De iPad-kranten van De Telegraaf, NRC Handelsblad, nrc.next en het Reformatorisch Dagblad zijn zonder te betalen eenvoudig te downloaden. De cloudopslag van de krantenpagina's is niet beveiligd.
De link die in de code wordt aangetroffen leidt naar de server waar een gecomprimeerd bestand staat die de pagina's aan de app-gebruiker serveert. Die pagina's zijn zonder een krant te hebben aangeschaft als thumbnail te zien in de applicaties. Pas na betaling worden de beelden met hoge resolutie ontsloten door de app. Maar via een omweg zijn de volledige kranten ook gratis te lezen.
Daarvoor is een iPad niet nodig. De code van de applicaties kan bekeken worden nadat de app is gedowload via iTunes.
Kinderlijk eenvoudig
Het gat in het systeem is ontdekt door Henri Hoogeveen, een student productontwikkeling, die zelf zegt niet heel erg technisch te zijn. Volgens hem is het "eigenlijk kinderlijk eenvoudig" om op deze manier bij de bestanden te komen. Hoogeveen was benieuwd hoe de apps in elkaar zaten. "Er kwam opeens een link naar voren waardoor je een overzicht van de bestanden krijgt", legt hij uit.
Uit een controle van Webwereld blijkt dat dit inderdaad mogelijk is bij De Telegraaf, NRC Handelsblad, nrc.next en het Reformatorisch Dagblad. Opmerkelijk is dat de platte tekst die gebruikt wordt om de artikelen los weer te geven wel achter een betaalmuur staan.
Historisch zo gegroeid
De hoge resolutie .jpg-bestanden staan op de servers van het Nederlandse bedrijf Solidam, dat naast iPad- en iPhone-apps traditioneel workflow-omgevingen maakt voor mediabedrijven. Onno Feringa, projectleider bij Solidam stelt twee dagen geleden door Hoogeveen op de hoogte te zijn gesteld van het lek. "Als je graaft in die app - en dan moet je wel een beetje weten wat je doet - dan kan je inderdaad aan een link komen die je in staat stelt een deel van de content die door de app sowieso gedownload wordt voordat je de editie hebt aangeschaft, ook te downloaden', bevestigt hij. "Dat is inderdaad op dit moment aan de orde."
De voorpagina van NRC van vandaag verkregen via de systemen van Solidam (klik voor groot)
Volgens Feringa is het gat ontstaan doordat er voor de ontwikkeling van de iPad-applicaties is uitgegaan van de al eerder gebouwde iPhone-applicaties. Voor de iPhone-applicaties konden de .jpg-files gewoon beschikbaar zijn, omdat de resolutie voor die smartphones te laag was om de krant te kunnen lezen. Dat is bijvoorbeeld nog steeds het geval bij de iPhone-app van Trouw. Van die krant staan wel foto's op de servers van Solidam, maar die zijn na het downloaden te klein om te lezen.
Toen er iPad-applicaties werden gebouwd, waren er beelden met hogere resolutie nodig die wel te downloaden zijn, maar Solidam had er niet aan gedacht om die ook achter de betaalmuur te plaatsen.
Binnen paar dagen verholpen
Felinga wijst erop dat het kan, maar dat dit alleen mogelijk is voor mensen met veel technische kennis. "En het valt natuurlijk in het niet bij de gebruikerservaring van een abonnementje", zegt de projectleider. "Dit is niet iets wat het grote publiek zomaar kan doen. Ik wil het daarmee ook niet bagatelliseren. Natuurlijk moet er ook wat aan gebeuren, en dat gebeurt ook." Hij kwalificeert de methode als "relatief eenvoudig".
Volgens Feringa is Solidam niet vergeten een slot op de deur te zetten. "Kijk je kan het zo formuleren, en dan klinkt het als een hele domme actie omdat het zo lijkt. Aan de andere kant is er toch wel een hele slimme ict'er nodig om te weten te komen wat je moet weten om hierbij te kunnen."
Feringa heeft de betrokken uitgevers inmiddels op de hoogte gesteld en gaat in de komende dagen zodanige veranderingen aanbrengen dat dit niet meer mogelijk is.