Twitter iPhone pliant OnePlus 11 PS5 Disney+ Orange Livebox Windows 11

Où commence le hacking ?

30 réponses
Avatar
mpg
Bonjour,

Intéressé par la sécurité informatique, je m'intéresse aussi
naturellement aux attaques existantes, donc envisage d'apprendre
certaines techniques d'intrusion communément utilisées. Ici survient ma
question : je ne souhaite bien sûr pas enfreindre la loi.

Histoire de savoir de quoi il retourne, je suis allé consulté les
articles adéquats du code pénal (323-1 à 323-7, à moins que d'autres ne
m'aient échappé). Bien que certains soient limpides, d'autres m'ont paru
délicats à interpréter, du moins pour le béotien que je suis : il s'agit
des articles 323-3-1 et 323-7.

Prenons des exemples concrets : j'ai entendu dire que la protection des
accès wifi par chiffrement wep, bien que très répandue, n'est absolument
pas sûre, et que des logiciels faciles à trouver permettent de «casser»
une telle protection en quelques heures. Imaginons que je télécharge et
installe un tel logiciel, afin de l'utiliser pour vérifier son
efficacité en trouvant, par exemple, la clé wep utilisée par mon réseau
wifi. Cela me rend-il coupable d'un délit au titre de l'article 323-3-1?

Imaginons maintenant que je m'amuse ensuite à pratiquer la même
expérience sur le réseau wifi de mon voisin, et que j'entre ainsi en
possession de sa clé wep. Si à aucun moment je ne l'utilise pour accéder
réellement à son réseau, est-ce un délit, est-ce assimilé à une
tentative d'en commettre ? Si par contre je me connecte, même «sans rien
faire de mal chez lui», il me semble que ça devient un délit ?

Plus subtil, imaginons que j'administre un système auquel ont accès des
utilisateurs via un mot de passe, et que j'utilise mes droits
d'administrateur pour trouver leur mot de passe. Sur mon système,
celui-ci ne me sert à rien, mais je peux (si je suis mal intentionné)
supposer qu'ils utilisent le même mot de passe sur d'autres systèmes et
avoir l'intention de m'en servir. En supposant que je ne le fasse pas,
et que je me contente de «cracker» les mots de passe pour le simple
plaisir de savoir combien de temps ça prend, est-ce déjà assimilable à
une tentative de délit ? Variante de cette situation avec un keylogger
installé sur un pc que je possède, mais à l'insu des utilisateurs.

De façon générale, comment évaluer ce qui constitue une tentative de
délit et où doit s'arrêter la curiosité ? Est-ce qu'évaluer (de façon un
tantinet agressive mais ne causant aucun dommage) la sécurité d'un
réseau dont on n'est pas administrateur est répréhensible ?

Merci d'avance pour vos éclairages.

10 réponses

1 2 3
Avatar
dwarfpower
On Feb 2, 9:31 am, Thibaut Henin wrote:
Oui, mais la loi permet de détenir de tels outils si on a un "motif
légitime". L'accès est interdit s'il est "frauduleux". Dans notre cas,
casser sa propre connection wifi (qui serait par exemple gérée par la
magic-box de notre FAI) n'est pas frauduleux puisqu'on s'est nous-même
autorisé à le faire. Le motif légitime étant ici de vérifier par
soi-même que le wifi est sur (ou pas), pour justement éviter d'être
piraté par le voisin ...

C'est tout le débat, ici, de déterminer QUAND il y a motif légitime ou
pas... pour moi, c'est trop flou, je m'autoriserais limite tout parce
que ...
1. Je suis curieux et informaticien
2. Je ne crois pas les arguments des vendeurs (qui y connaissent moin
que moi), je veux donc vérifier
3. Je suis méfiant quand à la sécu d'un système que je ne maitris e pas
complètement.




Deux choses peuvent être discutées, l'aspect légal et l'aspect
pratique. dans la pratique vous pouvez le faire parce que cette
activité n'aura aucune conséquence légale.

Pour l'aspect légale, je faisait juste remarque qu'une clause
contractuelle ne pouvait constituer une clause légitime. Par contre
comme je l'ai mentionné, le fait que vous êtes tenu responsable de
tout usage fait de votre abonnement internet peut en constituer une.
Il faut cependant faire attention, car les techniques que vous allez
utiliser peuvent aussi vous faire tomber sur le coup des mesures
prises par DADVSI sur la protection juridique apportée aux mesures
technique de protection. le CPI je reconnait pas la notion de motif
légitime, par contre les interdiction qui y sont définies ont un cadre
plus restreint.

dwarf.
Avatar
Albert ARIBAUD
Le Fri, 02 Feb 2007 00:59:29 -0800, dwarfpower a écrit:

On Feb 2, 9:31 am, Thibaut Henin wrote:
Oui, mais la loi permet de détenir de tels outils si on a un "motif
légitime". L'accès est interdit s'il est "frauduleux". Dans notre cas,
casser sa propre connection wifi (qui serait par exemple gérée par la
magic-box de notre FAI) n'est pas frauduleux puisqu'on s'est nous-même
autorisé à le faire. Le motif légitime étant ici de vérifier par
soi-même que le wifi est sur (ou pas), pour justement éviter d'être
piraté par le voisin ...

C'est tout le débat, ici, de déterminer QUAND il y a motif légitime ou
pas... pour moi, c'est trop flou, je m'autoriserais limite tout parce
que ...
1. Je suis curieux et informaticien
2. Je ne crois pas les arguments des vendeurs (qui y connaissent moin
que moi), je veux donc vérifier
3. Je suis méfiant quand à la sécu d'un système que je ne maitrise pas
complètement.




Deux choses peuvent être discutées, l'aspect légal et l'aspect
pratique. dans la pratique vous pouvez le faire parce que cette
activité n'aura aucune conséquence légale.

Pour l'aspect légale, je faisait juste remarque qu'une clause
contractuelle ne pouvait constituer une clause légitime.



Pour les contractants, si, elle a valeur légale ; et par conséquent les
actions entreprises pour respecter cette clause sont parfaitement
légitimes.

Par contre
comme je l'ai mentionné, le fait que vous êtes tenu responsable de
tout usage fait de votre abonnement internet peut en constituer une.



C'est précisément une clause contractuelle, ça. :)

Il faut cependant faire attention, car les techniques que vous allez
utiliser peuvent aussi vous faire tomber sur le coup des mesures
prises par DADVSI sur la protection juridique apportée aux mesures
technique de protection.



Toutafé.

le CPI je reconnait pas la notion de motif
légitime, par contre les interdiction qui y sont définies ont un cadre
plus restreint.



Hmpf... Je ne dirais pas que les interdictions du CPI sont restreintes,
puisque le CPI pose en a priori que tout usage d'une oeuvre est interdit
sauf les exceptions du L.122-5, lesquelles en pratique sont réduites à la
copie privée réservée à l'usage exclusif du copiste et sous réserve
qu'elle ne porte pas atteinte aux intérêts de l'ayant droit ; et que
le contournement d'une MTP est interdit même dans l'exercice d'une
exception légitime comme la copie privée (les mauvaises langues auront
remplacé "même" par "surtout" d'elles-mêmes).

Plus large que ça, comme interdiction, c'est difficile ; même la toute
fumante :) interdiction portant sur le tabac laisse -- pour l'instant --
le fumeur libre de fumer chez lui.

Amicalement,
--
Albert.
Avatar
Albert ARIBAUD
Le Fri, 02 Feb 2007 10:35:37 +0100, Thibaut Henin a écrit:

Albert ARIBAUD wrote:
Le Fri, 02 Feb 2007 00:59:29 -0800, dwarfpower a écrit:


On Feb 2, 9:31 am, Thibaut Henin wrote:
Il faut cependant faire attention, car les techniques que vous allez
utiliser peuvent aussi vous faire tomber sur le coup des mesures
prises par DADVSI sur la protection juridique apportée aux mesures
technique de protection.




Toutafé.




Justement, dans la DADVSI, ils parlent de "mesure technique efficace"
(art L 331-5, sauf qu'il y a pas de verbe dans la première phrase ...)
et spécifient ce qu'ils entendent par efficace : "Les MTP sont réputées
efficaces lorsqu'une utilisation [...] est contrôlée par les titulaires
de droits grace à l'application [d'une technique] qui atteint cet
objectif de protection".

Mais en même temps, une fois qu'on a un système sans réseau et sans
gestion des MTP (ou justement, elles sont cassées), la MTP devient
d'elle-même inéficace... et donc, on peut ne plus la respecter... Et
comme toute MTP peut être contournée, elles n'atteignent pas leurs
objectifs de protection.... partant de là, aucune MTP n'est efficace et
donc valide ...

(c'est encore flou pour moi, faudra que je repasse un peu là dessus).



J'ai relu tout récemment une analyse plus juridique que technique mais qui
reste intéressante, sur la question de l'efficacité mais sur d'autres
points aussi :

<http://maitre.eolas.free.fr/journal/index.php?2006/08/07/411-la-loi-dadvsi-commentee>

Pour la DADVSI, j'ai surtout noté qu'un fournisseur d'accès doit mettre
en oeuvre des moyens pour empecher la copie pirate...

Je trouve ça
abérant, parce que pour empecher la copie pirate, le seul moyen, c'est
de couper l'accès... (parce qu'on peut toujours faire passer n'importe
quoi par le port 443 (celui du web chiffré) et pour controler ça ...).



Non non : ils ne sont tenus que d'avertir leurs usagers sur les dangers du
téléchargement (article 27 de la loi, L.336-2 du CPI). Rien ne les force
à quelque action spontanée que ce soit.

Bref, pour la DADVSI, plus je la lis, plus je la trouve inapplicable et
incohérente.

Genre, pour les MTP qui doivent être déposée chez un organisme (pour
qu'on puisse les connaîtres et "favoriser l'interropérabilité"). Mais si
on demande l'API de la MTP (pour interropérabilité), l'auteur peut
refuser s'il juge que donner l'API va rendre sa MTP inéficace... En
gros, l'organisme, il sert à rien parce que les auteurs peuvent très
bien ne jamais rien diffuser ...



A la base l'idée même de donner une protection juridique aux mesures
techniques de protection est absurde.

Enfin, c'est pas non plus le débat ici ...



Oui et non : ça touche le droit et ça peut toucher l'Internet.

le CPI je reconnait pas la notion de motif légitime, par contre les
interdiction qui y sont définies ont un cadre plus restreint.



Hmpf... Je ne dirais pas que les interdictions du CPI sont restreintes,
puisque le CPI pose en a priori que tout usage d'une oeuvre est
interdit sauf les exceptions du L.122-5, lesquelles en pratique sont
réduites à la copie privée réservée à l'usage exclusif du copiste et
sous réserve qu'elle ne porte pas atteinte aux intérêts de l'ayant
droit ; et que le contournement d'une MTP est interdit même dans
l'exercice d'une exception légitime comme la copie privée (les
mauvaises langues auront remplacé "même" par "surtout" d'elles-mêmes).

Plus large que ça, comme interdiction, c'est difficile ; même la toute
fumante :) interdiction portant sur le tabac laisse -- pour l'instant
-- le fumeur libre de fumer chez lui.



Tient, et des mesures techniques d'interdictions de fumer ? Et en
partant de là, des mesures techniques de respect de la loi... genre un
émmeteur GPS dans le cerveau qui envoie une décharge électrique quand on
fait une infraction ...



Il existe des "mesures techniques" dans certains cas, essentiellement ceux
où le préjudice risqué est considéré comme grave : on interne ou on met
sous traitement des personnes susceptibles, sans cela, de porter atteinte
physique à d'autres personnes. Mais pour le coup, là, on devient
effectivement HS.

(oups, faut pas en parler trop, ça va donner des idées à nos politiciens...)



Les mauvaises langues diraient : "impossible".

Amicalement,
--
Albert.
Avatar
dwarfpower
On Feb 2, 10:08 am, Albert ARIBAUD wrote:

> Pour l'aspect légale, je faisait juste remarque qu'une clause
> contractuelle ne pouvait constituer une clause légitime.

Pour les contractants, si, elle a valeur légale ; et par conséquent l es
actions entreprises pour respecter cette clause sont parfaitement
légitimes.



Le contrat ne permet pas de justifier une violation de la loi, même
entre les contractants.
La légitimité d'une action ne saurait s'interpreter au regard d'une
clause contractuelle dès lors qu'elle implique des tiers au contrat.
l'interdiction de posseder certains outil a pour but de proteger la
societe qui n'est pas contractante, donc le contrat ne saurait lever
l'interdiction. Si on doit la lever il faut chercher ailleurs.

> Par contre
> comme je l'ai mentionné, le fait que vous êtes tenu responsable de
> tout usage fait de votre abonnement internet peut en constituer une.

C'est précisément une clause contractuelle, ça. :)




non c'est une responsabilite legale et non contractuelle
s que les interdictions du CPI sont restreintes,
puisque le CPI pose en a priori que tout usage d'une oeuvre est interdit
sauf les exceptions du L.122-5, lesquelles en pratique sont réduites à la
copie privée réservée à l'usage exclusif du copiste et sous rés erve
qu'elle ne porte pas atteinte aux intérêts de l'ayant droit ; et que
le contournement d'une MTP est interdit même dans l'exercice d'une
exception légitime comme la copie privée (les mauvaises langues auront
remplacé "même" par "surtout" d'elles-mêmes).




je parlais d'aspect plus restreint des interdiction du CPI, parce
quelle ne s'appliquent qu'aux oeuvres. Par exemple des outils
s'attaquant aux transmissions reseau ne tombent pas sous le coup du
CPI car ils ne touchent pas aux oeuvres de l'esprit mais a
l'infrastructure.

Plus large que ça, comme interdiction, c'est difficile ; même la toute
fumante :) interdiction portant sur le tabac laisse -- pour l'instant --
le fumeur libre de fumer chez lui.

Amicalement,
--
Albert.



cdlt,
dwarf.
Avatar
Albert ARIBAUD
Le Fri, 02 Feb 2007 01:56:29 -0800, dwarfpower a écrit:

On Feb 2, 10:08 am, Albert ARIBAUD wrote:

> Pour l'aspect légale, je faisait juste remarque qu'une clause
> contractuelle ne pouvait constituer une clause légitime.

Pour les contractants, si, elle a valeur légale ; et par conséquent les
actions entreprises pour respecter cette clause sont parfaitement
légitimes.



Le contrat ne permet pas de justifier une violation de la loi, même
entre les contractants.



Là, tu places la charrue avant les boeufs, en appliquant le 323-3-1 sans
tenir compte du "motif légitime" qu'il évoque et sans tenir compte de
l'existence du contrat.

La légitimité d'une action ne saurait s'interpreter au regard d'une
clause contractuelle dès lors qu'elle implique des tiers au contrat.



Mais depuis le départ je n'inclus aucun tiers et ne considère que
l'hypothèse de Thibaut, qui est qu'un particulier casse son propre AP Wifi,
lequel permet l'usage de son accès au Net. Total des intervenants : deux,
le particulier et le FAI. Total des contrats : un, entre ledit particulier
et ledit FAI. *Pas de tiers*.

l'interdiction de posseder certains outil a pour but de proteger la
societe qui n'est pas contractante,



Eh ? D'où sort cette analyse, et en quoi la société (au sens : les gens)
ou une société (au sens : une entreprise) serait concernée ?

donc le contrat ne saurait lever
l'interdiction. Si on doit la lever il faut chercher ailleurs.



Fausses prémisses (et fausse anayse du texte), je le crains.

> Par contre
> comme je l'ai mentionné, le fait que vous êtes tenu responsable de
> tout usage fait de votre abonnement internet peut en constituer une.

C'est précisément une clause contractuelle, ça. :)



non c'est une responsabilite legale et non contractuelle



J'ai déjà demandé le texte de loi sur ce sujet, et je pense qu'il
n'existe pas. Toutes les obligations de ce type que j'ai vues figuraient
dans des contrats, sans jamais aucune référence à un texte de loi. Donc,
je répète ma demande : quel est le texte qui tiendrait un internaute
responsable de l'usage fait de son accès ?

puisque le CPI pose en a priori que tout usage d'une oeuvre est interdit
sauf les exceptions du L.122-5, lesquelles en pratique sont réduites à la
copie privée réservée à l'usage exclusif du copiste et sous réserve
qu'elle ne porte pas atteinte aux intérêts de l'ayant droit ; et que
le contournement d'une MTP est interdit même dans l'exercice d'une
exception légitime comme la copie privée (les mauvaises langues auront
remplacé "même" par "surtout" d'elles-mêmes).




je parlais d'aspect plus restreint des interdiction du CPI, parce
quelle ne s'appliquent qu'aux oeuvres.



Ah, je comprends mieux ; mais la formule est malheureuse, parce que le CPI
n'est pas "plus" ou "moins" restreint que les articles 323-3-1 et
voisins du Code Pénal; ils ont simplement des champs d'actions différents.

Amicalement,
--
Albert.
Avatar
dwarfpower
On Feb 2, 11:55 am, Albert ARIBAUD wrote:
> La légitimité d'une action ne saurait s'interpreter au regard d'une
> clause contractuelle dès lors qu'elle implique des tiers au contrat.

Mais depuis le départ je n'inclus aucun tiers et ne considère que
l'hypothèse de Thibaut, qui est qu'un particulier casse son propre AP W ifi,
lequel permet l'usage de son accès au Net. Total des intervenants : deu x,
le particulier et le FAI. Total des contrats : un, entre ledit particulier
et ledit FAI. *Pas de tiers*.




Le legislateur a decide d'interdire la possession de certains outils
en ce qu'ils constitue une atteinte a l'ordre public.
et donc chaque citoyen, et non pas seulement ceux qui seraient touchés
par une mise en oeuvre de ces moyens.
Donc, en cas de possession d'un moyen interdit par la loi, chacun est
touché, et non seulement les contractants.

Au passage si Thibaut decide de casser la securite de son WIFI, le FAI
n'est pas concerne, car Thibault s'attaquera
a son propre reseau local et non au reseau du FAI. donc exit toute
notion de contrat.

> l'interdiction de posseder certains outil a pour but de proteger la
> societe qui n'est pas contractante,

Eh ? D'où sort cette analyse, et en quoi la société (au sens : les gens)
ou une société (au sens : une entreprise) serait concernée ?




ordre public? cf supra.

>> > Par contre
>> > comme je l'ai mentionné, le fait que vous êtes tenu responsable de
>> > tout usage fait de votre abonnement internet peut en constituer une.

>> C'est précisément une clause contractuelle, ça. :)

> non c'est une responsabilite legale et non contractuelle

J'ai déjà demandé le texte de loi sur ce sujet, et je pense qu'il
n'existe pas. Toutes les obligations de ce type que j'ai vues figuraient
dans des contrats, sans jamais aucune référence à un texte de loi. Donc,
je répète ma demande : quel est le texte qui tiendrait un internaute
responsable de l'usage fait de son accès ?




je l'ai deja cite, mais je le refais, cette fois apres verification du
texte:

CPI - Article L335-12

(inséré par Loi nº 2006-961 du 1 août 2006 art. 25 Journal Officiel du
3 août 2006)

Le titulaire d'un accès à des services de communication au public
en ligne doit veiller à ce que cet accès ne soit pas utilisé à des
fins de reproduction ou de représentation d'oeuvres de l'esprit sans
l'autorisation des titulaires des droits prévus aux livres Ier et II,
lorsqu'elle est requise, en mettant en oeuvre les moyens de
sécurisation qui lui sont proposés par le fournisseur de cet accès en
application du premier alinéa du I de l'article 6 de la loi nº
2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique.

conclusion : Le titulaire est responsable de l'utilisation faire de
son acces internet.... DADVSI a des aspects meconnus :-)

Ah, je comprends mieux ; mais la formule est malheureuse, parce que le CPI
n'est pas "plus" ou "moins" restreint que les articles 323-3-1 et
voisins du Code Pénal; ils ont simplement des champs d'actions différ ents.




desole pour la confusion de mes propos...

Amicalement,
--
Albert.



itou
dwarf.
Avatar
Albert ARIBAUD
Le Fri, 02 Feb 2007 04:00:18 -0800, dwarfpower a écrit:

On Feb 2, 11:55 am, Albert ARIBAUD wrote:
> La légitimité d'une action ne saurait s'interpreter au regard d'une
> clause contractuelle dès lors qu'elle implique des tiers au contrat.

Mais depuis le départ je n'inclus aucun tiers et ne considère que
l'hypothèse de Thibaut, qui est qu'un particulier casse son propre AP Wifi,
lequel permet l'usage de son accès au Net. Total des intervenants : deux,
le particulier et le FAI. Total des contrats : un, entre ledit particulier
et ledit FAI. *Pas de tiers*.



Le legislateur a decide d'interdire la possession de certains outils
en ce qu'ils constitue une atteinte a l'ordre public.



Seulement s'il constitue cette atteinte, et sauf motif légitime, a dit le
même législateur. En l'occurrence, pour que le 323-3-1 s'applique, il faut
encore qu'il y ait une infraction à l'un des 323-1 à 323-3, ce qui n'est
pas le cas ici.

et donc chaque citoyen, et non pas seulement ceux qui seraient touchés
par une mise en oeuvre de ces moyens.



Personne n'a parlé des gens touchés par cette mise en oeuvre. Je ne parle
que de Thibaut, et de son FAI parce que c'est son contrat d'accès qui
légitime ses actions sur son AP.

Donc, en cas de possession d'un moyen interdit par la loi, chacun est
touché, et non seulement les contractants.

Au passage si Thibaut decide de casser la securite de son WIFI, le FAI
n'est pas concerne, car Thibault s'attaquera
a son propre reseau local et non au reseau du FAI. donc exit toute
notion de contrat.



Le contrat implique l'obligation de contrôler l'usage de son accès, ce qui
*légitime* l'acte d'employer un outil d'intrusion.

> l'interdiction de posseder certains outil a pour but de proteger la
> societe qui n'est pas contractante,

Eh ? D'où sort cette analyse, et en quoi la société (au sens : les gens)
ou une société (au sens : une entreprise) serait concernée ?



ordre public? cf supra.



Je réitère : où l'ordre public est-il concerné ? Il n'y a pas de trouble,
et c'est une affaire entre Thibaut et lui-même, c'est d'ailleurs ce qui
rend ridicule l'idée que ses actes soient illégitimes.

>> > Par contre
>> > comme je l'ai mentionné, le fait que vous êtes tenu responsable de
>> > tout usage fait de votre abonnement internet peut en constituer une.

>> C'est précisément une clause contractuelle, ça. :)

> non c'est une responsabilite legale et non contractuelle

J'ai déjà demandé le texte de loi sur ce sujet, et je pense qu'il
n'existe pas. Toutes les obligations de ce type que j'ai vues figuraient
dans des contrats, sans jamais aucune référence à un texte de loi. Donc,
je répète ma demande : quel est le texte qui tiendrait un internaute
responsable de l'usage fait de son accès ?




je l'ai deja cite, mais je le refais, cette fois apres verification du
texte:

CPI - Article L335-12

(inséré par Loi nº 2006-961 du 1 août 2006 art. 25 Journal Officiel du
3 août 2006)

Le titulaire d'un accès à des services de communication au public
en ligne doit veiller à ce que cet accès ne soit pas utilisé à des
fins de reproduction ou de représentation d'oeuvres de l'esprit sans
l'autorisation des titulaires des droits prévus aux livres Ier et II,
lorsqu'elle est requise, en mettant en oeuvre les moyens de
sécurisation qui lui sont proposés par le fournisseur de cet accès en
application du premier alinéa du I de l'article 6 de la loi nº
2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique.

conclusion : Le titulaire est responsable de l'utilisation faire de
son acces internet.... DADVSI a des aspects meconnus :-)



Au temps pour moi, celui-ci m'avait échappé. Mes excuses. Mais... Je
crains qu'il ne s'applique pas systématiquement : il n'est demandé au
titulaire que d'appliquer les moyens fournis par son FAI au titre du I de
l'article 6 de la LCEN ; à aucun moment il n'est tenu à d'autres méthodes
(je vais faire la supposition ici que le législateur n'a pas voulu imposer
au particulier d'acquérir une compétence en sécurité, et c'est pourquoi la
responsabilité du choix des moyens revient au FAI et non à l'abonné).

Il se peut donc que les actions envisagées par Thibaut ne relèvent pas de
cette obligation, selon qu'il a mis en place les moyens demandés ou pas,
et selon que les actes envisgés relèvent du CPI ; ce dernier point ne me
paraît pas acquis dans le cadre de ce que Thibaut souhaite faire.

On a donc, au mieux, non plus une mais deux raisons de légitimer l'action
de Thibaut : une, légale, en tant qu'il doit appliquer les moyens de
restrictions fournis par son FAI pour s'assurer que son accès ne sert pas
à des infractions au CPI ; une, contractuelle, qui lui impose de s'assurer,
si son contrat d'accès le demande bien entendu, que l'usage de son accès
est limité aux personnes qui y ont droit.

Thibaut a donc deux raisons légitimes de s'assurer de la sécurité de son
installation informatique, en ce qu'elle conduit à son accès Internet. Je
vois d'autant plus mal, donc, comment on pourrait lui opposer l'article
323-3-1 pour la possession et l'usage d'un outil d'intrusion, alors qu'il
a un motif légitime et que, de surcroît, il n'est pas établi -- et pour
cause -- qu'il ait commis un acte condamné par les 323-1 à 323-3 ; or
le 323-3-1 requiert l'intention de commettre cet acte pour s'appliquer
lui-même.

Amicalement,
--
Albert.
Avatar
dwarfpower
On Feb 2, 1:59 pm, Albert ARIBAUD wrote:
...
> Le legislateur a decide d'interdire la possession de certains outils
> en ce qu'ils constitue une atteinte a l'ordre public.

Seulement s'il constitue cette atteinte, et sauf motif légitime, a dit le
même législateur. En l'occurrence, pour que le 323-3-1 s'applique, il faut
encore qu'il y ait une infraction à l'un des 323-1 à 323-3, ce qui n' est
pas le cas ici.

> et donc chaque citoyen, et non pas seulement ceux qui seraient touchés
> par une mise en oeuvre de ces moyens.

Personne n'a parlé des gens touchés par cette mise en oeuvre. Je ne p arle
que de Thibaut, et de son FAI parce que c'est son contrat d'accès qui
légitime ses actions sur son AP.




L'interdiction de possession
> Donc, en cas de possession d'un moyen interdit par la loi, chacun est
> touché, et non seulement les contractants.

> Au passage si Thibaut decide de casser la securite de son WIFI, le FAI
> n'est pas concerne, car Thibault s'attaquera
> a son propre reseau local et non au reseau du FAI. donc exit toute
> notion de contrat.

Le contrat implique l'obligation de contrôler l'usage de son accès, c e qui
*légitime* l'acte d'employer un outil d'intrusion.

>> > l'interdiction de posseder certains outil a pour but de proteger la
>> > societe qui n'est pas contractante,

>> Eh ? D'où sort cette analyse, et en quoi la société (au sens : l es gens)
>> ou une société (au sens : une entreprise) serait concernée ?

> ordre public? cf supra.

Je réitère : où l'ordre public est-il concerné ? Il n'y a pas de trouble,
et c'est une affaire entre Thibaut et lui-même, c'est d'ailleurs ce qui
rend ridicule l'idée que ses actes soient illégitimes.





pour rappel:
Code Pénal Article L 323-3-1
" Le fait, sans motif légitime, d'importer, de détenir, d'offrir, de
céder ou de mettre à disposition un équipement, un instrument, un
programme informatique ou toute donnée conçus ou spécialement adapt és
pour commettre une ou plusieurs des infractions prévues par les
articles 323-1 à 323-3 est puni des peines prévues respectivement pour
l'infraction elle-même ou pour l'infraction la plus sévèrement
réprimée."

Ce texte interdit la possession d'outils au sens large concu pour
commetre les infractions citées. Cette interdiction est posée même en
l'absence de telle infractions. nDonc hors motif légitime on n'a pas
le droit de posséder de tels outils, même si on n'a pas l'intention de
s'en servir.

Cette interdiction est générale, elle ne saurait être restreinte aux
deux parties que sont l'utilisateur et la victime, puisqu'elle existe
même en l'absence d'acte. ( qui est la victime d'une possession ? tout
le monde ).


Par contre, le legislateur, on en convient tous, a assorti
l'interdiction d'un exception en cas de motif légitime, qui comme cela
a été noté n'est pas définit par la loi et reste a l'appréciaiton du
juge. Je ne vois cependant pas comment un obligation contractuelle,
librement consentie, pourrait être invoquée comme motif légitime. En
effet, dans ce cas la loi n'impose pas de restriction qui pourrait
entrainer des préjudices injustifiés.

Je pense cependant qu'on peut invoquer la responsabilite qu'a le
titulaire d'un acces internet sur l'utilisation qui serait faite de sa
ligne. En effet, dans ce cas interdire au titulaire de posseder les
moyen de verifier la securite de sa ligne peut hypothetiquement
entrainer sa responsabilite penale, il y aurait donc prejudice
serieux, et AMHA le motif legitime peut alors etre invoque.

dwarf.
Avatar
dwarfpower
On Feb 2, 1:59 pm, Albert ARIBAUD wrote:
Au temps pour moi, celui-ci m'avait échappé. Mes excuses. Mais... Je
crains qu'il ne s'applique pas systématiquement : il n'est demandé au
titulaire que d'appliquer les moyens fournis par son FAI au titre du I de
l'article 6 de la LCEN ; à aucun moment il n'est tenu à d'autres mé thodes
(je vais faire la supposition ici que le législateur n'a pas voulu impo ser
au particulier d'acquérir une compétence en sécurité, et c'est po urquoi la
responsabilité du choix des moyens revient au FAI et non à l'abonné ).




effectivement, comme d'habitude DADVSI est plus que flou ... :-)
ce qui est ressorti des debats lors de la discussion du texte etait
clairement que le titulaire est
responsable de l'utilisation, comme le titulaire del la carte grise
d'un vehicule, mais le texte est bien plsus
vague...
Je pense tout de meme qu'on peut invoquer ce texte pour justifier
d'un motif legitime...


Il se peut donc que les actions envisagées par Thibaut ne relèvent pa s de
cette obligation, selon qu'il a mis en place les moyens demandés ou pas,
et selon que les actes envisgés relèvent du CPI ; ce dernier point ne me
paraît pas acquis dans le cadre de ce que Thibaut souhaite faire.

On a donc, au mieux, non plus une mais deux raisons de légitimer l'acti on
de Thibaut : une, légale, en tant qu'il doit appliquer les moyens de
restrictions fournis par son FAI pour s'assurer que son accès ne sert p as
à des infractions au CPI ; une, contractuelle, qui lui impose de s'assu rer,
si son contrat d'accès le demande bien entendu, que l'usage de son acc ès
est limité aux personnes qui y ont droit.



je n'avais pas envisage une telle clause... mais je pense qu'elle se
retournerait plutot dans l'autre sens, a savoir que le contrat ne
saurait demande a l'utilisateur d'employer des moyens interdit pour
s'assurer de la non intrusion dans son systemes informatique et que
par consequent l'utilisteur ne pourrait etre attaquer sur la base
d'une telle clause.


Thibaut a donc deux raisons légitimes de s'assurer de la sécurité d e son
installation informatique, en ce qu'elle conduit à son accès Internet . Je
vois d'autant plus mal, donc, comment on pourrait lui opposer l'article
323-3-1 pour la possession et l'usage d'un outil d'intrusion, alors qu'il
a un motif légitime et que, de surcroît, il n'est pas établi -- et pour
cause -- qu'il ait commis un acte condamné par les 323-1 à 323-3 ; or
le 323-3-1 requiert l'intention de commettre cet acte pour s'appliquer
lui-même.



on est d'accord sur l'existaence d'un motif legitime, mais certes pas
sur le fait que l'interdiction du 323-3-1 erquiert l'intention de
commettre un acte delictueux.


Amicalement,
--
Albert.




tout pareil
dwarf.
Avatar
Albert ARIBAUD
Le Fri, 02 Feb 2007 05:42:53 -0800, dwarfpower a écrit:

On Feb 2, 1:59 pm, Albert ARIBAUD wrote:
...
> Le legislateur a decide d'interdire la possession de certains outils
> en ce qu'ils constitue une atteinte a l'ordre public.

Seulement s'il constitue cette atteinte, et sauf motif légitime, a dit le
même législateur. En l'occurrence, pour que le 323-3-1 s'applique, il faut
encore qu'il y ait une infraction à l'un des 323-1 à 323-3, ce qui n'est
pas le cas ici.

> et donc chaque citoyen, et non pas seulement ceux qui seraient touchés
> par une mise en oeuvre de ces moyens.

Personne n'a parlé des gens touchés par cette mise en oeuvre. Je ne parle
que de Thibaut, et de son FAI parce que c'est son contrat d'accès qui
légitime ses actions sur son AP.



L'interdiction de possession



(je ne commente pas cette partie de la réponse, très lapidaire, dans la
mesure où elle est développée plus loin)

> Donc, en cas de possession d'un moyen interdit par la loi, chacun est
> touché, et non seulement les contractants.

> Au passage si Thibaut decide de casser la securite de son WIFI, le FAI
> n'est pas concerne, car Thibault s'attaquera
> a son propre reseau local et non au reseau du FAI. donc exit toute
> notion de contrat.

Le contrat implique l'obligation de contrôler l'usage de son accès, ce qui
*légitime* l'acte d'employer un outil d'intrusion.

>> > l'interdiction de posseder certains outil a pour but de proteger la
>> > societe qui n'est pas contractante,

>> Eh ? D'où sort cette analyse, et en quoi la société (au sens : les gens)
>> ou une société (au sens : une entreprise) serait concernée ?

> ordre public? cf supra.

Je réitère : où l'ordre public est-il concerné ? Il n'y a pas de trouble,
et c'est une affaire entre Thibaut et lui-même, c'est d'ailleurs ce qui
rend ridicule l'idée que ses actes soient illégitimes.





pour rappel:
Code Pénal Article L 323-3-1
" Le fait, sans motif légitime, d'importer, de détenir, d'offrir, de
céder ou de mettre à disposition un équipement, un instrument, un
programme informatique ou toute donnée conçus ou spécialement adaptés
pour commettre une ou plusieurs des infractions prévues par les
articles 323-1 à 323-3 est puni des peines prévues respectivement pour
l'infraction elle-même ou pour l'infraction la plus sévèrement
réprimée."

Ce texte interdit la possession d'outils au sens large concu pour
commetre les infractions citées. Cette interdiction est posée même en
l'absence de telle infractions. nDonc hors motif légitime on n'a pas
le droit de posséder de tels outils, même si on n'a pas l'intention de
s'en servir.



Hors motif légitime, en effet ; a contrario, le motif légitime excuse la
possession.

Au passage, un second point mérite commentaire : il faut que l'outil soit
conçu ou spécialement adapté pour commettre une des infractions etc. Nous,
informaticiens, aurons tendance à analyser les outils en termes de leur
potentiel ; un avocat de la défense, lui, les analysera en termes des
textes à respecter, et se demandera non pas si l'outil *peut* être employé
à telle fin, mais s'il a été *conçu ou spécialement adapté* à cette fin.
Ainsi, bien que nmap fasse partie des outils qui peuvent servir à
commettre une intrusion, il n'est pas conçu pour ça. Je suis sûr qu'un
avocat saurait faire valoir la différence au bénéfice d'un accusé quand
nous le desservirions.

Cette interdiction est générale, elle ne saurait être restreinte aux
deux parties que sont l'utilisateur et la victime, puisqu'elle existe
même en l'absence d'acte. ( qui est la victime d'une possession ? tout
le monde ).

Par contre, le legislateur, on en convient tous, a assorti
l'interdiction d'un exception en cas de motif légitime, qui comme cela
a été noté n'est pas définit par la loi et reste a l'appréciaiton du
juge. Je ne vois cependant pas comment un obligation contractuelle,
librement consentie, pourrait être invoquée comme motif légitime. En
effet, dans ce cas la loi n'impose pas de restriction qui pourrait
entrainer des préjudices injustifiés.



Une fois consentie, l'obligation contractuelle a force de loi.
Autrement dit, celui qui s'y oblige doit considérer à tous égards cette
obligation comme une loi qu'il doit respecter autant pas plus et pas
moins, que codes et lois votés par le Parlement.

Je pense cependant qu'on peut invoquer la responsabilite qu'a le
titulaire d'un acces internet sur l'utilisation qui serait faite de sa
ligne. En effet, dans ce cas interdire au titulaire de posseder les
moyen de verifier la securite de sa ligne peut hypothetiquement
entrainer sa responsabilite penale, il y aurait donc prejudice
serieux, et AMHA le motif legitime peut alors etre invoque.



L'un n'exclut pas l'autre : il a (si son contrat contient une obligation
etc.) les deux responsabilités, et, selon la définition même du code
Civil, l'obligation figurant à son contrat à la même force de loi que
l'article du CPI.

Amicalement,
--
Albert.
1 2 3