Web server og spørsmål om grad av lovlighet...?!

[oblivian]

Det er vel sikkert ingen som vet nok om dette til at jeg får svar her likevel (forumet er vel ikke akkurat ned rent av advokater mener jeg...), men jeg prøver likevel. Man vet jo aldri. :wink:

 

Jeg har en maskin stående som jeg bruker som bl.a. fil, web, printer- og mp3 server.

Det jeg tenker litt på er dette: På Apache serveren har jeg satt opp et web jukebox system som ganske enkelt er et web interface av mp3-katalogen min. (Som ellers kun er tilgjengelig via LAN). Web serveren er tilgjengelig fra nettet, men akkurat jukebox delen har jeg stengt med .htaccess. Jeg bare lurer på om jeg er veldig i grenseland hvorvidt det er lovlig eller ikke. Jeg deler ikke ut til noen, det er bare jeg som vet passordet og kun jeg som har tilgang på arkivet mitt. Jeg bruker dette systemet sånn at jeg har tilgang på filene, selv mine når jeg ikke er hjemme. Er det noen som har noe ide om det er ulovlig? Det heter seg jo at; "den som gjør et område på harddisken tilgjengelig for andre for å laste ned bryter loven". Selv om det da altså ligger på en "offentlig" tilgjengelig server, så er selve mp3-arkivet sperret. Og er det ulovlig å høre på sine egne filer hvis man hører på dem fra et annet sted en der de fysisk ligger? Er dette å be om trøbbel? Eller er det noe "alle" gjør?

 

En annen ting, hvis man ser bort ifra hvor sikkert selve serveren er satt opp, hvor sikkert er egentlig .htaccess? Sendes brukernavn/passord (MD5) i klartekst over nettet? Vil u/p ligge i eventuelle proxier osv? Og ikke minst, jeg streamer via vanlig http over port 80, er det veldig lett for andre å se hva slags filer det er?

[Ernie]

kan med en gang si at det er i gråsonen, siden folk i teorien kan skaffe seg tilgang.

[oblivian]

Ja, ikke sant. Det er det som er så kronglete. På den annen side, hvilken maskin som har tilgang på nettet er det ikke det går an på? :wink:

 

Mener du problemet er det at maskinen også er en web-server eller det at filene ligger i et området som er definert som et web-område?

[Lurifaksen]

Folk kan jo i teorien skaffe seg tilgang til mp3'ene mine ved å hacke PC-en min også...

 

Jeg vil tro at du kan dele harddisken din helt, med loven på din side så lenge du gir alle som eventuelt prøver å besøke serveren din en advarsel om at dette er privat eigendom, og er ikke tillatt å bruke for andre.

 

Siden hensikten er privat bruk, og det ikke er en offentlig server så må det jo være lov.

 

I ditt tilfelle er vel bare internett er alternativ til LAN, og på et hjemmenettverk bryter du vel ikke loven om du gjør det...

[Ernie]

Ja, ikke sant. Det er det som er så kronglete. På den annen side, hvilken maskin som har tilgang på nettet er det ikke det går an på? :wink:

 

Mener du problemet er det at maskinen også er en web-server eller det at filene ligger i et området som er definert som et web-område?

det siste. hvis du hadde hatt filene en annen stasjon enn der hvor web-filene er så hadde det vært helt klart at det er lovlig, men når de ligger i et område som er en del av et web-område, dog passordbeskyttet osv, blir det straks mer tilgjenlig for folk og dermed er det jo i teorien mulig å hente de ned. Tør rett og slett å svar på om det er lovlig eller ei av den enkle grunn at dette er så godt plasert i gråsonen som du får det...

[titus]

Kan ikke skjønne annet enn at du har ditt på det tørre så lenge ikke filene ligger åpent tilgjengelig, og du ikke benytter en åpenbar utilstrekkelig sikring mot uautorisert tilgang. Juridisk sett er det helt forskjellig å aktivt tilby MP3-filer til et utall ukjente personer, og det å gi tilgang bare til deg selv.

 

Utgangspunktet er jo at man fritt kan disponere over musikk man eier, herunder lage MP3-filer og lytte til disse. Om du lytter via LAN eller internett, kan ikke spille noen rolle.

[daffyd]

Dette må da i høyeste grad være lovlig! Skulle dette være ulovlig så må det også være ulovlig å ha mp3-samlinga liggende på en datamaskin som er koblet på nett. På samme måte som noen kan hacke web-serveren din kan noen hacke datamaskina di. Du har sørget for at mp3-samlinga di IKKE er tilgjengelig for noen andre enn deg selv. Hva mer kan man forvente?

 

Om det er ulovlig å legge mp3'ene på en web-server (som er passordbeskyttet) så må det også være ulovlig for apple å drive den nett-musikk-tingen sin... Der ligger jo låter (som er copyrightet) tilgjengelig på en web-server...

 

Helt til slutt: Hvorfor spør du om dette? Så lenge de er gjemt på din web-server vil aldri noen vite at du har dem der, med mindre noen fra RIAA skulle hacke web-serveren din. Og i Norge er det ikke lov å begå lovbrudd for å påvise lovbrudd. Dermed vil evt. bevis som RIAA skulle finne være ugyldige.

[Joffer]

En annen ting, hvis man ser bort ifra hvor sikkert selve serveren er satt opp, hvor sikkert er egentlig .htaccess? Sendes brukernavn/passord (MD5) i klartekst over nettet? Vil u/p ligge i eventuelle proxier osv? Og ikke minst, jeg streamer via vanlig http over port 80, er det veldig lett for andre å se hva slags filer det er?

.htaccess er ikke noe sikkert om du logger deg inn via vanlig http/port 80. Da går brukernavn og passord i klartekst. Du bør derimot logge deg inn via https/port 443 (ssl) slik at passordet ikke går i klartekst.

 

Hvorvidt passordet blir lagret i cache/proxy rundt omkring skal jeg ikke uttale meg om.

 

At du streamer over port 80 gjør at egentlig så kan folk sniffe opp trafikken og i teorien få tak i MP3 filen(e) du spiller.. men det er ikke noe jeg ville ha brydd meg om.. de gjør vel da i prinsippet noe ulovlig, men jeg vil ikke se på MP3 som sensitiv informasjon og dermed er port 80 finfint

[oblivian]

Angående port 443 (SSL), går det så mye tregere enn på port 80? Hvorfor kan jeg ikke like gjerne kjøre hele dritten over 443? Hva er egentlig baksiden med port 443?

 

En annen ting, hvordan får jeg med meg en session fra 443 over til 80. domain.com:443 og domain.com:80 er jo to komplett forskjellige adresser.

[Egil.B]

hvis du hadde hatt filene en annen stasjon enn der hvor web-filene er så hadde det vært helt klart at det er lovlig, men når de ligger i et område som er en del av et web-område, dog passordbeskyttet osv, blir det straks mer tilgjenlig for folk og dermed er det jo i teorien mulig å hente de ned.

Kan jo fint legge dem på en annen partisjon med <directory> ...

[oblivian]

En annen ting jeg også har gjort, som gjør det enda mer "sårbart" er at jeg har satt opp bruker/passord som endel av host URL'en i jukebox oppsettet, altså, bruker:[email protected], sånn at jeg slipper å skrive bruker/passord hver gang playeren spiller en fil. U/P er ganske greit med WMP, men med Winamp så må du skrive U/P for hver fil. Derfor har jeg satt det opp sånn. Ikke særlig sikkert men... Er det kanskje andre smartere måter å gjøre det på?

 

Men hvis jeg hadde streamet over 443 så hadde det problemet vært borte eller?

[daffyd]

Angående port 443 (SSL), går det så mye tregere enn på port 80? Hvorfor kan jeg ikke like gjerne kjøre hele dritten over 443? Hva er egentlig baksiden med port 443?

 

En annen ting, hvordan får jeg med meg en session fra 443 over til 80. domain.com:443 og domain.com:80 er jo to komplett forskjellige adresser.

 

Enkelt: Du skriver inn sesjons-id'en i url'en. Det er samme server som står i bunn, så evt. sesjoner som blir opprettet via https vil du også finne igjen via http... Dessuten, så TROR jeg at om du bruker http://domain.com og https://domain.com så vil sesjonen være lur nok til å skjønne det og være med videre... Men du kan jo prøve. Skulle det ikke virke er det bare skrive inn sesjons-id'en i url'en...

 

Men, jeg skjønner ikke hvorfor du gidder. Skulle RIAA komme etter deg, så må de hacke seg inn på maskina di, noe som er ulovlig. Og om en eller annen fjomp der ute skulle få tilgang til mp3-samlinga di, hva gjør vel det? Blir det et problem kan du isåfall vurdere å gå over til å bruke https. Men sannsynligheten for at noen skal få tak i passordet ditt er liten, og for en slik fillesak er det bortkastet med mer sikkerhet

[oblivian]

hvis du hadde hatt filene en annen stasjon enn der hvor web-filene er så hadde det vært helt klart at det er lovlig, men når de ligger i et område som er en del av et web-område, dog passordbeskyttet osv, blir det straks mer tilgjenlig for folk og dermed er det jo i teorien mulig å hente de ned.

Kan jo fint legge dem på en annen partisjon med <directory> ...

Kan du bruke <directory> til å enable kun et directory utenfor web-området i tillegg?

Web-område: C:Server

MP3: D:mp3

 

Og da gjøre d:mp3 tilgjengelig innenfor "web-området"?

[oblivian]

Hvilken SSL versjon bruker dere? Apache SSL eller mod_sll?

[oblivian]

Enkelt: Du skriver inn sesjons-id'en i url'en. Det er samme server som står i bunn, så evt. sesjoner som blir opprettet via https vil du også finne igjen via http... Dessuten, så TROR jeg at om du bruker http://domain.com og https://domain.com så vil sesjonen være lur nok til å skjønne det og være med videre... Men du kan jo prøve. Skulle det ikke virke er det bare skrive inn sesjons-id'en i url'en...

Hmm, den er jeg ikke helt med på... Har du et eksempel?

 

Men, jeg skjønner ikke hvorfor du gidder. Skulle RIAA komme etter deg, så må de hacke seg inn på maskina di, noe som er ulovlig. Og om en eller annen fjomp der ute skulle få tilgang til mp3-samlinga di, hva gjør vel det? Blir det et problem kan du isåfall vurdere å gå over til å bruke https. Men sannsynligheten for at noen skal få tak i passordet ditt er liten, og for en slik fillesak er det bortkastet med mer sikkerhet

 

Hehe, ja det er sikkert sant.

[daffyd]

Avhengig av hva du bruker, så er det mulig å få ut en sesjons-id. Aner ikke hvordan man gjør det på apache, men om du bytter til tomcat så lar det seg gjøre forholdsvis lett. Du legger da f.eks. til følgende parameter til url'en:

jsessionid=ihfwaey9y12424ntq23ry7v74

 

Hvor jsessionid er parameteren og strengen bak = er selve id'en til sesjons-objektet. Så kan du gjøre et oppslag på serveren for å finne sesjonen med tilhørende id.

 

Meget mulig at dette lett lar seg gjøre på apache. Det er også mulig at du ikke trenger å gjøre noe slikt i det hele tatt for å bytte fra https til http. Jeg vil uansett foreslå at du gjør en av disse to tingene:

 

1) aksesserer alt via https (forutsatt at winamp støtter det, og at det er mulig å streame på samme måte når man bruker https). Virker ikke det, benytter du alt 2)

2) La ting være som de er

[enden]

Norsk lovgivning sier at det ikke er lov å gjøre opphavsbeskyttet materiale tilgjengelig for offentligheten. Det er derimot generell aksept for at det å "dele ut" til et begrenset mindretall ikke er å gjøre ting offentlig tilgjengelig. Ved å beskytte materiale med u/p så hindrer man folk flest i å få tilgang til musikken din, og da er myndighetene fornøyd (med mindre du gir ut u/p til gudoghverman - f.eks. poster det her på forumet)

 

edit: mener å ha lest et sted at .htaccess er å regne som god nok beskyttelse