Loi sur l'Economie Numérique et cryptologie

Autant que j'arrive à le comprendre sur
<http://www.assemblee-nationale.fr/12/dossiers/economie_numerique.asp>
la (future) loi Française sur l'Economie Numérique prévoit
(après compilation de diverses sources, en retirant ce qui concerne
les "prestations de cryptologie", les "sanctions administratives" et
les "Dispositions de droit pénal")

"Article 17
On entend par moyen de cryptologie tout matériel ou logiciel conçu
ou modifié pour transformer des données, qu'il s'agisse d'informations
ou de signaux, à l'aide de conventions secrètes ou pour réaliser
l'opération inverse avec ou sans convention secrète.
Ces moyens de cryptologie ont principalement pour objet de garantir
la sécurité du stockage ou de la transmission de données,
en permettant d'assurer leur confidentialité, leur authentification
ou le contrôle de leur intégrité."


Commentaire: prise a la lettre, cette définition implique que un
programme qui chiffre avec une clé publique (donc sans convention
secrète) n'est pas un moyen de cryptologie, mais le devient s'il
offre le moyen de déchiffrer. L'intention était peut-être inverse !


"Article 18

I. - L'utilisation des moyens de cryptologie est libre.

II. - La fourniture, le transfert depuis ou vers un Etat membre
de la Communauté européenne, l'importation et l'exportation des
moyens de cryptologie assurant exclusivement des fonctions
d'authentification ou de contrôle d'intégrité sont libres."


Commentaire: excellent.


"III. - La fourniture, le transfert depuis un Etat membre de la
Communauté européenne ou l'importation d'un moyen de cryptologie
n'assurant pas exclusivement des fonctions d'authentification ou de
contrôle d'intégrité sont soumis à une déclaration préalable auprès
du Premier ministre, sauf dans les cas prévus au b du présent III.
Le fournisseur ou la personne procédant au transfert ou à l'importation
tiennent à la disposition du Premier ministre une description des
caractéristiques techniques de ce moyen de cryptologie, ainsi que
le code source des logiciels utilisés.
Un décret en Conseil d'Etat fixe :

a) Les conditions dans lesquelles sont souscrites ces déclarations,
les conditions et les délais dans lesquels le Premier ministre peut
demander communication des caractéristiques du moyen, ainsi que la
nature de ces caractéristiques;

b) Les catégories de moyens dont les caractéristiques techniques ou
les conditions d'utilisation sont telles que, au regard des intérêts
de la défense nationale et de la sécurité intérieure ou extérieure de
l'Etat, leur fourniture, leur transfert depuis un Etat membre de la
Communauté européenne ou leur importation peuvent être dispensés de
toute formalité préalable.

IV. - Le transfert vers un Etat membre de la Communauté européenne
et l'exportation d'un moyen de cryptologie n'assurant pas exclusivement
des fonctions d'authentification ou de contrôle d'intégrité sont soumis
à autorisation du Premier ministre, sauf dans les cas prévus au b du
présent IV. Un décret en Conseil d'Etat fixe :

a) Les conditions dans lesquelles sont souscrites les demandes
d'autorisation ainsi que les délais dans lesquels le Premier ministre
statue sur ces demandes ;

b) Les catégories de moyens dont les caractéristiques techniques
ou les conditions d'utilisation sont telles que, au regard des intérêts
de la défense nationale et de la sécurité intérieure ou extérieure de
l'Etat, leur transfert vers un Etat membre de la Communauté européenne
ou leur exportation peuvent être soit soumis au régime déclaratif et
aux obligations d'information prévus au III, soit dispensés de toute
formalité préalable."


Commentaire: Voila qui nous remettrait dans la détestable situation
où l'autorisation ou l'interdiction de la circulation de moyens de
cryptologie forte (cad qui résistent aux moyens de l'Etat) dépend
d'une simple valeur dans un décret.
Je rapple que sous Lionel Jospin, un décret a changé la limite de
40 à 128 bits de clé (pour les clés secrètes), bouleversant ainsi
complètement l'effet de la loi, avec l'effet pratique de légaliser
la cryptologie forte (même si une déclaration préalable et la limite
de 128 bits reste formellement nécessaire), alors qu'initialement
l'esprit de la loi était de l'interdire.
Une telle manière de procéder pouvait se comprendre pour légaliser
rapidement la circulation des logiciels indispensables à la sécurité
d'internet.
On pourrait à la rigueur comprendre que le législateur fasse machine
arrière. Mais le moins que l'on soit en droit attendre d'une nouvelle
loi est de vraiment trancher cette question simple: sur la base de
quel principe la circulation de moyens de cryptologie forte (en
particulier de logiciels) est-elle autorisée ?

Du fait que l'utilisation (donc par conséquent la détention, il me
semble) de moyens de cryptologie forte est libre, il est de fait
illusoire de restreindre la circulation des logiciels gratuits.
Pourquoi alors donner à un décret les moyens de restreindre la
circulation des logiciels payants, dont je ne vois pas que leur
circulation puisse être plus dangereuse pour "les intérêts de
la défense nationale et de la sécurité intérieure ou extérieure
de l'Etat" ?


François Grieu