Second life inwoners zijn naieve wezentjes
De laatste dagen is er paniek in second life, de virtuele wereld van het bedrijf Linden Labs. Wat blijkt, het protocol dat de communicatie tussen de second life servers en de second life client verzorgt is zo lek als een mandje. Een groepje enthousiaste second life inwoners hebben een open source implementatie van dit protocol gemaakt, en daarmee ook een heleboel bugs in het protocol boven water gehaald.
De reden van de paniek: met de bugs is het mogelijk objecten (bijvoorbeeld virtuele t-shirts, virtuele auto’s of complete virtuele huizen) te copieren, zonder daarvoor toestemming van de eigenaar voor te krijgen.
Twee dingen vallen me op in de discussie die vervolgens wordt gevoerd. Ten eerste blijken een heleboel second life bewoners te denken dat het in de virtuele wereld net zo werkt als in de echte wereld: je hebt een object, en om het object na te maken moet je toch wat moeite doen. Zo kun je niet met 1 druk op de knop een t-shirt of een in het echte leven namaken. Maar in second life bestaat alles uit informatie, uit bits & bytes. En informatie wil nu eenmaal vrij zijn, is makkelijk te copieren.
Ten tweede, ze blijken bijna allemaal voorstanders van ‘security by obscurity’. Ze willen de ontwikkeling van libsecondlife, de open source variant van het protocol, stopzetten. Hun bezwaar is dat libsecondlife de bugs die zij ontdekken openbaar maken. Blijkbaar willen ze liever dat dit in het geniep gebeurd, want iedereen met een beetje kennis van zaken kan de verbinding tussen server en client afluisteren en zo het protocol ‘reverse engineeren’ (oftewel: de specificatie van het protocol opbouwen aan de hand van waarneming van de werking van het protocol). Dit geeft een vals gevoel van veiligheid, ‘niemand weet dat het gebeurd dus het gebeurd niet’. Vergelijk het met het verstoppen van een kluis met waardevolle juwelen, zonder deze op slot te draaien. Hoewel het in eerste instantie lijkt dat de juwelen veilig zijn, niemand kan ze immers vinden, ben je toch mooi je juwelen kwijt als iemand toch de kluis vind!
De discussie bevestigd weer eens mijn indruk dat second life vol zit met kapitalistjes die hier geld uit willen slaan. Mischien is het wel een vergissing om echt geld aan het virtuele geld te koppelen. Als iets misbruik aanmoedigd, dan is het wel de mogelijkheid geld te verdienen. En de techniek achter second life is nu eenmaal nog lang niet volwassen genoeg om echt veilig te zijn. Er zijn overigens ook een heleboel alternatieven voor second life, zowel commercieel als vrij.
