App op basis van gedecompilede code

[hydrargyrum]

Hallo devschuurders,

Ik ben op dit moment bezig aan een versie van de rooster- en cijferapp van mijn school voor windows phone. Dit het systeem dat mijn school gebruikt is vrij bekend en word door ongeveer 50 scholen in nederland gebruikt. De android-versie van hun app heeft tussen de 100.000 en de 500.000 downloads.

Ik heb een tijdje geleden hun android-app gedecompiled en daar heb ik alle gegevens die ik nodig heb om een eigen app te maken uit gehaald.

Nu is mijn vraag: wat zouden jullie doen als jullie deze app hadden en de gegevens op zo'n manier verkregen?

Ik ben aan het twijfelen tussen publishen zonder eerst contact op te nemen, eerst even contact opnemen of alleen voor eigen gebruik houden. Ik ben niet van plan om geld te vragen voor deze app.

Alvast bedankt voor jullie mening.

[Gomez12]

Wat ik zou doen is geld gaan tellen wat je hebt, goed overdenken hoeveel je hiervan kan missen voor welke periode van je leven.
En daarna hun benaderen, zeggen dat je 99% zeker bent dat je hun rechten overtreden hebt en dat je wilt gaan praten over een genoegdoening richting hun met mogelijk daarna een gebruik van die code tegen een royale vergoeding van jou richting hun.

Je hebt nu openlijk op internet gezet dat je aan zeer twijfelachtige activiteiten gedaan heb, mocht de maker ooit iets tegen jou willen doen en die stuit op dit topic dan hang je bijna gegarandeerd.

Wat jij hebt gedaan daar zijn wel technische / juridische mogelijkheden voor, alleen dat is op zich al een juridisch kunststukje om het beschreven te krijgen en het is een extreem dun koord om over te lopen als je het daadwerkelijk doet.
Aangezien je hier nog een vraag erover moet stellen durf ik rustig met 100% zekerheid te zeggen dat je het niet juridisch dichtgetimmerd hebt zitten en dat je dus andermans rechten geschaad hebt.

En als de app-bouwer a 100 euro per uur heeft gerekend dan kan die jou geen toegang verlenen voor bijv 500 euro (dat is zijn eigen markt bederven).

Oftewel persoonlijk zou ik me eerst eens goed inlezen in bijv Samba en hoe die reverse-engineeren en waarom ze dat zo doen, want ik ben bang dat je je nu in een wespennest gestoken hebt en ik vermoed dat het het makkelijkste is om het project naar de prullenbak te verhuizen en er nooit meer over te praten.

[hydrargyrum]

Gomez12 schreef op woensdag 18 februari 2015 @ 21:14:
Wat ik zou doen is geld gaan tellen wat je hebt, goed overdenken hoeveel je hiervan kan missen voor welke periode van je leven.
En daarna hun benaderen, zeggen dat je 99% zeker bent dat je hun rechten overtreden hebt en dat je wilt gaan praten over een genoegdoening richting hun met mogelijk daarna een gebruik van die code tegen een royale vergoeding van jou richting hun.

Je hebt nu openlijk op internet gezet dat je aan zeer twijfelachtige activiteiten gedaan heb, mocht de maker ooit iets tegen jou willen doen en die stuit op dit topic dan hang je bijna gegarandeerd.

Wat jij hebt gedaan daar zijn wel technische / juridische mogelijkheden voor, alleen dat is op zich al een juridisch kunststukje om het beschreven te krijgen en het is een extreem dun koord om over te lopen als je het daadwerkelijk doet.
Aangezien je hier nog een vraag erover moet stellen durf ik rustig met 100% zekerheid te zeggen dat je het niet juridisch dichtgetimmerd hebt zitten en dat je dus andermans rechten geschaad hebt.

En als de app-bouwer a 100 euro per uur heeft gerekend dan kan die jou geen toegang verlenen voor bijv 500 euro (dat is zijn eigen markt bederven).

Oftewel persoonlijk zou ik me eerst eens goed inlezen in bijv Samba en hoe die reverse-engineeren en waarom ze dat zo doen, want ik ben bang dat je je nu in een wespennest gestoken hebt en ik vermoed dat het het makkelijkste is om het project naar de prullenbak te verhuizen en er nooit meer over te praten.

Ik heb geen code van hun gebruikt, ik heb alleen hun api endpoints gebruikt. Kan je ook uitleggen hoe het komt dat code decompilen zeer twijfelachtig is, dit is toch niet illegaal?
Ook is het geen app-bouwer in de eerste plaats, het is een SaaS bedrijf, dat rooster & puntenpakketten aanbiedt en daarbij een app heeft (wat overigens een slecht stuk phonegap is, maar dat op de tweede plaats.)

[ Voor 5% gewijzigd door hydrargyrum op 18-02-2015 21:28 ]

[Rikkiz0r]

Waarom heb je uberhaupt de app gedecompiled om achter hun API endpoints te komen? Die kun je ook gemakkelijk traceren met een tool als Fiddler.

[hydrargyrum]

Rikkiz0r schreef op woensdag 18 februari 2015 @ 21:27:
Waarom heb je uberhaupt de app gedecompiled om achter hun API endpoints te komen? Die kun je ook gemakkelijk traceren met een tool als Fiddler.

Op dat moment wist ik totaal niet hoe het in elkaar stak, dus leek dat me de beste optie. Van fiddler had ik nog niet gehoord.

[Rikkiz0r]

Als de API endpoints het enige is waarvoor je de app heb gedecompiled, dan kom je er wel mee weg denk ik, mits er geen extra authenticatie of iets dergelijks op de API endpoints zit die je gereverse-engineerd hebt.

Ik zou zelf wel overigens uitkijken dat je niet hun merknaam in je app gebruikt, bijvoorbeeld in de app store vermelding.

[ Voor 22% gewijzigd door Rikkiz0r op 18-02-2015 21:35 ]

[hydrargyrum]

Rikkiz0r schreef op woensdag 18 februari 2015 @ 21:34:
Als de API endpoints het enige is waarvoor je de app heb gedecompiled, dan kom je er wel mee weg denk ik, mits er geen extra authenticatie of iets dergelijks op de API endpoints zit die je gereverse-engineerd hebt.

Nee, ik heb alleen eigenlijk hun code nagemaakt in de windows phone SDK. De authenticatie werkt vrij simpel, en hier heb ik ook niks vreemds mee gedaan.

[Rikkiz0r]

Dus er zat wel authenticatie op de API endpoints, bijvoorbeeld in de vorm van een token dat gegenereerd werd om te kijken of het request wel afkomstig is van hun eigen app? Dan zou ik er wel mee uitkijken.

[DRaakje]

Pff, wat een hoop onzin staat hier weer. Er zijn zoveel voorbeelden te verzinnen waarbij dmv reverse engineeren software compatible is gemaakt met bestaande software. Ik noem een SAMBA in linux zo maar even.

Ik zou gewoon even contact opnemen met hun, is netjes. Ik zou gewoon in het midden laten hoe je het hebt gedaan.

[hydrargyrum]

Rikkiz0r schreef op woensdag 18 februari 2015 @ 21:37:
Dus er zat wel authenticatie op de API endpoints, bijvoorbeeld in de vorm van een token dat gegenereerd werd om te kijken of het request wel afkomstig is van hun eigen app? Dan zou ik er wel mee uitkijken.

Nee, totaal niet. Ik dacht dat je het had over authenticatie van de gebruiker.

[Rikkiz0r]

Dan zou ik me niet zo druk maken, contact opnemen met ze is wel netjes, ik zou dan inderdaad zoals DRaakje al zegt even in het midden laten hoe je er achter bent gekomen

[pedorus]

Gomez12 schreef op woensdag 18 februari 2015 @ 21:14:
En daarna hun benaderen, zeggen dat je 99% zeker bent dat je hun rechten overtreden hebt en dat je wilt gaan praten over een genoegdoening richting hun met mogelijk daarna een gebruik van die code tegen een royale vergoeding van jou richting hun.

Op welke manier dan precies?

Volgens mij is dit de situatie:
http://blog.iusmentis.com...eeren-computervredebreuk/

Overigens kan ik me voorstellen dat ze dit liever niet hebben. Ik heb wel eens meegemaakt dat een rooster verkeerd werd geïnterpreteerd. Dit zorgde ervoor dat mensen zoveel lessen hadden gemist dan een vak niet meer te halen viel.. Maar het kan ook prima zijn dat ze het prima vinden or er zelfs bij willen helpen, het is net wie je aantreft.

[hydrargyrum]

pedorus schreef op woensdag 18 februari 2015 @ 21:39:
[...]

Op welke manier dan precies?

Volgens mij is dit de situatie:
http://blog.iusmentis.com...eeren-computervredebreuk/

Overigens kan ik me voorstellen dat ze dit liever niet hebben. Ik heb wel eens meegemaakt dat een rooster verkeerd werd geïnterpreteerd. Dit zorgde ervoor dat mensen zoveel lessen hadden gemist dan een vak niet meer te halen viel.. Maar het kan ook prima zijn dat ze het prima vinden or er zelfs bij willen helpen, het is net wie je aantreft.

Dat artikel geeft inderdaad de situatie het meest nauwkeurig weer. Mijn app is voor het grootste gedeelte hetzelfde als hun eigen app, het enigste verschil is dat de stijl wat anders is.

[D4NG3R]

De API waar je nu gebruik van maakt, is daar documentatie van te krijgen? Zo ja: Is wat je nu doet/hebt gedaan illegaal.

http://www.it-notaris.nl/269/auteursrecht-op-software
http://collegebundel.nl/auteurswet/artikel45m

Trouwens:

c. te gebruiken voor de ontwikkeling, de produktie of het in de handel brengen van een computerprogramma, dat niet als een nieuw, oorspronkelijk werk kan worden aangemerkt of voor andere, op het auteursrecht inbreuk makende handelingen.

Je bouwt in wezen exact het zelfde en gebruikt daarbij broncode die niet vrij beschikbaar is.

[ Voor 75% gewijzigd door D4NG3R op 18-02-2015 21:54 ]

[Gomez12]

pedorus schreef op woensdag 18 februari 2015 @ 21:39:
[...]
Op welke manier dan precies?

Volgens mij is dit de situatie:
http://blog.iusmentis.com...eeren-computervredebreuk/

Zie ook de vele kanttekeningen die Arnoud er zelf al bij maakt.

Arnoud negeert ook een aantal dingen. Bijv

Als ik zeg “hier is de sleutel” en jij maakt een sleutel erbij, dan pleeg je geen huisvredebreuk als je met die extra sleutel binnengaat

Niemand zegt echter "hier is de sleutel" (dat zou namelijk een open api zijn)

Auteursrechtelijk is het spannender. Je decompileert en achterhaalt de werking van de app. Als het doel dan is een kloon van de app te maken, dan botst dat met het auteursrecht op de app. Maar ‘kloon’ is een beperkt begrijp. En een nieuwe app die alleen dezelfde API calls doet, zou ik niet snel een ‘kloon’ noemen. De wet hanteert “computerprogramma, dat niet als een nieuw, oorspronkelijk werk kan worden aangemerkt” als criterium. Dus echt pure nabouw, dezelfde functionaliteit en layout.

Dit is ook zo'n leuk stukje, TS zegt zelf al dat enkel de layout iets anders is. En dat zou voldoen aan het criterium van Arnoud, maar wat zegt Arnoud nou eigenlijk exact? Dat het enkel een kloon is als hij 100% gelijk is, als hij ook maar 1 woordje bold zet dan is het volgens Arnoud al geen kloon meer, dat is imho onrealistisch.

Daarnaast heb je nog databankenrecht, als je app groot wordt heb je weer computergebruik wat je aangerekend kan worden.
En zo kan je nog wel even doorgaan.

In wezen zegt de blog van Arnoud dat als je de definitie van API ietwat oprekt dat er geen cybercriminaliteit meer mogelijk is (alles is enkel gebruik van de api maken)

Laat ik het anders vragen : Als ik de app van een bank ga reverse engineeren, ik ga daar mijn eigen app voor maken die enkel het rekeningnr waarnaar een betaling toemoet hard meezend ipv dat ik het veld overneem wat ik toon (zodat alle overmakingen op mijn bankrekening terechtkomen) denk je dan echt dat niemand er iets aan kan doen?

Arnoud heeft het hier echt specifieke over 1 app (die van TLS) en zelfs daar is hij nog erg voorzichtig over, dit is echt niet een blog die je zomaar blind kan overnemen om willekeurig welke api (bijv bank) te gaan gebruiken

[pedorus]

Gomez12 schreef op woensdag 18 februari 2015 @ 22:01:
Dit is ook zo'n leuk stukje, TS zegt zelf al dat enkel de layout iets anders is. En dat zou voldoen aan het criterium van Arnoud, maar wat zegt Arnoud nou eigenlijk exact? Dat het enkel een kloon is als hij 100% gelijk is, als hij ook maar 1 woordje bold zet dan is het volgens Arnoud al geen kloon meer, dat is imho onrealistisch.

Het design moet natuurlijk echt anders zijn, anders is het duidelijk een copyrightprobleem.

Daarnaast heb je nog databankenrecht, als je app groot wordt heb je weer computergebruik wat je aangerekend kan worden.
En zo kan je nog wel even doorgaan.

Het databankenrecht geld hier niet, een rooster lijkt mij een bijproduct van een school. Zelfs als het er was, dan zou het bij de school hebben gelegen, niet bij de fabrikant van de roostersoftware.

In wezen zegt de blog van Arnoud dat als je de definitie van API ietwat oprekt dat er geen cybercriminaliteit meer mogelijk is (alles is enkel gebruik van de api maken)

Nee, het doel moet wel overeenkomen zegt hij (in de comments).

Arnoud heeft het hier echt specifieke over 1 app (die van TLS) en zelfs daar is hij nog erg voorzichtig over, dit is echt niet een blog die je zomaar blind kan overnemen om willekeurig welke api (bijv bank) te gaan gebruiken

In het geval van TS is er zelfs geen key in de app, dus het lijkt mij een makkelijker geval. Zonder beveiliging sowieso geen computervredebreuk.

Mocht TS hiermee wel een wet overtreden, dan vraag ik me dus af welke dat dan zou zijn.

[hydrargyrum]

Bedankt voor al jullie reacties, ik denk dat ik het beste contact op kan nemen met de maker van de roostersoftware en er proberen samen uit te komen. Ik ben niet van plan om als de originele maker er bezwaar mee heeft toch mijn app te gaan verspreiden.

[MSalters]

De hoeveelheid onzin in dit topic is verontrustend hoog. De auteurswet heeft specifieke uitzonderingen juist om interoperabiliteit te kunnen realiseren. Artikel 45i, 45l, 45m.

Er is ook geen computervredebreuk. De telefoon in kwestie was eigendom van de TS en je kunt niet geen computervredebreuk plegen op je eigen systeem.

[Gomez12]

MSalters schreef op donderdag 19 februari 2015 @ 10:07:
De auteurswet heeft specifieke uitzonderingen juist om interoperabiliteit te kunnen realiseren. Artikel 45i, 45l, 45m.

En op basis waarvan vermoed je dat dit van toepassing is?

Er zijn namelijk wel gewoon eisen aan die uitzonderingen en als het een phonegap oplossing is dan valt er bijna niet meer onder die eisen te vallen.

Dat is juist het tricky stuk met dit soort dingen, je kan niet zomaar SAP/Peoplesoft oid even gaan decompilen en recompilen voor android en opnieuw in de markt zetten onder het mom van interoperabiliteit...

[ValHallASW]

Gomez12 schreef op donderdag 19 februari 2015 @ 14:15:
En op basis waarvan vermoed je dat dit van toepassing is?

Omdat de TS in de TS zegt

Ik heb een tijdje geleden hun android-app gedecompiled en daar heb ik alle gegevens die ik nodig heb om een eigen app te maken uit gehaald.

De TS hercompileert niets, de TS heeft in de app gekeken welke gegevens worden gebruikt en wat die betekeken, en heeft die informatie gebruikt om een eigen app te schrijven.

[MSalters]

Precies, het mogen reverse engineeren van interne API's is een expliciet doel van de desbetreffende wet.

En het ontgaat me waarom een "phonegap" app op enige wijze een uitzondering op de wet zou zijn.