Ένα κλειδί ενεργοποίησης δεν είναι άδεια χρήσης. Πώς μπορείτε να επαληθεύσετε την προέλευση του μεταχειρισμένου λογισμικού;

Αυτή η συνέντευξη με τον ειδικό στις άδειες χρήσης Igor Weinlich αναδεικνύει τους νομικούς κινδύνους από την αγορά κλειδιών ενεργοποίησης λογισμικού χωρίς τεκμηρίωση μεταβίβασης και εξηγεί πώς οι οργανισμοί μπορούν να εντοπίζουν πλαστές άδειες ώστε να διασφαλίζουν πλήρη συμμόρφωση.

Πώς μπορείτε να αναγνωρίσετε το νόμιμο μεταχειρισμένο λογισμικό και να αποφύγετε έναν πωλητή που παραδίδει απλώς ένα κλειδί ενεργοποίησης αντί για άδεια χρήσης; Ο Igor Weinlich, ειδικός σε θέματα αδειοδότησης στη Forscope, μοιράζεται την εμπειρία του σχετικά με τον έλεγχο προσφορών και εγγράφων μεταβίβασης αδειών. Εξηγεί ποιες ασυμφωνίες θα πρέπει να κινήσουν υποψίες και γιατί ακόμη και μια φαινομενικά αυθεντική τεκμηρίωση ενδέχεται να μην αποτελεί εγγύηση.

Πόσο μεγάλο πρόβλημα αποτελεί η γκρίζα αγορά αδειών και η μεμονωμένη πώληση κλειδιών ενεργοποίησης;

Το βασικό πρόβλημα είναι ότι ο πελάτης συχνά δεν μπορεί να διακρίνει τη διαφορά μεταξύ ενός κλειδιού και μιας άδειας χρήσης. Ένα κλειδί είναι ένας συνδυασμός γραμμάτων και αριθμών που ξεκλειδώνει ένα πρόγραμμα. Ωστόσο, αυτό δεν σημαίνει ότι ο κάτοχός του έχει το δικαίωμα χρήσης του λογισμικού. Για να το έχει αυτό, χρειάζεται μια νομική βάση. Ο χρήστης πρέπει να είναι σε θέση να αποδείξει ότι αγόρασε νομότυπα το λογισμικό ως καινούργιο ή ότι το δικαίωμα χρήσης του τού μεταβιβάστηκε νόμιμα. Αυτή ακριβώς η εξουσιοδότηση αποτελεί την ουσία μιας άδειας χρήσης. Εάν ένας πελάτης αγοράσει μόνο ένα κλειδί χωρίς τεκμηριωμένα δικαιώματα χρήσης, μπορεί τεχνικά να ξεκλειδώσει το πρόγραμμα, αλλά το ίδιο το κλειδί δεν του παρέχει το δικαίωμα να το χρησιμοποιεί.

Επομένως, μπορεί ένας πελάτης να διαθέτει λειτουργικό λογισμικό και παρ' όλα αυτά να μην έχει το δικαίωμα χρήσης του;

Ναι. Και ο κίνδυνος που συνδέεται με μια τέτοια χρήση βαρύνει τον τελικό πελάτη. Η πώληση ενός κλειδιού από μόνη της είναι κάτι εντελώς διαφορετικό από την πώληση μιας άδειας — δηλαδή, του δικαιώματος χρήσης του λογισμικού. Ορισμένοι πελάτες που αγοράζουν μεταχειρισμένο λογισμικό παραπλανώνται· άλλοι μπορεί να το κάνουν εν γνώσει τους. Ωστόσο, συχνά υποθέτουν ότι αν διαθέτουν τιμολόγιο, έχουν αυτόματα και το δικαίωμα χρήσης του λογισμικού. Η απλούστερη μορφή αυτού του εμπορίου είναι όταν ένας απατηλός πωλητής προσφέρει, για παράδειγμα, το νεότερο Office 2024 για ένα δολάριο, ένα ευρώ ή ίσως διακόσιες κορώνες. Παράλληλα, αναφέρει ρητά ότι πουλάει κλειδί ή συνδυάζει τους όρους «κλειδί» και «άδεια».

Όσον αφορά τους πελάτες, μιλάμε για ιδιώτες χρήστες ή και για εταιρείες;

Και για τις δύο κατηγορίες. Η διαφορά έγκειται κυρίως στην αντίληψη του κινδύνου. Οι εταιρείες ανησυχούν περισσότερο για το ενδεχόμενο ενός ελέγχου συμμόρφωσης (audit) που θα εξετάσει εάν χρησιμοποιούν το λογισμικό νόμιμα. Για να είμαστε ειλικρινείς, για έναν ιδιώτη χρήστη, ο κίνδυνος να ελέγξει κάποιος το λογισμικό στον οικιακό υπολογιστή του είναι μάλλον θεωρητικός. Για τις εταιρείες, ο κίνδυνος είναι πολύ μεγαλύτερος. Ταυτόχρονα, τίθεται το ζήτημα της ευθύνης για την αγορά και τη χρήση — εάν ευθύνεται ο υπάλληλος IT που προμηθεύτηκε το λογισμικό, το άτομο που ενέκρινε ή πλήρωσε για την αγορά ή η εταιρεία στο σύνολό της.

Η πώληση προβληματικών κλειδιών περιορίζεται μόνο σε φθηνές προσφορές στο διαδίκτυο ή αφορά και μεγαλύτερα καταστήματα;

Έχει ήδη αρχίσει να διεισδύει και στις δημόσιες συμβάσεις. Έχουμε συναντήσει περιπτώσεις όπου οι πωλητές δημιουργούν πλαστή τεκμηρίωση για το κλειδί. Αρχικά έχουν ένα κλειδί και, για να το συνοδεύσουν, επινοούν πρόσθετα δικαιολογητικά έγγραφα με στόχο να δημιουργήσουν την εντύπωση ότι πρόκειται για κανονική άδεια. Στη συνέχεια, πωλούν το προϊόν ως μεταχειρισμένο λογισμικό με τεκμηριωμένη αλυσίδα μεταβιβάσεων. Είτε επινοούν αυτή την αλυσίδα είτε χρησιμοποιούν πολλές εταιρείες μέσω των οποίων το μεταπωλούν ώστε να φαίνεται πως υπάρχει κάποια αλυσίδα. Οι τιμές είναι, φυσικά, εξαιρετικά χαμηλές.

Είναι δύσκολο να αποκαλυφθεί μια τέτοια πλαστή τεκμηρίωση;

Η νομιμότητα μιας μεταβίβασης αποδεικνύεται με έγγραφα. Ωστόσο, παραδόξως, στις γνήσιες μεταχειρισμένες άδειες χρήσης μπορεί να είναι δύσκολο να εξασφαλιστούν τα πρωτότυπα, επειδή έχουν περάσει πολλά χρόνια από την αρχική αγορά. Για παράδειγμα, μπορεί να πωλούνται άδειες που αγοράστηκαν αρχικά ως Office 2016, αλλά επειδή ο πελάτης πλήρωνε για συνεχή αναβάθμιση — το λεγόμενο Software Assurance — έχει πλέον το δικαίωμα για την τελευταία έκδοση, το Office 2024. Ενδέχεται, όμως, να μην διαθέτει πλέον το αρχικό έγγραφο από το 2016, καθώς δεν διατηρούσε τα παραστατικά αγοράς επί μία δεκαετία. Επομένως, για την απόδειξη της νόμιμης προέλευσης χρησιμοποιούνται επίσης αντίγραφα ή αποσπάσματα από διάφορες πύλες (portals).

Ποιες άλλες περιπλοκές συνοδεύουν την πώληση μεταχειρισμένων αδειών;

Ένας πωλητής που πλαστογραφεί έγγραφα μπορεί σήμερα εύκολα να δημιουργήσει ένα παραστατικό που με την πρώτη ματιά φαίνεται άψογο. Έχει χρώματα, προσεγμένη εμφάνιση και δείχνει αυθεντικό. Ωστόσο, η όψη του εγγράφου από μόνη της δεν λέει τίποτα για το αν το περιεχόμενό του είναι αληθές. Για τον αγοραστή, συχνά αρκεί το γεγονός ότι λαμβάνει έγγραφα και πιστεύει όσα αναγράφονται σε αυτά. Όμως, δεν μπαίνει στη διαδικασία να τηλεφωνήσει στην αρχική εταιρεία για να επαληθεύσει αν όντως πούλησε τον συγκεκριμένο αριθμό αδειών σε άλλη οντότητα. Επομένως, το πρόβλημα δεν είναι μόνο αν υπάρχει τεκμηρίωση. Είναι απαραίτητο να επαληθεύεται εάν αυτή ανταποκρίνεται στην πραγματικότητα. Κάτι που συχνά δεν συμβαίνει.

Από πού προέρχονται στην πραγματικότητα τα κλειδιά στη γκρίζα αγορά; Είναι πραγματικά κλειδιά για συγκεκριμένο λογισμικό ή κάποιο είδος πλαστών «master keys»;

Στο διαδίκτυο, τα κλειδιά μπορούν να αποκτηθούν από διάφορες πηγές. Ωστόσο, για να γίνει κατανοητό, χρειάζεται να εξηγήσουμε πώς λειτουργούν οι ομαδικές άδειες χρήσης (volume licenses). Στη Forscope, πουλάμε διαρκείς άδειες χρήσης από προγράμματα ομαδικής αδειοδότησης, όπου ένα μόνο κλειδί μπορεί να ενεργοποιήσει, για παράδειγμα, χίλιες συσκευές. Επομένως, δεν υπάρχουν χίλια μοναδικά κλειδιά, αλλά ένα κοινόχρηστο κλειδί. Παράνομα κλειδιά μπορούν να αγοραστούν, για παράδειγμα, στην Κίνα, στο eBay ή αλλού. Μπορεί να είναι διαφόρων τύπων και να επιτρέπουν, ας πούμε, αρκετές εκατοντάδες ενεργοποιήσεις. Για όσους εμπορεύονται αποκλειστικά κλειδιά, αυτό είναι αρκετό για την επιχείρησή τους.

Επομένως, ο αριθμός των ενεργοποιήσεων δεν αντιστοιχεί απαραίτητα στον αριθμό των αδειών που πραγματικά κατέχει ο πελάτης;

Η ίδια η ενεργοποίηση δεν αποτελεί απόδειξη του δικαιώματος χρήσης του λογισμικού. Ένα κλειδί μπορεί να έχει, για παράδειγμα, τριακόσιες έως πεντακόσιες ενεργοποιήσεις. Αφού εξαντληθούν, ο κατασκευαστής του λογισμικού είτε προσθέτει περισσότερες είτε το κλειδί αντικαθίσταται. Μπορούμε κι εμείς να παρέχουμε στον πελάτη διαφορετικό κλειδί, εάν εξαντληθεί το όριο ενεργοποιήσεων του αρχικού κλειδιού. Αυτό, όμως, δεν αλλάζει τη νομική βάση για τη χρήση του λογισμικού.

Θα το παρομοίαζα με ένα αυτοκίνητο. Όταν χάνετε ένα κλειδί ή φθαρεί, φτιάχνετε ένα καινούργιο. Με αυτό ανοίγετε και βάζετε μπροστά το αυτοκίνητο. Το ίδιο το κλειδί, όμως, δεν αποδεικνύει ότι έχετε το δικαίωμα να χρησιμοποιείτε το αυτοκίνητο. Σε έναν έλεγχο, δεν αρκεί να δείξετε ότι ταιριάζει στη μίζα. Χρειάζεστε τα σχετικά νομιμοποιητικά έγγραφα.

Πώς μετατρέπουν οι επιτήδειοι πωλητές ένα τέτοιο κλειδί σε προσφορά για μια υποτίθεται νόμιμη άδεια;

Σε δοκιμαστικά κλειδιά, κλεμμένα κλειδιά ή κλειδιά που προέρχονται από την Κίνα ή άλλες χώρες εκτός της Ευρωπαϊκής Ένωσης, προσθέτουν πλαστή τεκμηρίωση με σκοπό να αποδείξουν την ευρωπαϊκή προέλευση της άδειας. Στη συνέχεια, τα πωλούν ως μεταχειρισμένο λογισμικό. Ορισμένοι προχωρούν ακόμη παραπέρα και ισχυρίζονται ότι πωλούν καινούργιο λογισμικό. Υποστηρίζουν ότι παρόλο που κάποιος αγόρασε ήδη την άδεια, το λογισμικό δεν έχει εγκατασταθεί ποτέ. Από νομική άποψη, αυτό είναι ανυπόστατο. Ο καθοριστικός παράγοντας είναι ότι κάποιος αγόρασε το δικαίωμα χρήσης του λογισμικού και τώρα μεταβιβάζει αυτό το δικαίωμα περαιτέρω. Το αν το λογισμικό εγκαταστάθηκε ή ενεργοποιήθηκε ποτέ δεν έχει καμία σημασία για τη διάκριση μεταξύ καινούργιου και μεταχειρισμένου λογισμικού.

Τι παρέχουν στον πελάτη όταν ισχυρίζονται ότι πρόκειται για καινούργιο λογισμικό;

Μερικές φορές μόνο ένα τιμολόγιο. Το συναντάμε συχνά αυτό στην Πολωνία, για παράδειγμα. Όταν ο νέος αγοραστής ζητά τεκμηρίωση, ο πωλητής απαντά: «Αυτές είναι καινούργιες άδειες. Ορίστε το τιμολόγιό σας, αυτό σας αρκεί».

Αναφέρατε ότι το πρόβλημα των πλαστών αδειών επηρεάζει και τις δημόσιες συμβάσεις. Τι σας οδηγεί σε αυτό το συμπέρασμα;

Επικοινωνούμε με δημόσιους φορείς υποβάλλοντας αιτήματα βάσει του νόμου για την ελεύθερη πρόσβαση σε πληροφορίες. Όπου υποπτευόμασταν πρόβλημα, ρωτούσαμε τι τους παραδόθηκε και πώς το έλεγξαν. Οι απαντήσεις είναι μερικές φορές αρκετά ασαφείς. Σε μία περίπτωση, ωστόσο, μέσα στην ίδια τη δημοσιευμένη σύμβαση, βρήκαμε στοιχεία που ανέφεραν ότι ο φορέας αγόρασε το Office 2024 Standard μέσω του προγράμματος Enterprise Agreement. Επισημάναμε, λοιπόν, ότι το Office 2024 Standard δεν προσφερόταν καθόλου σε αυτό το πρόγραμμα και ότι στο Enterprise Agreement ήταν δυνατή η αγορά μόνο της ανώτερης έκδοσης, Professional Plus.

Πώς αντέδρασε ο φορέας στην επισήμανση;

Αρχικά δεν ασχολήθηκαν. Μόνο όταν προσπαθήσαμε να τους εξηγήσουμε το πρόβλημα με ένα απλό παράδειγμα — ότι είναι σαν να αγοράζεις διαμέρισμα στον δέκατο όροφο ενός κτιρίου που έχει μόνο πέντε ορόφους — άρχισαν να διευθετούν την κατάσταση με τον προμηθευτή. Η τελευταία απάντηση που λάβαμε ήταν ότι οι διαπραγματεύσεις μαζί του συνεχίζονται. Εδώ μιλάμε για περίπου δυόμισι εκατομμύρια κορώνες που πληρώθηκαν για κάτι που απλώς δεν υπάρχει στη συγκεκριμένη μορφή.

Υποθέτω ότι από την πλευρά του αγοραστή επρόκειτο για υπερβολική εμπιστοσύνη ή άγνοια παρά για δόλο.

Μπορεί να ήταν άγνοια, αλλά κατά τη γνώμη μου, ένας επαγγελματίας IT οφείλει να γνωρίζει αυτά τα βασικά πράγματα, ειδικά όταν είναι υπεύθυνος για ολόκληρο το IT του φορέα.

Πώς μπορεί να αναγνωριστεί μια προβληματική προσφορά; Τι πρέπει να ελέγξει ο πελάτης;

Στη Forscope, η προσέγγισή μας είναι ότι πρέπει να δούμε τα έγγραφα. Όταν τα έχουμε στη διάθεσή μας, μπορούμε να εντοπίσουμε λάθη σε αυτά. Ο συνάδελφός μας που είναι υπεύθυνος προμηθειών γνωρίζει πώς πρέπει να μοιάζουν τα συνοδευτικά έγγραφα, ποιοι αριθμοί έχουν νόημα και πώς προσδιορίζονται οι επιμέρους συμβάσεις αδειοδότησης. Ένας συνηθισμένος πελάτης που βλέπει μια τέτοια τεκμηρίωση για πρώτη φορά έχει πολύ λιγότερες πιθανότητες να εντοπίσει ασυμφωνίες. Ωστόσο, ορισμένα λάθη μπορούν να αναγνωριστούν ακόμη και χωρίς βαθιά γνώση των αδειών χρήσης. Για παράδειγμα, όταν τα έγγραφα αναφέρουν ότι κάποιος αγόρασε το Office 2024 πίσω στο 2022, όταν αυτό το προϊόν δεν υπήρχε καν. Στην τεκμηρίωση ενός δημόσιου διαγωνισμού, εντοπίσαμε επίσης μεταβίβαση αδειών σε μια εταιρεία σε χρονική στιγμή κατά την οποία η εταιρεία δεν είχε καν ιδρυθεί.

Έχετε καταγράψει άλλα παραδείγματα;

Περιστασιακά προχωρώ σε αγορές ύποπτου λογισμικού, τις οποίες στη συνέχεια χρησιμοποιώ για την εκπαίδευση των εκπροσώπων πωλήσεών μας. Ένα συγκεκριμένο παράδειγμα θα μπορούσε να αναφερθεί εδώ. Έρχονται μερικές φορές και μου λένε ότι κάποιος προσφέρει το ίδιο προϊόν με εμάς, αλλά στη μισή τιμή. Τους λέω: «Εντάξει, ας δούμε τι πραγματικά πουλάνε». Ζητώ ένα τέτοιο προϊόν και αγοράζω μια άδεια. Φυσικά, με ενδιαφέρει εξίσου όλη η συνοδευτική τεκμηρίωση που λαμβάνω. Μερικές φορές, ακόμη και από τις απαντήσεις τους, είναι ξεκάθαρο ότι ο πωλητής δεν ξέρει τι πουλάει. Αυτά που γράφει δεν συμβαδίζουν με τις δυνατότητες του συγκεκριμένου προγράμματος αδειοδότησης. Άλλες φορές έχω την εντύπωση ότι απαντά ένα bot στη συνομιλία. Αυτές οι εταιρείες αποτελούνται συχνά από ένα μόνο άτομο. Ο κίνδυνος για μια τέτοια «επιχείρηση» ελαχιστοποιείται με αυτόν τον τρόπο.

Τι κινδύνους αντιμετωπίζει ρεαλιστικά ένας πελάτης που αγοράζει ένα προβληματικό κλειδί και αρχίζει να χρησιμοποιεί το λογισμικό; Και ποια είναι η ευθύνη του πωλητή;

Θα διέκρινα δύο καταστάσεις. Εάν κάποιος πουλάει ανοιχτά μόνο ένα κλειδί και ο πελάτης αγοράζει απλώς ένα κλειδί, κατά τη γνώμη μου ο πωλητής δεν διατρέχει μεγάλο κίνδυνο. Ωστόσο, αν προσφέρει άδεια χρήσης και αντ' αυτού παρέχει μόνο ένα κλειδί με πλαστή τεκμηρίωση, εκεί βλέπω ήδη απάτη. Παραπλανούν τον πελάτη παρουσιάζοντάς του έγγραφα ως απόδειξη νόμιμης προέλευσης.

Φτάνουμε όμως στο ερώτημα ποιος υπέστη ζημία και σε ποιο ύψος. Από τη μία πλευρά, ζημιώνεται αυτός που αγόρασε τέτοιο λογισμικό και, από την άλλη πλευρά, ο ίδιος ο κατασκευαστής του, ο οποίος ωστόσο μπορεί να μην έχει το κίνητρο να διεκδικήσει την αποκατάσταση τέτοιων ζημιών.

Δηλαδή, οι πωλητές προβληματικών κλειδιών που συμμετέχουν σε δημόσιες συμβάσεις λειτουργούν ως κανονικές εταιρείες;

Ναι. Πρόκειται για κανονικά συσταθείσες εταιρείες, συχνά με έναν μόνο διαχειριστή. Το άτομο αυτό μπορεί να έχει δύο ή τρεις άλλες εταιρείες μέσω των οποίων δημιουργεί μια αλυσίδα μεταβιβάσεων. Στη συνέχεια υποβάλλουν προσφορά σε δημόσιο διαγωνισμό και ανταγωνίζονται όπως κάθε άλλος προμηθευτής.

Τι θα πρέπει να ακολουθήσει εάν τα έγγραφα φαίνονται αξιόπιστα με την πρώτη ματιά;

Εξακολουθεί να ισχύει ότι είναι απαραίτητο να επαληθευτεί το περιεχόμενό τους. Εάν στην τεκμηρίωση αναφέρεται κάποιος προμηθευτής, μπορείτε να επικοινωνήσετε μαζί του τηλεφωνικά ή μέσω email και να ρωτήσετε εάν ο αριθμός τιμολογίου και το καθορισμένο προϊόν πράγματι αντιστοιχούν. Φυσικά, μπορεί να απαντήσουν ότι πρόκειται για εμπορικό απόρρητο.

Πώς επαληθεύει η Forscope τη νομιμότητα των δικών της αδειών; Πώς προχωράτε;

Ακριβώς όπως μόλις περιέγραψα. Ελέγχουμε διεξοδικά τους προμηθευτές μας και επαληθεύουμε την αλυσίδα μεταβιβάσεων. Τηλεφωνούμε στις επιμέρους εταιρείες και διαπιστώνουμε αν οι αναφερόμενες συμβάσεις αδειοδότησης υπήρχαν στην πραγματικότητα. Πραγματοποιούμε τον έλεγχο εκ των προτέρων. Εναλλακτικά, εμπλέκουμε έναν ανεξάρτητο ελεγκτή, ο οποίος επαληθεύει τις άδειες και συντάσσει σχετική έκθεση.

Περιγράψαμε πώς δρουν όσοι εμπορεύονται απλά «κλειδιά» και ουσιαστικά προσφέρουν παράνομα προϊόντα. Από την άλλη πλευρά, πώς μοιάζει η εμπορία σωστά τεκμηριωμένων μεταχειρισμένων αδειών χρήσης;

Οι εταιρείες που εξαγοράζουν άδειες διοργανώνουν δημοπρασίες. Εξαγοράζουν άδειες από μια συγκεκριμένη σύμβαση και στη συνέχεια προσφέρουν μεμονωμένα πακέτα λογισμικού. Μπορεί κανείς να εγγραφεί στη δημοπρασία και να αγοράσει άδειες. Έτσι, είναι εμφανές ποιος συμμετέχει σε αυτές τις δημοπρασίες και ποιος αγοράζει. Εντός της ΕΕ, η Γερμανία αποτελεί σημαντική πηγή μεταχειρισμένων αδειών χρήσης. Κι εμείς, εκτός από τις απευθείας εξαγορές, πραγματοποιούμε αγορές από Γερμανούς συνεργάτες.

Εάν μια εταιρεία διαπιστώσει ότι έχει αγοράσει προβληματικό λογισμικό, μπορεί αυτό να νομιμοποιηθεί εκ των υστέρων;

Όχι. Ούτε μια απομίμηση τσάντας μπορείτε να νομιμοποιήσετε εκ των υστέρων.