Sony BMG CD-леріндегі көшіруден қорғау дауы және қауіпсіздік бұзушылықтары

Кіріспе

Sony BMG-нің көшірмелерді қорғау шараларын енгізуі

Sony BMG CD-нің көшірмелерін қорғауға байланысты руткит-жанжал 2005 жылы Sony BMG тарапынан таратылған шамамен 22 миллион дискіге көшірмелерді қорғау шараларын енгізуге байланысты туындаған дау болды. Дискілер компьютерге қосылғанда, екі бағдарламалық құралдың бірі орнатылып, операциялық жүйені өзгерту арқылы CD көшірмелерін жасауға кедергі келтіретін цифрлық құқықтарды басқару (DRM) жүйесін іске қосатын. Екі бағдарламаны да толығымен жою қиын болды және олар басқа зиянды бағдарламалардың пайдалана алатын осал тұстарды жасады. Бағдарламалардың бірі пайдаланушының жеке тыңдау әдеттері туралы ақпаратты тікелей жіберіп тұрды, тіпті егер пайдаланушы соңғы пайдаланушы лицензиялық келісімінен (EULA) бас тартса да, ал екінші бағдарлама EULA-да мүлдем көрсетілмеген. Екі бағдарламаның да кодтары авторлық құқықты бұзатын бірнеше ашық лицензияланған бағдарламалардан алынған, сондай-ақ бағдарламалық құралдың бар екенін жасыру үшін операциялық жүйе конфигурацияланған, нәтижесінде екі бағдарлама да руткиттер ретінде жіктелді. Sony BMG бастапқыда руткиттердің зиянды екенін жоққа шығарды. Кейін ол бағдарламалардың бірін жоюға арналған құралды шығарды, ол бағдарламаның файлдарын ғана көрінетін етіп, сонымен қатар оңай жоюға болмайтын қосымша бағдарламаларды орнатады, пайдаланушыдан электрондық пошта мекенжайын жинады және қосымша қауіпсіздік осал тұстарын енгізді. 2005 және 2006 жылдары болған қоғамдық наразылықтардан, үкіметтік тергеулерден және топтық сот процестерінен кейін Sony BMG тұтынушылармен келісімдер жасау, зардап шеккен CD-лердің шамамен 10% -ын қайтарып алу және 2007 жылдың басында CD көшірмелерін қорғау жұмыстарын тоқтату арқылы жанжалды ішінара шешті.

Өмірбаян

2000 жылдың тамызында Sony Pictures Entertainment АҚШ-тың аға вице-президенті Стив Хеклер 2005 жылдың соңындағы оқиғаларды болжады. Хеклер Америкадағы ақпараттық жүйелер конференциясына қатысушыларға былай деді: «Индустрия өзін және кіріс ағындарын қорғау үшін қажетті барлық қадамдарды жасайды. Ол кіріс ағынынан ешқандай жағдайда айырылмайды. Sony бұған тоқтау салу үшін белсенді шаралар қолданады. Біз жеке пайдаланушының мүмкіндіктерін асыратын технологияны әзірлейміз. Біз Napster-ді бастапқы көзінен тоқтатамыз – сіздің кабельді операторыңызда тоқтатамыз. Сіздің телефон компанияңызда тоқтатамыз. Сіздің интернет-провайдериңізде тоқтатамыз. Сіздің компьютеріңізде қорғаймыз. Бұл стратегиялар өте маңызды болғандықтан, агрессивті түрде іске асырылуда». Еуропада BMG 2001 жылы Натали Имбрульяның «Ақ лилия аралы» атты екінші альбомын ешқандай ескертусіз шығарды, онда CD-де көшірмеден қорғау бар екені көрсетілмеген. Кейін CD дискілері ауыстырылды, ал 2002 жылдың соңындағы есепте BMG компаниясының Еуропада сатылатын барлық CD-дискілерінің көшірмеден қорғаумен жабдықталғаны хабарланды.

Көшірмеден қорғау бағдарламалық жасақтамасы

2005–2007 жылдарғы дауға себеп болған екі авторлық құқықты қорғау бағдарламалық жасақтамасы Sony BMG компаниясы таратқан 22 миллионнан астам дискіге енгізілген. Бұл компания 2004 жылы Sony және BMG компанияларының жазба музыка бөлімшелерінің бірігуінен құрылған. Осы дискілердің шамамен екі миллионында SunnComm компаниясының MediaMax CD 3 бағдарламасы орнатылған, ол пайдаланушыға лицензиялық келісім (EULA) ұсынылғаннан кейін, пайдаланушы оны қабылдаса да, Microsoft Windows немесе macOS жүйесіне орнатылған. Бірақ macOS бағдарламалық жасақтама операциялық жүйені өзгертуге тырысқанда пайдаланушыдан растау сұрады, ал Windows мұндай шара қолданбады.

Өнімді кері қайтарып алу

2005 жылдың 15 қарашасында vnunet.com компаниясы Sony BMG компаниясының көшірмеден қорғау бағдарламалық жасақтамасынан бас тартатынын, сатылмаған CD-дискілерді барлық дүкендерден қайтарып алатынын және тұтынушыларға зардап шеккен CD-дискілерді бағдарламалық жасақтамасы жоқ нұсқаларға айырбастауға мүмкіндік беретінін хабарлады. Electronic Frontier Foundation XCP технологиясы бар CD-лердің ішінара тізімін жасады. Sony BMG көптеген вирустар мен зиянды бағдарламалар туралы хабарларға қарамастан, "пираттыққа қарсы технологиямен байланысты қауіпсіздік тәуекелдері жоқ" деп мәлімдеді. 2005 жылдың 16 қарашасында АҚШ Ішкі қауіпсіздік департаментінің бөлімшесі – US CERT, XCP DRM туралы ескерту жариялады. Онда XCP пайдаланушыдан белгілі бір файлдарды жасыру үшін руткит технологиясын қолданатыны және бұл техника пайдаланушылар үшін қауіпсіздікке қатер төндіретіні айтылды. Сондай-ақ, Sony BMG ұсынған орнатуды алып тастау опцияларының бірі қосымша осалдықтарға әкелуі мүмкін екені хабарланды. US CERT: "Аудио CD сияқты күтпеген жерден бағдарламалық жасақтама орнатылуы мүмкін көздерден бағдарламалық жасақтаманы орнатпаңыз", - деп кеңес берді. Sony BMG саудагерлерге бағдарламалық жасақтаманы қамтитын сатылмаған музыка дискілерін сөрелерден алып тастауды тапсырғанын мәлімдеді. Интернет қауіпсіздігі жөніндегі сарапшы Дэн Камински XCP технологиясы 500 000-нан астам желіде қолданылып жүргенін болжады. Sony BMG-нің XCP FAQ-ға сәйкес, XCP технологиясы бар CD-лерді CD қаптамасының артқы жағындағы "XCP" әріптерінен тануға болады. 2005 жылдың 18 қарашасында Reuters агенттігі Sony BMG компаниясының зардап шеккен, қауіпсіз емес CD-лерді жаңа, қорғалмаған дискілерге және қорғалмаған MP3 файлдарына айырбастайтынын хабарлады. Айырбастау бағдарламасы аясында тұтынушылар XCP қорғалған CD-лерін Sony BMG-ге жіберіп, орнына қорғалмаған дискіні пошта арқылы ала алатын болды. 29 қарашада Нью-Йорк штатының бас прокуроры Элиот Спитцердің тергеушілері 15 қарашадағы қайтарып алу шарасына қарамастан, XCP технологиясы бар Sony BMG CD-лері Нью-Йорк қаласының кейбір музыка дүкендерінде сатылып жатқанын анықтады. Спитцер: "Бұл қауіпті осалдық анықталғаннан кейін үш аптадан астам уақыт өткен соң, осы CD-лер жылдың ең қарбалас сауда күндері сөрелерде тұрғанына қанағаттандыруға болмайды. Барлық саудагерлерді осы өнімдер туралы ескертулерге құлақ асуға, оларды дереу сатудан алып тастауға және Sony компаниясына қайтаруға шақырамын", - деді. Келесі күні Массачусетс штатының бас прокуроры Том Райли 15 қарашадағы Sony BMG-нің қайтарып алу шарасына қарамастан, XCP бар Sony BMG CD-лері Бостон қаласында әлі де қолжетімді екенін мәлімдеді. Ол тұтынушыларға XCP бар Sony BMG CD-лерін сатып алмауға кеңес берді және Sony BMG компаниясын тергеп жатқанын хабарлады. Sony BMG веб-сайтында тұтынушыларға "XCP және MediaMax мазмұнын қорғауға қатысты топтық іс-қимыл туралы ақпарат" сілтемесі, онлайн өтініш беруге арналған форма, сондай-ақ бағдарламалық жасақтаманы жаңартулар мен орнатуды алып тастауға арналған сілтемелер ұсынылды. Өтініш берудің соңғы мерзімі 2007 жылдың 30 маусымы болды. Сайтта оқиғалар туралы түсіндірмелер мен зардап шеккен CD-лердің тізімі де берілген.

On November 15, 2005, vnunet. com announced that Sony BMG was backing out of its copy protection software, recalling unsold CDs from all stores and allowing consumers to exchange affected CDs for versions without the software. The Electronic Frontier Foundation compiled a partial list of CDs with XCP. Sony BMG maintained that "there were no security risks associated with the anti piracy technology" despite numerous virus and malware reports. On November 16, 2005, US CERT, part of the United States Department of Homeland Security, issued an advisory on XCP DRM. It said that XCP uses rootkit technology to hide certain files from the user and that the technique is a security threat to users. They also said that one of the uninstallation options provided by Sony BMG introduces further vulnerabilities. US CERT advised: "Do not install software from sources that you do not expect to contain software, such as an audio CD." Sony BMG announced that it had instructed retailers to remove any unsold music discs containing the software from their shelves. Internet security expert Dan Kaminsky estimated that XCP was in use on more than 500,000 networks. CDs with XCP technology can be identified by the letters "XCP" printed on the back cover of the jewel case for the CD according to SonyBMG's XCP FAQ. On November 18, 2005, Reuters reported that Sony BMG would exchange affected unsecure CDs for new unprotected discs as well as unprotected MP3 files. As a part of the swap program, consumers could mail their XCP protected CDs to Sony BMG and receive an unprotected disc via return mail. On November 29, investigators for New York attorney general Eliot Spitzer found that, despite the recall of November 15, Sony BMG CDs with XCP were still for sale at some New York City music retail outlets. Spitzer said: "It is unacceptable that more than three weeks after this serious vulnerability was revealed, these same CDs are still on shelves, during the busiest shopping days of the year, [and] I strongly urge all retailers to heed the warnings issued about these products, pull them from distribution immediately, and ship them back to Sony." The next day, Massachusetts attorney general Tom Reilly announced that Sony BMG CDs with XCP were still available in Boston despite the Sony BMG recall of November 15. He advised consumers not to purchase the Sony BMG CDs with XCP and said that he was conducting an investigation of Sony BMG. Sony BMG's website offered consumers a link to "Class Action Settlement Information Regarding XCP And MediaMax Content Protection" with online claim filing and links to software updates and uninstallers. The deadline for submitting a claim was June 30, 2007. The website offered an explanation of the events as well as a list of all affected CDs.

Техас штатының әрекеті

2005 жылдың 21 қарашасында Техас штатының бас прокуроры Грег Эбботт Sony BMG компаниясын сотқа берді. Бұл АҚШ штаты атынан тіркелген алғашқы сот ісі және штаттың 2005 жылғы шпиондық бағдарламаларға қарсы заңы бойынша алғашқы іс болды. Ол компания миллиондаған CD-лерге шпиондық бағдарламаны құпия түрде орнатты деген айып тағылды. 2005 жылдың 21 желтоқсанында Эбботт сотқа қосымша талаптар қосты, MediaMax компаниясы штаттың шпиондық бағдарламалар мен адаспаздық сауда амалдарына қатысты заңдарын бұзғанын мәлімдеді, себебі MediaMax бағдарламалық қамтамасы пайдаланушы лицензиялық келісімге келіспесе де компьютерге орнатылатын. Эбботт: «Біз Sony компаниясының тек музыка сатып алып жатыр деп ойлаған Техас тұтынушыларын алдау үшін қолданған қосымша тәсілдерін анықтап жатырмыз» және «Мыңдаған техастықтар енді Sony компаниясының тұтынушылармен өз мақсаттары үшін ойнаған бұл адаспаздық ойынының болуы мүмкін құрбандарына айналды» деді. 2005 жылғы Тұтынушыларды компьютерлік шпиондық бағдарламалардан қорғау туралы заңның әрбір бұзушылығы үшін 100 000 АҚШ доллары көлемінде азаматтық айыптар қарастырған болатын, ал жаңартылған сот ісіне қосылған жаңа бұзушылықтар әрбір бұзушылығы үшін 20 000 АҚШ долларына дейін айып салуға әкелді. Sony компаниясы Техасқа 750 000 доллар заңгерлік шығындарды төлеуге, зардап шеккен CD-лерді қайтаруды қабылдауға, өзінің бас бетіне назар аударатын егжей-тегжейлі хабарлама орналастыруға, Google, Yahoo! және MSN арқылы жарнама жасау арқылы тұтынушыларды ескерту үшін «кілт сөздерін сатып алуға», зақымдалған компьютер үшін 150 долларға дейін төлеуге және басқа да түзетулерге келісуге міндеттелді. Sony BMG сонымен қатар сот шешімінің қандай да бір жағдайда соттың мақұлдауы болып табылатыны туралы ешқандай талап-дағды қоймауға келісті.

Нью-Йорк пен Калифорнияның топтық іс-әрекеттері

Sony BMG компаниясына қарсы Нью-Йорк және Калифорнияда топтық сот процесі қозғалды. 2005 жылдың 30 желтоқсанында New York Times газеті Sony BMG компаниясы сот процесін уақытша реттеуге келісімге келгенін, сондай-ақ зардап шеккен CD-дискілерді сатып алған тұтынушыларға өтемақы төлеудің екі жолын ұсынғанын хабарлады. Ұсынылған келісімге сәйкес, XCP CD сатып алғандарға әрбір сатып алынған жазба үшін 7,50 доллар төленеді және егер олар ақшалай сыйлықтан бас тартса, шектеулі тізімдегі жазбалардан тегін альбомды немесе үш қосымша альбомды жүктеу мүмкіндігі беріледі. Аудандық судья Наоми Райс Бухвальд 2006 жылдың 6 қаңтарында бұл келісімді алдын ала мақұлдаған бұйрық шығарды. Бұл келісім компьютерлері жұқтырған, бірақ басқа зақымдар көрмеген адамдарға өтемақы төлеу үшін жасалған. Топтық сотқа қатысты емес зиянды өтеуді талап ететін адамдар келісімнен бас тарта алады және өздерінің ісін жеке қозғауға құқылы. 2006 жылдың 22 мамырында Нью-Йоркте әділеттілік отырысы өтті. Өтініштерді 2006 жылдың 31 желтоқсанына дейін ұсыну қажет болды. Келісімнен шығуды қалаған топ мүшелері 2006 жылдың 1 мамырына дейін өтініш беруі керек еді. Келісімге қатысушылар өз қаражатында сот отырысына қатысып, өздерінің пікірін білдіре алады немесе адвокат арқылы өкілдік етуге құқылы.

Басқа іс-қимылдар

Италияда ол (EFF-ке ұқсас қауымдастық) да rootkit туралы Қаржы полициясына хабарлап, түрлі компьютерлік қылмыстар бойынша тергеу жүргізуді және rootkit-тің техникалық талдауын сұрады. АҚШ Әділет министрлігі Sony компаниясына қарсы қылмыстық шаралар қолдану жоспары туралы ешқандай мәлімдеме жасаған жоқ. Алайда, Ішкі қауіпсіздік департаментінің өкілі Стюарт Бейкер Sony компаниясын "Бұл сіздің интеллектуалдық меншігіңіз – бұл сіздің компьютеріңіз емес" деп айыптап ескертті. 21 қарашада EFF XCP және SunnComm MediaMax DRM технологиялары бойынша сотқа жүгінгенін хабарлады. EFF-тің талап арызы Sony BMG компаниясының соңғы пайдаланушыға арналған лицензиялық келісімшартымен байланысты мәселелерді де қамтыды. 2005 жылдың 24 желтоқсанында Флорида штатының бас прокуроры Чарли Кристаның Sony BMG шпиондық бағдарламасын тергеп жатқаны туралы ақпарат тарады. 2007 жылдың 30 қаңтарында АҚШ Федералды сауда комиссиясы (FTC) Sony BMG компаниясымен келісімге келді, оған CD-нің көшірмелерін қорғау федералды заңды бұзғаны үшін айып тағылды – Федералды сауда комиссиясы актісінің 5(a) тармағы, 15 USC 45(a) – бұл әділетсіз және алдауға құрылған бизнес тәжірибесі болып саналды. Келісімге сәйкес Sony BMG компаниясы тұтынушыларға олардың келісімінсіз орнатылған бағдарламалық жасақтаманы жоюға тырысу салдарынан келген зиянды өтеу үшін 150 долларға дейін төлеуге міндетті болды.

Авторлық құқықтарды бұзу

Зерттеушілер Sony BMG және XCP жасаушылары бағдарламада қолданылған әртүрлі ашық және еркін бағдарламалық құралдардың лицензиялық талаптарын сақтамағандықтан авторлық құқықты бұзғандықтарын анықтады, оның ішінде LAME MP3 кодегі, mpglib, FAAC, id3lib, mpg123 және VLC медиа плеері. 2006 жылдың қаңтар айында LAME жасаушылары Sony BMG-ден «тиісті шаралар» күтетінін білдірген ашық хат жариялады, бірақ LAME-тің бастапқы код лицензиясының бұзылуын зерттеу немесе шаралар қабылдау ниетінде емес екенін мәлімдеді.

Компания және баспасөз хабарламалары

Руссиновичтің есебі жарияланғалы кейін бірден танымал блогтарда талқыланды. 2005 жылғы 4 қарашада NPR осы оқиға туралы хабарлаған алғашқы ірі жаңалықтар агенттіктерінің бірі болды. Sony BMG компаниясының әлемдік цифрлық бизнестің президенті Томас Гессе: «Менің ойымша, көптеген адамдар руткит дегеннің не екенін білмейді, сондықтан олар неге оған алаңдауы керек?» деді. 2005 жылғы 7 қарашадағы vnunet.com мақаласында Руссиновичтің тұжырымдамасы баяндалды және тұтынушыларға Sony BMG музыкалық дискілерін сатып алудан уақытша бас тартуға кеңес берілді. Келесі күні The Boston Globe бағдарламалық қамтамасты шпиондық бағдарлама ретінде жіктеді, ал Computer Associates компаниясының қауіпсіздік басқару бөлімінің вице-президенті Стив Карри руткиттің тұтынушылардың компьютерлерінен жеке ақпаратты (ойнатылып жатқан дискі және пайдаланушының IP-адресі) Sony BMG-ге жібергенін растады. Бағдарламаның анықталудан қашу үшін қолданған әдістері дерек ұрлықтары қолданған әдістермен салыстырылды. 2005 жылғы 8 қарашада Computer Associates Sony BMG бағдарламалық қамтамасын шпиондық бағдарлама ретінде жіктеді және оны жоюға арналған құралдар ұсынды. Руссинович: «Олар бұл қадамды дереу жасауы керек еді», - деді. Sony BMG компаниясының жасырын технологиясын пайдаланып, зиянды файлдарды пайдаланушы мен антивирустық бағдарламалардан жасыратын алғашқы вирус 2005 жылғы 10 қарашада пайда болды. Бір күннен кейін Yahoo! News Sony BMG компаниясының даулы технологияны таратқанды тоқтатқанын хабарлады. ZDNet News: «Соңғы тәуекел SunnComm Technologies компаниясы таратқан, Sony BMG-нің басқа да шығарылымдарында көшірмеден қорғауды қамтамасыз ететін бағдарламадан туындайды». Бұл бағдарлама басқаларға «бағдарлама қолданылған компьютерлерді басқаруға» мүмкіндік береді. 2005 жылғы 6 желтоқсанда Sony BMG MediaMax 5 бағдарламалық қамтамасымен жабдықталған 5,7 миллион дискі, 27 атауды қамтитынын хабарлады. Компания тұтынушылардың компьютерлеріндегі қауіпсіздік бұзушылығының алдын алу үшін жаңа бағдарламалық жабдықтың жаңа нұсқасын ұсынды. Австралиядағы Sony BMG компаниясы баспасөз хабарламасында Австралияда өндірілген Sony BMG дискілерінде көшірмеден қорғау технологиясы жоқ екенін мәлімдеді.

Russinovich's report was discussed on popular blogs almost immediately following its release. NPR was one of the first major news outlets to report on the scandal on November 4, 2005. Thomas Hesse, Sony BMG's president of global digital business, said: "Most people, I think, don't even know what a rootkit is, so why should they care about it?" In a November 7, 2005 article, vnunet. com summarized Russinovich's findings and urged consumers to temporarily avoid purchasing Sony BMG music CDs. The following day, The Boston Globe classified the software as spyware, and Computer Associates' Security Management unit VP Steve Curry confirmed that the rootkit communicates personal information from consumers' computers (the CD being played and the user's IP address) to Sony BMG. The methods used by the software to avoid detection were likened to those used by data thieves. On November 8, 2005, Computer Associates classified Sony BMG's software as spyware and provided tools for its removal. Russinovich said: "This is a step they should have taken immediately." The first virus to exploit Sony BMG's stealth technology to make malicious files invisible to both the user and antivirus programs surfaced on November 10, 2005. One day later, Yahoo! News announced that Sony BMG had suspended further distribution of the controversial technology. ZDNet News wrote: "The latest risk is from an uninstaller program distributed by SunnComm Technologies, a company that provides copy protection on other Sony BMG releases." The uninstall program obeys commands sent to it allowing others "to take control of PCs where the uninstaller has been used." On December 6, 2005, Sony BMG revealed that 5.7 million CDs spanning 27 titles were shipped with MediaMax 5 software. The company announced the availability of a new software patch to prevent a potential security breach in consumers' computers. Sony BMG in Australia issued a press release indicating that no Sony BMG titles manufactured in Australia contained copy protection.