Guillermito condamne avec sursis

On Tue, 15 Mar 2005 12:41:47 +0000, LaDDL wrote:

Juste fait traiter de terroriste.

Oui ça c'est hallucinant ! Enfin bref...

Y aussi eu la lettre envoyée au CNRS, par exemple ...
Cf. l'article de Kitetoa pour les détails.


Nicob

On Fri, 11 Mar 2005 14:49:19 +0000, Guillermito wrote:

D'ailleurs, je me demandais s'il y avait eu dans le vaste monde de la
sécurité informatique, des cas similaires à ce qui m'est arrivé.

Ben des gens qui fournissent/hébergent du code désassemblé ou
résultant de désassemblage sans avoir de problème, y en a plein. On
peut par exemple citer "the Opcode Database" du projet Metasploit :

http://metasploit.com/opcode_database.html

Y a aussi ceux qui ont eu des problèmes, les plus célèbre est D(i)mitry
Sklyarov poursuivi par Adobe pour avoir dévoiler lors d'une conf
l'algo d'encryption (à base de rot13) des ebooks :

http://www-2.cs.cmu.edu/~dst/Adobe/Gallery/defcon.ppt
http://www.theregister.co.uk/2001/08/06/free_sklyarov_now/
http://zork.net/pipermail/free-sklyarov/2001-August/003915.html


Nicob

Stephane Catteau wrote:

[Modération: Je maintiens la discussion sur fcs, mais il serait bon de
ne pas trop dévier sur le seul droit et son application, ou alors avec
un suivi sur fr.misc.droit, d'avance merci.]
[Rha, il semblerait que la plateforme web2news que j'utilise

ne permette pas de positionner de fu2. Ou alors je n'ai pas
trouvé l'option.]

Il interprétait là le verdict et l'ébauche de jugement, et non le
jugement lui-même. Or, force m'est de constater qu'il n'avait pas
tort. Le jugement indique clairement que les deux seuls motifs de la
condamnation, sont l'impossibilité qu'à eu Guillaume de démontrer
qu'il avait une licence[1], et le fait qu'il ait contrefait le code
de ViGuard.

D'un autre coté, le motif de la plainte étant la contrefacon, on se
doutait un peu que ce motif serait évoqué dans le texte du
jugement. Eolas pensait que l'utilisation par Guillermito d'une
version de Viguard otenue illégalement serait clairement désignée
comme l'élément ayant entraîné la condamnation. Au contraire, le
texte du jugement laisse supposer que même sans ca, Guillermito
aurait été condamné. C'est quand même une différence
fondamentale.

Autrement dit, on n'a pas le droit de porter atteinte à
l'exploitation normale d'un logiciel, mais rien ne dit si l'on a le
droit ou non de regarder si cette exploitation est normale et ce
passe conformément à sa destination. De même, il n'y a rien en
soit qui permette de savoir si la publication d'une faille avérée est
un préjudice et s'il est ou non justifié.
La clémence du verdict pourrait être considérée comme
tendant à démontrer qu'il n'y a pas préjudice ou que celui-ci est
justifié, mais ce n'est là qu'interprétation, puisqu'au final l'on ne
peut que subodorer le pourquoi de cette clémence.

Etant donné que cette phrase (qu'il ne saurait être interprété
comme--) est mentionnée dans le jugement, on peut dire avec
certitude que :
- Soit les juges ont décidé que les analyses de Guillermito ont
porté atteinte à l'exploitation normale du logiciel (comment
interpréter le terme "exploitation", ici ? Cela fait-il référence
à l'exploitation commerciale ? Je me pose trés sérieusement la
question).
- Soit ils ont décidé qu'il avait porté préjudice à l'auteur du logiciel.
- Soit ils ont retenu les deux motifs.

Tu fais l'hypothèse que, étant donné la clémence du verdict, c'est
probablement le premier de ces deux motifs qui a été retenu.

L'on n'a pas le droit[2] de reprendre le code du logiciel concerncé
pour exploiter une faille que l'on publie, mais l'on ne sait toujours
pas si l'on a le droit de publier du code permettant d'exploiter
cette faille. Le jugement n'apporte donc aucune réponse concrète
sur le full disclosure, se contentant d'indiquer qu'une chose précise
est interdite, sans laisser de pistes sur ce qui pourrait être autorisé.

Et tu ne consideres pas qu'interdire d'utiliser une routine de checksum
dans une proof-of-concept c'est une limite au full-disclosure, aussi
minime et specifique soit-elle ? Imagine que l'on découvre que le client
de messagerie instantanée PipoMessenger, qui utilise un format
propriétaire pour transmettre des messages, est vulnérable à un
débordement de tampon. Si quelqu'un publie un PoC qui utilise
les mêmes structures de données que PipoMessenger pour envoyer
des paquets déclenchant le débordement, ce quelqu'un devra au
préalable vérifier qu'il produit un code substantiellement différent de
celui de PipoMessenger, sinon, il risquera un procès. Faudra que je
regarde en détail quelques exploits existants, je suis sur qu'on peut
trouver plein d'exemples de "contefacons" dans ce style. Il n'y a pas
36000 manières de trouver des vulnérabilités dans des programmes
closed-source.

Tant que tu n'es pas obligé de modifier le-dit logiciel pour le
déboguer, tu ne portes pas atteinte à son exploitation.

Désolé, mais je ne vois pas ce qui te fait dire ca.

Par contre, il en va autrement si tu es obligé de désactiver une routine
qui testerait la présence du débogueur que tu utilises ;

Ce type de désactivation se fait de toute facon la plupart du temps en
mémoire, au cours du débogage lui-même.

cela tout simplement parce que la présence de ce test indique
explicitement que le logiciel n'est pas prévu pour fonctionner avec
ce débogueur. Ce qui donne une limite à la recherche de faille, tu
*dois* utiliser des outils compatibles avec le logiciel que tu testes.

Concrètement, selon toi, ca veut dire qu'il est interdit d'analyser
tout logicel protégé contre la copie ?

Dès lors, toute personne reproduisant ces 40 octets est succeptible
d'être poursuivi en contrefaçon par Tegam, qui gagnera. Et cela
même si cette reproduction est fortuite. Ainsi est écrit le droit français.
C'est une bonne chose lorsqu'il s'agit d'une oeuvre littéraire ou
filmographique, par exemple.

Je te parie que si je reproduis deux lignes d'un bouquin de 500 pages
ou d'un article de journal sur mon site web, en indiquant clairement le
lien avec la source de ces lignes, je ne serais pas condamné. Même si
l'auteur de ces lignes est particulièrement hargneux. Je pense aussi que
si, dans une émission de TV, on voit 5 secondes d'images d'un film,
lors d'une émission de critique de films, des juges n'y verront rien a
redire. L'exception de courte citation est explicitement ou
implicitement acceptée pour tous les autres types de médias.

C'est limite lorsque cela s'applique à une oeuvre musicale, ça l'est
plus encore dès lors que cela s'applique aux logiciels. Pour autant,
tant que ce dernier domaine dépendra du CPI, il en sera ainsi et il
faudra faire avec.

Dans ce cas, précis, il serait bon que les logiciels soient traités
comme toutes les autres "oeuvres de l'esprit". Guillermito n'aurait
jamais été condamné pour une "citation" aussi mineure.

En aucun cas, au contraire même. Il n'est pas besoin d'en connaitre la
cause pour voir que la clémence du verdict démontre avec certitude que
la justice n'est pas sourde aux raisons à l'origine des actes.

Tu te bases sur la sévérité du verdict. Je me base sur le texte du
jugement. Ce qui est contestable, c'est que ce jugement restreint
les possibilités en ce qui concerne la publication de
proof-of-concept. Et, comme le fesait remarquer Guillermito,
comment veux-tu que des indépendants puissent indiquer dans
leurs analyses l'ensemble des plateformes vulnérables et des
versions affectées par un bogue s'ils doivent acheter toutes ces
versions pour toutes les tester ?

Monsieur T., vos intentions étaient louables, mais vous avez fait
deux *bétises*, je me dois donc de vous taper sur les doigts".

C'est tout le problème. Pour moi, Guillermito n'a fait qu'une
"bêtise", il n'a pas vu que le contrat de license de Viguard
interdisait la cession de license, et il a commencé son travail
sans license valable. Dans le contexte de la recherche et de la
publication de failles, et étant donné le logiciel étudié, je
refuse d'admettre que – sur le principe – réutiliser les routines
de checksum de Viguard dans ses PoC ait été une erreur.

Tout cela étant dit, ne pourrais-tu faire quelque chose pour les
horribles accents de tes messages ?

Arg. C'est le premier message que je rédige sous Word (pas taper, pas
taper) :-/

Tiens, d'un coup d'un seul je viens de penser que la plupart des
développeurs ayant réalisé et distribué des "unpackers" d'executables PE
sont probablement dans l'illégalité. Si Nicolas Brulez passe par ici, je
lui demanderais bien ce qu'il en pense (il me dira surement que les
unpackers, c'est pour les feignants dans mon genre, mais bon)--

--
Tweakie


--
Posté via http://www.webatou.net/
Usenet dans votre navigateur !
Complaints-To: abuse@webatou.net

On Sat, 19 Mar 2005 21:49:35 +0000, Tweakie wrote:

[Bon, j'ai lu les attendus en détail, examiné les analyses des juristes,
et je me permets de revenir sur quelques points.]

[Rha, il semblerait que la plateforme web2news que j'utilise ne permette
pas de positionner de fu2. Ou alors je n'ai pas trouvé l'option.]

Cross-post fcs/fmdi et fu2 fmdi positionné ...

Si quelqu'un publie un PoC qui utilise les mêmes structures de données
que PipoMessenger pour envoyer des paquets déclenchant le débordement,
ce quelqu'un devra au préalable vérifier qu'il produit un code
substantiellement différent de celui de PipoMessenger, sinon, il
risquera un procès.

Et vu que le code sera basé sur l'analyse (par quel moyen que ce soit) du
fonctionnement de PipoMessenger, l'exploit sera au moins fonctionnellement
équivalent au produit, et la génération de code "suffisament
différent" ne sera qu'une enjolivure ajoutée juste avant la publication,
une sorte d'assurance contre les procès.

Faudra que je regarde en détail quelques exploits existants, je suis
sur qu'on peut trouver plein d'exemples de "contefacons" dans ce style.

Un parmi d'autres : un plugin de Nesus, où les paquets MS-SQL sont
créés à partir du reverse-engineering de captures réseau :

http://mail.nessus.org/pipermail/plugins-writers/2002-January/msg00002.html

En dehors du monde de la sécurité, le projet Samba a commencé à partir
du reverse-engineering de composants SMB/CIFS de Microsoft.

L'exception de courte citation est explicitement ou implicitement
acceptée pour tous les autres types de médias.

Et 40 octets, c'est *très* peu. Il faut bien garder à l'esprit que cela
ne représente que 5 (!) caractères ASCII.

Tu te bases sur la sévérité du verdict. Je me base sur le texte du
jugement.

D'ailleurs, revenons sur le texte du jugement :

[...]Guillaume T. [...] ne démontre pas qu'il avait acquis la licence
de ce produit, et surtout cet article édicte in fine "qu'il ne saurait
être interprété comme permettant de porter atteinte à l'exploitation
normale du logiciel ou de causer un préjudice injustifié à son auteur".

Pour la partie licence, soit. Mais si on écarte cet aspect (le chercheur
a donc une licence parfaitement valide), il reste le "surtout" et la
phrase qui va derrière.

* Soit le terme "exploitation normale" fait référence à l'exploitation
commerciale, et auquel cas toute publication de faille peut écorner
l'image d'un produit et donc "porter atteinte à l'exploitation normale",
mettant ainsi le chercheur dans une situation juridique précaire.

* Soit ce terme désigne l'usage courant (aka "en bon père de famille")
d'un logiciel, ce qui est encore plus dangereux/aberrant. En effet, il
parait évident que pour trouver des failles de sécurité dans un
logiciel, on le pousse dans ses retranchement, on génère des conditions
exceptionnelles, on crée des contextes correspondants au pire cas, celui
non prévu par le développeur.

Donc, si une de ces deux intérprétations est la bonne (je n'en vois pas
d'autre), il y a clairement atteinte au full-disclosure en particulier et
à la recherche de vulnérabilités en général. Soit en raison de l'impact
commercial causé par la publication, soit par le fait que la recherche de
la vulnérabilité aura eu lieu dans des conditions illégales (hors
"exploitation normale"). Et j'en suis fort malheureux ...

Des avis sur ce point précis du jugement ?


Nicob

[Xpost fr.comp.securite et fr.misc.droit]
Tweakie nous disait récement dans fr.comp.securite
<news:3a3ev4F68abgpU1@individual.net> :


[Pour rappel, le jugement :
<http://maitre.eolas.free.fr/journal/index.php?2005/03/15/92-affaire-guillermito-le-jugement>]

Au contraire, le texte du jugement laisse supposer que même sans ca
[NdA: l'absence de licence], Guillermito aurait été condamné. C'est
quand même une différence fondamentale.

Le problème de Tegam, c'est qu'il leur fallait d'abord convaincre la
justice qu'il y avait bien eu contrefaçon, alors qu'il était déjà
établi que la licence était plus que litigieuse.
Tegam savait qu'il est quasiment impossible d'acheter ViGuard lorsque
l'on est au USA, où réside Guillaume. De là, soit il n'avait pas de
licence, soit il l'avait rachetée à quelqu'un, ce qui est interdit par
les termes de la-dite licence. En l'occurence, Guillaume avait fait
publiquement état de la façon dont il avait acquis la licence, Tegam
savait donc que sa non validité ne pourrait que difficilement être
remise en cause.
Il est donc normal qu'ils aient fait de ce point le centre de leurs
attaques, puisque puisqu'ils n'avaient aucun moyen de savoir si leurs
arguments convaincraient la justice qu'il y avait bien eu contrefaçon.


[Snip]

- Soit les juges ont décidé que les analyses de Guillermito ont
porté atteinte à l'exploitation normale du logiciel (comment
interpréter le terme "exploitation", ici ? Cela fait-il référence
à l'exploitation commerciale ? Je me pose trés sérieusement la
question).

Non, ce ne sont pas les analyses qui sont en cause ici, mais
l'utilisation de leur résultat. Le jugement ne fait pas état des
analyses, mais de la reproduction et de la modification du code, ce
sont deux choses différentes. De toute façon le CPI est clair sur ce
point :
[Article 122-6-1 III]
"La personne ayant le droit d'utiliser le logiciel peut sans
l'autorisation de l'auteur observer, étudier ou tester le
fonctionnement de ce logiciel afin de déterminer les idées et principes
qui sont à la base de n'importe quel élément du logiciel lorsqu'elle
effectue toute opération de chargement, d'affichage, d'exécution, de
transmission ou de stockage du logiciel qu'elle est en droit
d'effectuer."

Autrement-dit, n'importe quelle personne est en droit d'analyser
n'importe quel logiciel, du moment qu'il possède une licence valide
pour ce logiciel.

Quant au terme "exploitation", amha, et puisqu'il vient du CPI, il
couvre la distribution du logiciel et son utilisation.

L'on n'a pas le droit[2] de reprendre le code du logiciel
concerncé pour exploiter une faille que l'on publie, mais l'on ne
sait toujours pas si l'on a le droit de publier du code
permettant d'exploiter cette faille. Le jugement n'apporte donc
aucune réponse concrète sur le full disclosure, se contentant
d'indiquer qu'une chose précise est interdite, sans laisser de
pistes sur ce qui pourrait être autorisé.

Et tu ne consideres pas qu'interdire d'utiliser une routine de
checksum dans une proof-of-concept c'est une limite au
full-disclosure, aussi minime et specifique soit-elle ?

Non, pourquoi cela serait-il une limite ? Un checksum, c'est le calcul
d'une somme, or il existe plusieurs façon de faire un calcul, tout
mathématicien te le dira. Il suffirait de faire X * Y au lieu de Y * X
et de permuter ainsi à chaque fois que cela est possible, pour que le
résultat diffère suffisement pour compliquer la qualification du délit
de contrefaçon.
De plus, il suffit d'écrire cela dans un autre langage que celui
utilisé pour faire le programme, pour que la routine soit différente.
Guillaume à commis l'erreur de reprendre la routine directement au
niveau assembleur, au lieu de chercher à la réécrire lui-même. C'est à
cause de cela, et à cause de cela uniquement, que le délit de
contrefaçon est qualifié.

Imagine que l'on découvre que le client de messagerie instantanée
PipoMessenger, qui utilise un format propriétaire pour transmettre
des messages, est vulnérable à un débordement de tampon. Si
quelqu'un publie un PoC qui utilise les mêmes structures de
données que PipoMessenger pour envoyer des paquets déclenchant le
débordement, ce quelqu'un devra au préalable vérifier qu'il
produit un code substantiellement différent de celui de
PipoMessenger, sinon, il risquera un procès.

Pas substantiellement différent, juste différent. En dessous de 50% de
similitude du code, il ne peut en aucun cas y avoir contrefaçon. Il
suffit donc d'écrire soi-même le code créant le message, pour que le
risque de contrefaçon du code disparaisse.
Dans le cas des Proof of Concept que tu cites, l'académisme du code
est loin d'être la préocupation majeure. Le plus souvent ils sont
écrits à la va-vite, le seul souçi étant de produire un résultat
conforme aux attentes. Mieux, il arrive souvent que le code soit écrit
en utilisant un langage script, de façon à s'ouvrir au plus grand
nombre et à le rendre utilisable tel quel, sans besoin de compilation
préalable et sans préoccupation de sa portabilité. Or, cela suffit à
empécher la qualification d'un délit de contrefaçon du code.
Il reste probablement possible de plaider la contrefaçon, puisque le
format du message sera lui contrefait. Mais dans le cas présent ce
n'est pas ce qui est arrivé, et l'on ne dispose donc d'aucune
visibilité quant au verdict dans un tel cas.

Tant que tu n'es pas obligé de modifier le-dit logiciel pour le
déboguer, tu ne portes pas atteinte à son exploitation.

Désolé, mais je ne vois pas ce qui te fait dire ca.

Tu ne peux pas porter atteinte à la distribution d'un logiciel
simplement parce que tu auras étudié son comportement, de même ce n'est
pas cela qui changera quoi que ce soit à son utilisation. Cela d'autant
plus que l'analyse est autorisée par la loi (voir plus haut). Par
conséquent, la seule façon de porter atteinte à l'exploitation d'un
logiciel lorsque l'on se contente de l'analyser, c'est de modifier
le-dit logiciel.

Par contre, il en va autrement si tu es obligé de désactiver une
routine qui testerait la présence du débogueur que tu utilises ;

Ce type de désactivation se fait de toute facon la plupart du
temps en mémoire, au cours du débogage lui-même.

Ce qui reste à la limite de la légalité, puisque le logiciel ne
fonctionne plus "conformément à sa destination". Pour autant, cela
n'interdit pas l'exploitation d'une faille.
En effet, il me semble qu'ici le fontionnement conforme à la
destination du logiciel n'est pas tant qualifié par ce que son auteur
avait prévu, que par ce que le logiciel fait effectivement. La faille
venant du logiciel et non d'une modification que tu lui aurais apporté,
son exploitation me semble conforme à la destination du-dit logiciel.

cela tout simplement parce que la présence de ce test indique
explicitement que le logiciel n'est pas prévu pour fonctionner
avec ce débogueur. Ce qui donne une limite à la recherche de
faille, tu *dois* utiliser des outils compatibles avec le
logiciel que tu testes.

Concrètement, selon toi, ca veut dire qu'il est interdit
d'analyser tout logicel protégé contre la copie ?

La protection contre la copie n'empèchera pas le déboggeur de
fonctionner, donc l'analyse reste autorisée au titre de l'article
122-6-1 du CPI. Par contre, s'il est protégé contre le déboggage, il
faut que tu utilises un déboggeur qui ne sera pas affecté par cette
protection. Autrement, il faudra que tu arrives à justifier la
modification que tu as effectuée pour permettre l'analyse, et donc à
démontrer que l'analyse était une obligation par laquelle tu devais
passer. Et c'est loin d'être gagné d'avance.

Dès lors, toute personne reproduisant ces 40 octets est
succeptible d'être poursuivi en contrefaçon par Tegam, qui
gagnera. Et cela même si cette reproduction est fortuite. Ainsi
est écrit le droit français. C'est une bonne chose lorsqu'il
s'agit d'une oeuvre littéraire ou filmographique, par exemple.

Je te parie que si je reproduis deux lignes d'un bouquin de 500
pages ou d'un article de journal sur mon site web, en indiquant
clairement le lien avec la source de ces lignes, je ne serais pas
condamné.

Oui, de part le droit à la citation. Pour autant, ce droit a des
limites, et elles ont été dépassées dans le cas présent. Pour reprendre
ton analogie, si tu reproduis un poème, fut-il issu d'un recueil de
10000 poèmes (pour conserver peut ou prou les proportions), tu seras
condamné, parce qu'il ne s'agit plus d'une citation, mais de la
reproduction d'une oeuvre à part entière.

Dans ce cas, précis, il serait bon que les logiciels soient
traités comme toutes les autres "oeuvres de l'esprit". Guillermito
n'aurait jamais été condamné pour une "citation" aussi mineure.

Là, tu as tout faux, car justement Guillaume a été condamné parce que
les logiciels sont traités comme toutes les autres "oeuvres de
l'esprit". En fait, tu part d'un principe erronée, celui qui voudrait
qu'un logiciel soit la seule oeuvre à prendre en compte. Or, ce n'est
pas pour rien que j'ai pris un recueil de poèmes dans mon exemple
précédant. Un logiciel est comparable à un tel recueil, il s'agit d'une
compilation d'oeuvres, les différentes routines.
En en reproduisant une dans son ensemble, Guillaume a dépassé les
limites du droit à la citation pour entrer dans le domaine de la
contrefaçon.

En aucun cas, au contraire même. Il n'est pas besoin d'en
connaitre la cause pour voir que la clémence du verdict démontre
avec certitude que la justice n'est pas sourde aux raisons à
l'origine des actes.

Tu te bases sur la sévérité du verdict. Je me base sur le texte du
jugement.

Non, je me base sur les deux, la première découlant du second.

Ce qui est contestable, c'est que ce jugement restreint les
possibilités en ce qui concerne la publication de proof-of-concept.

Si tel était le cas, Guillaume aurait été condamné pour avoir publié
le résultat de ses analyses. Or, seules la modification et la
distribution d'un logiciel permettant cette modification, logiciel
qualifié de contrefaçon, sont citées comme cause de la condamnation.
Il en résulte que la seule restriction concernant la publication de
PoC n'est qu'un rappel de la loi, autrement dit une restriction qui a
*toujours* existé. Le fait est que Tegam est le premier éditeur à faire
valoir, en France, ses droits en la matière, les autres éditeurs
considérants sans doute, et à juste titre, que le préjudice subit est
inférieur aux bénéfices qu'il a procuré.

[...] je refuse d'admettre que – sur le principe – réutiliser les
routines de checksum de Viguard dans ses PoC ait été une erreur.

Ce n'est pas une erreur, c'est un délit. La seule façon de plaider la
légalité d'un tel acte, c'est de s'appuyer sur la mise en danger des
biens d'autrui, et d'espérer que la justice suivra.


Pas de Fu2, merci de limiter de vous mêmes et/ou de mettre un suivi
sur l'un des deux forums en fonction de la nature de votre réponse.
Attention, fr.comp.securité est modéré, prévoir un délait de
publication.
--
"En amour, on plaît plutôt par d'agréables défauts que par des qualités
essentielles ; les grandes vertus sont des pièces d'or, dont on fait
moins usage que de la monnaie"
Ninon de Lenclos

Nicob nous disait récement dans fr.comp.securite
<news:pan.2005.03.19.23.45.45.738100@I.hate.spammers.com> :

Cross-post fcs/fmdi et fu2 fmdi positionné ...
Modifié fcs/fmd, je ne vois guère le rapport avec internet.

Si quelqu'un publie un PoC qui utilise les mêmes structures de
données que PipoMessenger pour envoyer des paquets déclenchant le
débordement, ce quelqu'un devra au préalable vérifier qu'il
produit un code substantiellement différent de celui de
PipoMessenger, sinon, il risquera un procès.

Et vu que le code sera basé sur l'analyse (par quel moyen que ce
soit) du fonctionnement de PipoMessenger, l'exploit sera au moins
fonctionnellement équivalent au produit, [...]

S'il s'était agit de littérature, je t'aurais dit que oui, il y a
contrefaçon. Mais il est ici question de logiciel, et l'équivalence ne
suffit pas. Fort heureusement d'ailleurs, puisqu'un anti-virus, par
exemple, est équivalent à un autre anti-virus.

Faudra que je regarde en détail quelques exploits existants, je
suis sur qu'on peut trouver plein d'exemples de "contefacons"
dans ce style.

Un parmi d'autres : un plugin de Nesus, où les paquets MS-SQL sont
créés à partir du reverse-engineering de captures réseau :
[Snip]

En dehors du monde de la sécurité, le projet Samba a commencé à
partir du reverse-engineering de composants SMB/CIFS de Microsoft.

Dans les deux cas, droit à l'analyse, code différent et
interopérabilité entre deux logiciels. Rien d'illégal dans tout cela.

L'exception de courte citation est explicitement ou implicitement
acceptée pour tous les autres types de médias.

Et 40 octets, c'est *très* peu. Il faut bien garder à l'esprit que
cela ne représente que 5 (!) caractères ASCII.

Comme l'a fait remarqué un contributeur refusé : 40 octets, cela
représente 40 caractères ASCII. J'irais plus loin en disant que cela
représente une vingtaine d'opcodes assembleur. Les probabilités pour
que deux routines différentes aboutissent à une telle similitude est
quasi nulle.

D'ailleurs, revenons sur le texte du jugement :

[...]Guillaume T. [...] ne démontre pas qu'il avait acquis la
licence de ce produit, et surtout cet article édicte in fine
"qu'il ne saurait être interprété comme permettant de porter
atteinte à l'exploitation normale du logiciel ou de causer un
préjudice injustifié à son auteur".
[snip]

* Soit le terme "exploitation normale" fait référence à
l'exploitation commerciale, [...]

* Soit ce terme désigne l'usage courant [...]

Reportes-toi simplement aux raisons de la condamnation, et tu verras
que le terme désigne ici le fonctionnement du logiciel :

"Il résulte de ce qui précède que Guillaume T. a effectivement
reproduit, modifié, et rassemblé tout ou partie du logiciel Viguard
puis procédé à la distribution gratuite de logiciels tirés des sources
du logiciel Viguard. Il sera donc déclaré coupable et condamné [...]"

La reproduction et la distribution qualifie le délit de contrefaçon,
et la modification qualifie l'atteinte à l'exploitation du logiciel. La
notion de préjudice intervient aussi, puisque la distribution d'une
contrefaçon porte atteinte aux droits d'auteur.


Pas de Fu2, merci de limiter de vous mêmes et/ou de mettre un suivi
sur l'un des deux forums en fonction de la nature de votre réponse.
Attention, fr.comp.securité est modéré, prévoir un délait de
publication.
--
"En amour, on plaît plutôt par d'agréables défauts que par des qualités
essentielles ; les grandes vertus sont des pièces d'or, dont on fait
moins usage que de la monnaie"
Ninon de Lenclos

Le dimanche 20 mars 2005 à 04:44:32, dans <d1iss9.3vv6q5b.1@sc4x.org> vous écriviez :

[Article 122-6-1 III]
"La personne ayant le droit d'utiliser le logiciel peut sans
l'autorisation de l'auteur observer, étudier ou tester le
fonctionnement de ce logiciel afin de déterminer les idées et principes
qui sont à la base de n'importe quel élément du logiciel lorsqu'elle
effectue toute opération de chargement, d'affichage, d'exécution, de
transmission ou de stockage du logiciel qu'elle est en droit
d'effectuer."

Autrement-dit, n'importe quelle personne est en droit d'analyser
n'importe quel logiciel, du moment qu'il possède une licence valide
pour ce logiciel.

Mag Secours vient de sortir une courte analyse (1) à ce sujet, faite par
une avocate, et qui ne va pas dans ce sens :
http://www.mag-securs.com/article.php3?id_article!45

"Aussi, dès qu'un acte qui aurait du être autorisé par le titulaire
des droits est réalisé sans son consentement, la contrefaçon est
caractérisée et ce indépendamment de toute communication au public ou
de l'acquisition d'une licence."

(1) perso, je préfère quand Mag Secours sort de courts analyses que
des longues déclarations ;)

Pas de Fu2, merci de limiter de vous mêmes et/ou de mettre un suivi
sur l'un des deux forums en fonction de la nature de votre réponse.
Attention, fr.comp.securité est modéré, prévoir un délait de
publication.

suivi à : fr.misc.droit


Ewcia

--
Niesz

Benoit Leraillez devait dire quelque chose comme ceci :

Que ne faut-il entendre, mais gardons l'image.

Constructif comme réponse, c'est dingue...

Et qu'est-ce-qui rend une routine fautive ?

Et qui a dit qu'une routine était fautive ? :-/

Un vers ou une strophe qui seuls ne sont pas faux mais dans le
poème mettent tour par terre. Donc la citation d'une fausse note
rend-elle compte de l'idée d'erreur ?

Encore faudrait-il que la routine citée contienne une erreur en
son sein, ce qui n'était pas le cas. D'ailleurs elle n'a pas été
reprise dans le but de rendre compte d'une erreur à proprement
parler, mais d'une illusion marketing.



Fu2 comme je l'avais moi-même demandé...

--
La justice démontre qu'elle est moins rétrograde que le parquet,
toutefois... Coupable !
<http://maitre.eolas.free.fr/journal/index.php?2005/03/08/87-guillermito-condamne-mais-tres-legerement>

Stephane Catteau wrote:

Il est donc normal qu'ils aient fait de ce point [NdA : l'absence de
license valide] le centre de leurs attaques, puisque puisqu'ils
n'avaient aucun moyen de savoir si leurs arguments convaincraient
la justice qu'il y avait bien eu contrefaçon.

Le hic, c'est qu'ils n'en ont pas fait le centre de leurs attaques.
Et que les juges n'en ont pas non plus fait le centre de leur
jugement. Seuls les observateurs extérieurs (moi y compris) se sont
persuadés, à l'issue de l'instruction puis de l'audience, que c'est
la seule chose qui pourrait etre reprochée à Guillermito par les
juges. On s'est plantés. Maintenant, il se trouve que les faits ne
reflètent pas nos suppositions initiales.

Autrement-dit, n'importe quelle personne est en droit d'analyser
n'importe quel logiciel, du moment qu'il possède une licence valide
pour ce logiciel.

Il n'en reste pas moins qu'il serait bon de savoir si les opérations
de chargement, d'affichage, d'exécution, de transmission ou de
stockage, ca inclut le désassemblage et le déboguage. M'enfin,
puisque ca n'est pas explicitement interdit, je suppose que ca doit
être autorisé.

Quant au terme "exploitation", amha, et puisqu'il vient du CPI, il
couvre la distribution du logiciel et son utilisation.

L'aspect commercial _et_ l'aspect technique, donc. Nous y
reviendrons.

Non, pourquoi cela serait-il une limite ? Un checksum, c'est le
calcul d'une somme, or il existe plusieurs façon de faire un
calcul, tout mathématicien te le dira. Il suffirait de faire X * Y
au lieu de Y * X et de permuter ainsi à chaque fois que cela est
possible, pour que le résultat diffère suffisement pour compliquer
la qualification du délit de contrefaçon.

D'après toi, si je prends un exécutable commercial, que je le passe
un coup a "pervert2" (remplace certaines instructions assembleur par
d'autres instructions équivalentes, pour résumer), que je le "rebase"
(modification de l'adresse de base qui sert au calcul des adresses
mémoires statiques dans le programme) que je passe le résultat a une
moulinette polymorphique quelconque et que je change un peu
l'interface graphique, je peux le revendre sans etre inquiété, parce
que le résultat est suffisamment différent de l'original ? Il me
semble pourtant que c'est pour éviter ce genre de magouilles que
la loi a été concue. Et que la similitude instruction-a-instruction
entre original et contrefacon devrait etre un élément secondaire.

De plus, il suffit d'écrire cela dans un autre langage que celui
utilisé pour faire le programme, pour que la routine soit différente.

Rien avoir avec la choucroute, mais ca me donne une idee de
challenge amusant dans le style des obfuscated * challenges.
Ca consisterait à filer un listing assembleur et à demander
des ensembles (listings HLL, compilo, options de compil) produisant
le code asm le plus proche du code fourni. A creuser.

Guillaume à commis l'erreur de reprendre la routine directement au
niveau assembleur, au lieu de chercher à la réécrire lui-même.

Il me semble bien que Guillaume l'a réécrite de memoire, en
assembleur. Il a logiquement utilise' la méthode la plus optimale.
C'est aussi ce que fait un compilo. Dommage.

Pas substantiellement différent, juste différent. En dessous de 50%
de similitude du code, il ne peut en aucun cas y avoir contrefaçon.

50%, ca ne veut rien dire. Il faut d'abord fixer l'echelle
d'observation : un logiciel complet ? une routine ?

Il suffit donc d'écrire soi-même le code créant le message, pour
que le risque de contrefaçon du code disparaisse.

Bof. Il y a des petites routines trés standard que 9 developpeurs sur
10 écriront de la meme manière, les compilos se chargeant d'effacer
les différences non significatives.

Par conséquent, la seule façon de porter atteinte à l'exploitation
d'un logiciel lorsque l'on se contente de l'analyser, c'est de
modifier le-dit logiciel.

Plus ca va, moins cette interprétation de la loi me parrait crédible.
Si je supprime les bases de signatures de mon AV juste pour voir
(ca porte atteinte à son utilisation), et que j'ecris
sur mon site web que ca ne marche plus, je suis hors la loi ? Non,
hein. Par contre, si je le désassemble, que je rajoute un ret dès
le debut du programme, que je publie ma modif (pas le logiciel,
juste ma modif) et que j'explique que ca ne marche plus, je suis
hors la loi ? Ca ne tient pas la route.

Il faut bien comprendre l'esprit de la loi. L'esprit est d'empécher
des modifications permettant de contourner les systemes de
vérification de license. Les cracks, les versions crackées et les
keygens, quoi. Pas d'empecher les PoC a la Guillermito. En l'espece,
appliquer la loi à la lettre est un non-sens.

La protection contre la copie n'empèchera pas le déboggeur de
fonctionner [...]

OK. J'ai fait un gros raccourci. Je voulais bien sur parler des
techniques d'anti-debugging ou anti-desassemblage.

Par contre, s'il est protégé contre le déboggage, il
faut que tu utilises un déboggeur qui ne sera pas affecté par cette
protection.

Ou plus prosaiquement, tu detourneras isDebuggerPresent(), par
exemple. La, c'est le système que tu modifies (si on peut dire),
pas le programme. Mais le programme est concu pour tourner
sur un système donné, pas sur un système modifié, tu portes donc
atteinte a son exploitation. Et paf.

Autrement, il faudra que tu arrives à justifier la
modification que tu as effectuée pour permettre l'analyse, et donc à
démontrer que l'analyse était une obligation par laquelle tu devais
passer. Et c'est loin d'être gagné d'avance.

..et selon toi ca n'est pas une limite à la recherche et à la
publication de failles ?

Pour reprendre ton analogie, si tu reproduis un poème, fut-il
issu d'un recueil de 10000 poèmes (pour conserver peut ou prou
les proportions), tu seras condamné, parce qu'il ne s'agit plus
d'une citation, mais de la reproduction d'une oeuvre à part
entière.

Dis donc, tu crois pas que tu exagères un tout petit peu en
comparant un machin à base de XOR modifié que ma soeur aurait
pu coder un soir de chouille avec un poème ? Il faut quand meme
que l'on accorde de la valeur a l'oeuvre, en plus de son originalité.
Sinon je vais te faire un procès pour avoir oser quoter mon message
précédent, qui est lui aussi soumis au droit d'auteur. Or prise isolément,
cette routine de Viguard n'a absolument aucune valeur.

Un logiciel est comparable à un tel recueil, il s'agit d'une
compilation d'oeuvres, les différentes routines.

Moi qui croyait que c'etait similaire a un roman, une compilation
de phrases, ou à un film, une compilation de scenes. Je suis décu.

Pas de Fu2, merci de limiter de vous mêmes et/ou de mettre un suivi
sur l'un des deux forums en fonction de la nature de votre réponse.
Attention, fr.comp.securité est modéré, prévoir un délait de
publication.

Comme explique' dans un message precedent, ma plateforme web2news ne
permet pas ce genre de subtilites.

--
Posté via http://www.webatou.net/
Usenet dans votre navigateur !
Complaints-To: abuse@webatou.net

In article <3a5up3F68u1e5U1@individual.net>,
NO_eikaewt_SPAM@hotmail.com says...

Guillaume à commis l'erreur de reprendre la routine directement
au

niveau assembleur, au lieu de chercher à la réécrire lui-même.

Il me semble bien que Guillaume l'a réécrite de memoire, en
assembleur. Il a logiquement utilise' la méthode la plus optimale.

Euh. Je n'ai jamais repris de routine exécutable. Juste quelques
octets de données (jamais exécutés) qui servaient à masquer par XOR
certains types de fichiers. C'est pour ça que je suis condamné.
Enfin, je suppose, mais je n'en sais trop rien, puisque de toute
façon, nulle part n'est indiqué exactement où est la contrefaçon.
Le contenu de ces fichiers me permettait de découvrir de nouvelles
vulnérabilités. Voir l'explication précise chez Kitetoa:

http://www.kitetoa.com/Pages/Textes/Textes/25012005-Tegam_versus_Gu
illermito/17032005-tegam-versus-guillermito-impacts-proces-premiere
-instance-combien-d-octets-faut-il-copier-pour-contrefaire-un-logic
iel.shtml

Ou

http://nanolink.fr/kitetoa

--
G.