirft weitere Fragen auf.
Wenn diese angeblich böswilligen Bemühungen, den Ruf von OpSec zu untergraben, „leicht zu identifizieren und leicht zu widerlegen“ sind, wie wurde Comcast nicht alarmiert? Und wenn dies schon einmal passiert ist, wie das Unternehmen behauptet, warum wurde die Lücke nicht geschlossen?
In jedem Fall müsste der angeblich böswillige Dritte auch wissen, wie er Comcast auf überzeugende Weise kontaktieren kann, um sich als OpSec auszugeben. Es ist nicht einfach festzustellen, wie dies erreicht werden kann, ohne zu wissen, wie OpSec normalerweise mit Comcast kommuniziert. Dies könnte erklärt werden, wenn das System von OpSec gehackt wurde oder auf irgendeine Weise illegal zugegriffen wurde, das Unternehmen diese Terminologie jedoch nicht verwendet, sondern den Begriff „gefälscht“ verwendet, dh nachgeahmt, nicht kompromittiert.
Selbst wenn wir das Szenario annehmen, dass Comcast die E-Mail nicht gesendet hat und es sich um eine gefälschte Fälschung handelt, wie hat der Absender a) die IP-Adresse von NateNate60 ermittelt, b) den genauen Zeitpunkt, zu dem er den Torrent heruntergeladen hat, und c) die Übereinstimmung erreicht diese IP-Adresse zu seiner E-Mail-Adresse? Es klingt nach viel Mühe, den Namen von OpSec einfach zu trüben, zumal es keine Garantie dafür gab, dass NateNate60 den Hinweis jemals online veröffentlichen würde.
Sowohl OpSec als auch Canonical sagen, dass sie Maßnahmen ergreifen
Die Aussage von OpSec ist zwar in gewissem Maße hilfreich, wirft jedoch deutlich mehr Fragen auf. Wir haben diese Fragen an das Sicherheitsunternehmen gerichtet und werden ein Update veröffentlichen, sobald es antwortet. In der Zwischenzeit, so OpSec, wird die Angelegenheit jetzt eskaliert.
"Wir benachrichtigen die zuständigen Behörden über diesen Vorfall", sagt OpSec.
Der Ubuntu-Besitzer Canonical hat eine eigene Untersuchung eingeleitet.
Vielen Dank für Ihre Kontaktaufnahme! Unser Rechtsteam ist sich dessen bewusst und ermittelt, und wir werden die Mitarbeiter auf dem Laufenden halten.
– Ubuntu (@ubuntu), 26. Mai 2021