RHAAAAAH : "Article 18 I.- L'utilisation des moyens de cryptologie est libre." c'est bon !
Hélas, il faut lire la suite :
"II.- La fourniture, le transfert depuis ou vers un Etat membre de la Communauté européenne, l'importation et l'exportation des moyens de cryptologie dont la seule fonction cryptologique est une fonction d'authentification ou de contrôle d'intégrité, notamment à des fins de signature électronique, sont libres."
Traduction : si un soft ne fait pas de chiffrement (seulement de la signature), sa distribution est libre.
"III.- La fourniture, le transfert depuis un Etat membre de la Communauté européenne ou l'importation d'un moyen de cryptologie n'assurant pas exclusivement des fonctions d'authentification ou de contrôle d'intégrité sont libres, dès lors que le fournisseur ou la personne procédant au transfert ou à l'importation les déclarent au préalable auprès du Premier ministre et tiennent ensuite à la disposition de celui-ci une description des caractéristiques techniques du moyen en question. "
Traduction : si un soft fait du chiffrement, il faut faire une déclaration au préalable pour avoir le droit de le distribuer (comme ça été fait pour GnuPG). L'article 18.IV dit à peu près la même chose pour l'exportation.
"Lorsqu'un fournisseur de moyens de cryptologie, à titre payant ou gratuit, ne respecte pas les obligations auxquelles il est assujetti en application du III de l'article 18, le Premier ministre peut, après avoir mis l'intéressé à même de présenter ses observations, prononcer l'interdiction de mise en circulation du moyen de cryptologie concerné."
Un peu bizarre. En cas de défaillance du fournisseur, on sanctionne le produit au lieu du fournisseur. Pas forcément une bonne nouvelle pour les logiciels libres (ou simplement gratuits) de chiffrement : un "fournisseur" imprudent peut entraîner une interdiction du soft lui-même sur tout le territoire... ?!
Ensuite, l'article 23 fixe les peines encourues si on passe outre les articles précédents. Notamment, si on fournit un soft de chiffrement sans avoir déposé la déclaration nécessaire (par exemple tu distribues sur ton site Web une version non-officielle de PGP - disons la "Cyber Knights Templar" d'Imar R Faiad avec les clés publiques sur 16384 bits), c'est 30 KEuros d'amende et deux ans de prison. Idem si tu fournis un soft ayant fait l'objet de l'interdiction de territoire sus-mentionné (si on fait fonctionner un miroir GPG, ne pas partir trop longtemps en vacances...). Si le soft que tu fournis ne fait que de la signature et pas de chiffrement, c'est 15 Keuros et un an de prison (ouf, c'est plus sympa ;-)).
L'article 25 est hallucinant. Grosso modo, si tu commets un crime ou un délit, l'utilisation d'un moyen de cryptographie devient une circonstance aggravante ! Si tu utilises un système de crypto, la peine de prison est multipliée par 1.5 à 2. C'est délirant, parce qu'on fait entrer en ligne de compte un élément qui n'a aucune influence sur le caractère moral du crime, ni sur sa gravité, ni sur les dégâts commis. C'est comme si les cambrioleurs utilisant une voiture rapide étaient plus sévèrement réprimés que les autres. De plus, comme ça vaut aussi pour les délits, ça peut même s'appliquer pour les délits d'expression. Par exemple, tu récupères des documents compromettants au boulot, tu les envoies en chiffré à un journaliste. Si un juge estime que tu as commis une erreur en divulgant ces documents, il peut aggraver ta peine (prison*=2) voire celle du journaliste parce que tu as utilisé un message chiffré pour les communiquer à l'extérieur.
Dans la même veine : « Les dispositions du présent article ne sont toutefois pas applicables à l'auteur ou au complice de l'infraction qui, à la demande des autorités judiciaires ou administratives, leur a remis la version en clair des messages chiffrés ainsi que les conventions secrètes nécessaires au déchiffrement. » Note qu'on demande la remise des "conventions secrètes nécessaires au chiffrement", ce qui veut dire que tout ton courrier confidentiel se trouve ainsi déchiffrable par la police (pas seulement celui qui est en relation avec le crime ou délit commis).
L'article 26 oblige les fournisseurs de solutions de chiffrement à fournir sur demande aux autorités les clés privées utilisées (en langage technocratique, les "conventions permettant le déchiffrement des données transformées au moyen des prestations fournies"). Le refus de fournir ces clés privées est puni de deux ans de prison et 30 KEuros d'amende.
Enfin: "Est puni de trois ans d'emprisonnement et de 45 000 Euros d'amende le fait, pour quiconque ayant connaissance de la convention secrète de déchiffrement d'un moyen de cryptologie susceptible d'avoir été utilisé pour préparer, faciliter ou commettre un crime ou un délit, de refuser de remettre ladite convention aux autorités judiciaires ou de la mettre en oeuvre, sur les réquisitions de ces autorités, délivrées en application des titres II et III du livre Ier du code de procédure pénale."
Evidemment, il est impossible de savoir à l'avance si une clé privée protège la commission d'actes délictueux ou pas. Dans ces conditions, toute personne en possession même fortuite (il suffit d'"avoir connaissance") d'une clé privée, ne sachant pas ce qu'elle cache, est obligée de la remettre aux autorités sous n'importe quel prétexte, sous peine d'énorme amende si jamais il s'avère qu'effectivement la clé privée servait à...
Tout ceci sans aucune proportionnalité vis-à-vis du délit éventuellement commis (il suffit que le dit délit ait été "susceptible" de se produire...).
[^] # Crypto pas good du tout ...
Posté par Moby-Dik . En réponse à la dépêche Projet de loi concernant la responsabilité des hébergeurs. Évalué à 6.
RHAAAAAH : "Article 18 I.- L'utilisation des moyens de cryptologie est libre." c'est bon !
Hélas, il faut lire la suite :
"II.- La fourniture, le transfert depuis ou vers un Etat membre de la Communauté européenne, l'importation et l'exportation des moyens de cryptologie dont la seule fonction cryptologique est une fonction d'authentification ou de contrôle d'intégrité, notamment à des fins de signature électronique, sont libres."
Traduction : si un soft ne fait pas de chiffrement (seulement de la signature), sa distribution est libre.
"III.- La fourniture, le transfert depuis un Etat membre de la Communauté européenne ou l'importation d'un moyen de cryptologie n'assurant pas exclusivement des fonctions d'authentification ou de contrôle d'intégrité sont libres, dès lors que le fournisseur ou la personne procédant au transfert ou à l'importation les déclarent au préalable auprès du Premier ministre et tiennent ensuite à la disposition de celui-ci une description des caractéristiques techniques du moyen en question. "
Traduction : si un soft fait du chiffrement, il faut faire une déclaration au préalable pour avoir le droit de le distribuer (comme ça été fait pour GnuPG). L'article 18.IV dit à peu près la même chose pour l'exportation.
"Lorsqu'un fournisseur de moyens de cryptologie, à titre payant ou gratuit, ne respecte pas les obligations auxquelles il est assujetti en application du III de l'article 18, le Premier ministre peut, après avoir mis l'intéressé à même de présenter ses observations, prononcer l'interdiction de mise en circulation du moyen de cryptologie concerné."
Un peu bizarre. En cas de défaillance du fournisseur, on sanctionne le produit au lieu du fournisseur. Pas forcément une bonne nouvelle pour les logiciels libres (ou simplement gratuits) de chiffrement : un "fournisseur" imprudent peut entraîner une interdiction du soft lui-même sur tout le territoire... ?!
Ensuite, l'article 23 fixe les peines encourues si on passe outre les articles précédents. Notamment, si on fournit un soft de chiffrement sans avoir déposé la déclaration nécessaire (par exemple tu distribues sur ton site Web une version non-officielle de PGP - disons la "Cyber Knights Templar" d'Imar R Faiad avec les clés publiques sur 16384 bits), c'est 30 KEuros d'amende et deux ans de prison. Idem si tu fournis un soft ayant fait l'objet de l'interdiction de territoire sus-mentionné (si on fait fonctionner un miroir GPG, ne pas partir trop longtemps en vacances...). Si le soft que tu fournis ne fait que de la signature et pas de chiffrement, c'est 15 Keuros et un an de prison (ouf, c'est plus sympa ;-)).
L'article 25 est hallucinant. Grosso modo, si tu commets un crime ou un délit, l'utilisation d'un moyen de cryptographie devient une circonstance aggravante ! Si tu utilises un système de crypto, la peine de prison est multipliée par 1.5 à 2. C'est délirant, parce qu'on fait entrer en ligne de compte un élément qui n'a aucune influence sur le caractère moral du crime, ni sur sa gravité, ni sur les dégâts commis. C'est comme si les cambrioleurs utilisant une voiture rapide étaient plus sévèrement réprimés que les autres. De plus, comme ça vaut aussi pour les délits, ça peut même s'appliquer pour les délits d'expression. Par exemple, tu récupères des documents compromettants au boulot, tu les envoies en chiffré à un journaliste. Si un juge estime que tu as commis une erreur en divulgant ces documents, il peut aggraver ta peine (prison*=2) voire celle du journaliste parce que tu as utilisé un message chiffré pour les communiquer à l'extérieur.
Dans la même veine : « Les dispositions du présent article ne sont toutefois pas applicables à l'auteur ou au complice de l'infraction qui, à la demande des autorités judiciaires ou administratives, leur a remis la version en clair des messages chiffrés ainsi que les conventions secrètes nécessaires au déchiffrement. » Note qu'on demande la remise des "conventions secrètes nécessaires au chiffrement", ce qui veut dire que tout ton courrier confidentiel se trouve ainsi déchiffrable par la police (pas seulement celui qui est en relation avec le crime ou délit commis).
L'article 26 oblige les fournisseurs de solutions de chiffrement à fournir sur demande aux autorités les clés privées utilisées (en langage technocratique, les "conventions permettant le déchiffrement des données transformées au moyen des prestations fournies"). Le refus de fournir ces clés privées est puni de deux ans de prison et 30 KEuros d'amende.
Enfin: "Est puni de trois ans d'emprisonnement et de 45 000 Euros d'amende le fait, pour quiconque ayant connaissance de la convention secrète de déchiffrement d'un moyen de cryptologie susceptible d'avoir été utilisé pour préparer, faciliter ou commettre un crime ou un délit, de refuser de remettre ladite convention aux autorités judiciaires ou de la mettre en oeuvre, sur les réquisitions de ces autorités, délivrées en application des titres II et III du livre Ier du code de procédure pénale."
Evidemment, il est impossible de savoir à l'avance si une clé privée protège la commission d'actes délictueux ou pas. Dans ces conditions, toute personne en possession même fortuite (il suffit d'"avoir connaissance") d'une clé privée, ne sachant pas ce qu'elle cache, est obligée de la remettre aux autorités sous n'importe quel prétexte, sous peine d'énorme amende si jamais il s'avère qu'effectivement la clé privée servait à...
Tout ceci sans aucune proportionnalité vis-à-vis du délit éventuellement commis (il suffit que le dit délit ait été "susceptible" de se produire...).