SSH

Cedric Blancher wrote:

La LCEN fait prendre conscience de certains risques juridiques aux
acteurs concernés.

Ah, ben si tu le dis...

Tu oublies (peut être ?) que le responsable d'un traitement de données
est soumis à l'obligation de sécurité des informations, du traitement
des données sous peines de sanctions pénales. [cf loi informatique et
libertés de 1978]

Confusion de ma part. J'ai écrit loi du 79 à la place de loi de 78. Mais
bon, ce n'est pas la LCEN.

Même si je constate que nous partageons le même point de vue à ce
sujet j'aimerais ajouter qu'il y a d'autres raisons qui vont aussi
pousser un éditeur à améliorer la qualité de son produit : les bugs,
les failles, la protection logicielle, etc.

Quel est son intérêt de le faire si ni la réglementation, ni ses
clients ne le réclament ?
Un éditeur, c'est une entreprise avec un/des dirigeant(s) qui ont des

exigences. Pour certains la qualité de leur produit compte avant tout
tandis que d'autres privilégient d'autres critères. Chacun suit ses
propres objectifs et sa stratégie de développement.

Cf. refus par certains constructeurs d'admettre et donc corriger des
défaillances grave mais minoritaires.
C'est pas nouveau.

références peut-être ? :)
Par exemples :

*http://solutions.journaldunet.com/itws/011116_it_ntbugtraq_cooper.shtml

Ça, c'est une interview, pas un projet de loi.
Tu me demandes des références je t'en communique. On dit merci au lieu

de dénigrer hein ?! ;)
Mais ne t'attends pas à tomber sur un projet de loi, ce ne sont que des
constats, critiques, débats, discussions, échanges, etc... pour tenter
de faire bouger les choses et pourquoi pas changer ! ;p

*Le rapport CCIA [il me semble avoir posté le(s) lien(s) ici un petit
coup de DéjàNews]
*http://www.transfert.net/a9390

Encore une interview...
Oui et cf ci-dessus pourquoi.

*http://www.juriscom.net/pro/2/cta20011002.htm

Une réflexion, juste, mais pas non plus un projet de loi.
Oui et cf ci-haut pourquoi.

*http://www.juriscom.net/pro/2/da20020901.htm

Rapport avec la choucroute ?
Garanties & responsabilités dans les logiciels libres.

Si ton propos est de pondre un loi qui dira que tout logiciel proposé
devra s'accompagner d'engagements de responsabilité de la part de
l'auteur, je crois qu'il ne va pas rester beaucoup de développeur de LL
en France. Mais bon...
Tu vas bien vite en besogne. On verra...

Observes aujourd'hui que de nombreux développements informatiques se
font déjà à l'étranger.

En France, une question pourrait éventuellement être soumise un jour aux
tribunaux, celle de savoir si la responsabilité du fait des produits
défectueux est applicable à un logiciel à l'origine d'une atteinte à la
sécurité des personnes.

Une directive du 25 juillet 1985 sur la responsabilité du fait des
produits défectueux prévoit une protection du consommateur contre les
produits défectueux. Elle prévoit le principe d'un régime de
responsabilité sans faute des fabricants et distributeurs dès lors qu'un
produit fini cause des dommages corporels ou matériels du fait d'un
défaut. Cette directive a été transposée par une loi du 19 mai 1998 dans
les articles 1386-1 à 1386-18 du Code civil. Un produit est défectueux
lorsqu'il n'offre pas la sécurité à laquelle on peut légitimement
s'attendre. Dans ce régime, les clauses limitatives de responsabilité
sont réputées non écrites, sauf si elles sont stipulées entre
professionnels et ne concernent que des dommages causés aux biens qui ne
sont pas utilisés principalement pour la consommation privée.

Enfin, je ne proposes rien si ce n'est évoquer les constats/discussions
en cours depuis qq temps à propos des failles dans les logiciels et de
la responsabilité des éditeurs.

Roland Garcia wrote:

LaDDL wrote:
La LCEN ne va pas sanctionner l'utilisateur de bonne foi possesseur de
code hostile/malveillant.
Reportez-vous au nombreux commentaires/remarques à ce sujet (déjà
longuement expliqué ici même sur ce NG). Même à certaines de vos
citations : "(...) l'avocat général Etienne Madranges: Il semble
inenvisageable d'instaurer une jurisprudence répressive dont il
résulterait une véritable insécurité permanente, juridique et
judiciaire, pour les internautes, certes avisés, mais de bonne foi, qui
découvrent les failles de systèmes informatiques manifestement non
sécurisés".

Vous démontrez exactement le contraire.
Absolument pas. Reprenez l'échange depuis le début.

Kitetoa a bien été sanctionné en
première instance où les juges s'en sont tenu strictement au texte
contre l'avis du procureur lui-même. Sans l'appel de l'avocat général
cette affaire en serait resté là.
Nous sommes dans une société de droit où il est possible de faire appel.

Le Fri, 16 Jul 2004 00:33:43 +0000, LaDDL a écrit :

Un éditeur, c'est une entreprise avec un/des dirigeant(s) qui ont des
exigences. Pour certains la qualité de leur produit compte avant tout
tandis que d'autres privilégient d'autres critères. Chacun suit ses
propres objectifs et sa stratégie de développement.

Ben justement. Chacun choisissant ses critères, rien n'oblige les
éditeurs à prendre ceux qui nous arrange sans pression réglementaire ou
de la part des clients. C'est d'ailleurs cette dernière pression qui
pousse Microsoft à tenter de recoller les morceaux depuis 2 ans,
sûrement l'amour du travail bien fait qui anime ses dirigeants. CQFD.

Tu me demandes des références je t'en communique. On dit merci au lieu
de dénigrer hein ?! ;)

Je te parle de réglementation, tu me réponds interviews. Je sais qu'il y
a pleins de gens qui considèrent que les éditeurs devraient être
responsabilisés...

Tu vas bien vite en besogne. On verra... Observes aujourd'hui que de
nombreux développements informatiques se font déjà à l'étranger.

Et alors ? Ça n'empêche pas les auteurs de tomber sous le coup de la loi
que je sache...

En France, une question pourrait éventuellement être soumise un jour
aux tribunaux, celle de savoir si la responsabilité du fait des
produits défectueux est applicable à un logiciel à l'origine d'une
atteinte à la sécurité des personnes.

Sauf que cette sécurité dont on parle dans la loi est, pour le moment,
la sécurité matérielle et corporelle. Du fait, on se retourner vers le
code de la consommation et les concepts de vice cachés pour avoir une
chance, ou, pour les développements spécifiques, à des engagements
contractuels forts en matière de sécurité. N'empêche que la boîte qui a
perdu 3 jours de travail parce qu'un éditeur n'a pas été foutu de
développer une application Web en conformité avec les règles de l'art,
en général, elle peu aller à la superette du coin pour payer trois
boîtes de mouchoirs à son patron...

Enfin, je ne proposes rien si ce n'est évoquer les constats/discussions
en cours depuis qq temps à propos des failles dans les logiciels et de
la responsabilité des éditeurs.

Je suis heureux de voir que comme beaucoup de gens ici, tu lis la presse
et des publications Web.


--

Donc, quelle idée de lancer KDE qui va prendre plus de RAM
que 1500 Xterms...
Heu tu fais quoi avec 1500 xterms? une cure xtermale?

-+- PL in GFA : terminalix chez les arvernes -+-

Nicob wrote:

On Thu, 15 Jul 2004 14:34:05 +0000, LaDDL wrote:

Le fait d'envoyer à un éditeur d'anti-virus un programme commercial
contenant manifestement un cheval de Troie (c'est arrivé) ou un spyware
(très courant) oblige à commettre théoriquement plusieurs délits:

Avant d'affirmer n'importe quoi prenez conseil auprès d'un avocat
spécialisé. Merci.

Et bien expliquez-moi comment vérifier si un logiciel contient un cheval
de Troie ou un spyware sans tomber dans l'illégalité, le tout sans
bosser (évidemment) pour l'éditeur du produit. Si vous avez un moyen
*sûr* (ie. vous seriez prêts à aller en procès pour ça) quant au droit
français actuel, faites-moi signe ...
Les personnes "autorisées à pratiquer le RE" sont les chercheurs, les

professionnels de la SI/SSI, certains organismes gouvernementaux.

Sinon à titre individuel et privé c'est à ses risques et périls.

Entretenir la confusion dans les esprits comme vous le faites c'est de
la mauvaise foi caractérisée et IHMO de la malhônneteté intellectuelle.
Ou bien vous êtes incompétent voire ignorant parce que vous ne maîtrisez
pas ce sujet en conséquence abstenez-vous.

Z'êtes déjà frottés à des avocats d'éditeurs ou autres détenteurs de
droits, pour des analyses techniquement exactes mais déplaisant à
l'entité en question ?
Nous entretenons de très bonnes relations avec les contructeurs,

éditeurs, équipementiers pour lesquels nous remontons leurs failles,
vulnérabilités. Pourquoi ? Parce que pour toute vulnérabilité découverte
et n'ayant pas déjà fait l'objet d'une annonce public, on notifie
l'éditeur et on s'engage à ne diffuser l'avis qu'après la sortie d'un
correctif ou d'une solution de contournement, ou à défaut, après
expiration d'une période de grâce (définie avec l'éditeur), ou la
constatation d'une exploitation de la vulnérabilité au sein de la
communauté. On informe systématiquement au préalable le constructeur,
l'éditeur ou l'équipementier. Une question d'éthique et d'exigence de
responsabilité.

Nicob wrote:

On Wed, 14 Jul 2004 11:01:12 +0000, LaDDL wrote:

L'industrie informatique/les éditeurs de logiciels vont devoir être
soumis aux mêmes responsabilités que les autres industries.

Comment ? Par qui ? Quand ? Sous quelle juridiction ? A quel prix ?
Dis ça t'arrive jamais d'être courtois. Que Usenet a bien changé ! >p

Enfin bref, je vais tenter de répondre à tes questions les unes après
les autres :
- Comment ?
Par exemples : par l'application de normes, de mesures, d'une
réglementation, etc.

- Par qui ?
Par exemples : l'Afnor en France ; la justice des Etats ; la commission
Européenne ; les pays membres de l'OCDE ; etc.

- Quand ?
Va savoir...

- Sous quelle juridiction ?
Nationale et/ou européenne et/ou internationale.

- A quel prix ?
Faire porter une responsabilité aux éditeurs.

Nicob wrote:

On Thu, 15 Jul 2004 14:34:05 +0000, LaDDL wrote:
Mais vous insinuez, sous-entendez que les innocents risquent d'être
condamné !!! IHMO c'est complétement faux et par-dessus le marché
colporter ce genre de propos totalement erronés nuit gravement à la
bonne compréhension du cadre législatif en criminalité informatique.

C'est bizarre, mais il me semblait justement que c'était la peur que des
innocents soient condamnés via la lCEN (ie. personne ne veut être celui
par qui la jurisprudence arrivera) qui inquiétait le plus les
professionels de la sécurité informatique.
Cette loi oui sanctionne les crimes et délits informatiques. Et je suis

le premier à dire qu'elle comporte beaucoup d'imprécisions. Mais
pourquoi être inquiet si l'on à rien à se reprocher ?

Et que c'était d'ailleurs pour ça que de plus en plus de gens se la
jouent "profil bas", préférant limiter les risques judiciaires encourus
pour telle ou telle publication *techniquement exacte*.
Je pense justement que cette loi oblige à modifier la politique de

publication des failles et vulnérabilités.

Pour vous, tout est clair dans cette loi ?
Cf mes propos précédents.

J'ai déjà dit que je la trouvais imprécise et incomplète.

Par exemple, pas de "flou artistique" autour de cette phrase : "Le fait,
sans motif légitime, d'importer, de détenir, d'offrir, de céder ou de
mettre à disposition un équipement, un instrument, un programme
informatique ou toute donnée conçus ou spécialement adaptés pour
commettre une ou plusieurs des infractions prévues par les articles 323-1
à 323-3 [...]" ?
Bien sûr que si c'est flou. Que recouvre par exemple le concept de

"motif légitime" ? Rien que ça laisse libre court à des interprétations
qui peuvent s'avérer dangereuses.

Mais on dispose malgré tout d'un cadre législatif à présent qui permet
de sanctionner les crimes et délits informatique.

Le Fri, 16 Jul 2004 06:18:31 +0000, LaDDL a écrit :

Les personnes "autorisées à pratiquer le RE" sont les chercheurs, les
professionnels de la SI/SSI, certains organismes gouvernementaux.
Sinon à titre individuel et privé c'est à ses risques et périls.

Ben justement, tout le problème est là. Mais je sais qu'il est inutile
de discuter de ça avec toi.

Nous entretenons de très bonnes relations avec les contructeurs,
éditeurs, équipementiers pour lesquels nous remontons leurs failles,
vulnérabilités.
[blablabla]

Une question d'éthique et d'exigence de responsabilité.

Et évidemment, vous auditez tous les produits la planète, rapidement,
même les produits grand public. Je suis rassuré là.


--
Ca se fait pas du tout d'avoir donné toutes les adresses email des
votants C bon pour les spammers ça !
[suit la liste intégrale des votants mal quotée]
-+- AN in Guide du Neuneu Usenet : bien suivre sa logique -+-

"LaDDL" == LaDDL <alamaisonMOVEOUT@HIt-THE-DIRTnoos.fr> writes:

LaDDL> Mais on dispose malgré tout d'un cadre législatif à présent qui
LaDDL> permet de sanctionner les crimes et délits informatique.

Le premier problème soulevé par cette LCEN est qu'un justiciable est *à
priori* coupable, la charge de la preuve n'est plus à l'accusation,
c'est au justiciable de faire état de son innocence, qui est une
régression assez phénoménale.

L'autre problème soulevé est que la majorité des législateurs qui ont
créé ce texte et des magistrats qui l'appliqueront ne comprennent rien
aux technologies mises en cause.

J'ai des doutes sur le fait qu'ils s'entourent de personnes compétentes
et non partisanes dans le domaine sur lequel on leur demandera de rendre
justice, ce qui promet de belles dérives.

Eric Masson

--
RECHERCHE DES INGENIEURS DANS Linformatique IMPORTANT !!
Envoyez moi vos cV
-+- in Guide du Neuneu sur Usenet : Linformatique pour les nuls -+-

LaDDL wrote:

Nicob wrote:

Et bien expliquez-moi comment vérifier si un logiciel contient un cheval
de Troie ou un spyware sans tomber dans l'illégalité, le tout sans
bosser (évidemment) pour l'éditeur du produit. Si vous avez un moyen
*sûr* (ie. vous seriez prêts à aller en procès pour ça) quant au droit
français actuel, faites-moi signe ...

Les personnes "autorisées à pratiquer le RE" sont les chercheurs, les
professionnels de la SI/SSI, certains organismes gouvernementaux.

Faux, z'avez le texte ?

Sinon à titre individuel et privé c'est à ses risques et périls.

Allez expliquer à un juge que sauf texte précis la loi n'est pas la même
pour tout le monde, et de texte précis il n'y en a pas.

En conséquence soit c'est autorisé soit c'est interdit, point. Demandez
à Filiol ce qu'il en pense.....

Roland Garcia

Nicob wrote:

Par exemple, pas de "flou artistique" autour de cette phrase : "Le fait,
sans motif légitime, d'importer, de détenir, d'offrir, de céder ou de
mettre à disposition un équipement, un instrument, un programme
informatique ou toute donnée conçus ou spécialement adaptés pour
commettre une ou plusieurs des infractions prévues par les articles 323-1
à 323-3 [...]" ?

C'est à mon avis l'article le "moins pire" car par la notion de "motif
légitime" il permet au juge de constater une base légale à l'activité de
SSI, ce qu'aucun autre article précédent ne fait, d'où les problèmes.

Dans le cas de l'affaire Kitetoa il y avait bien intrusion consciente et
volontaire. Aucune intrusion pour "motif légitime" n'étant prévue il y
avait obligatoirement délit jusqu'à ce que la cour d'appel de Paris en
décide autrement en y admettant l'exception d'intrusion pour motif
légitime.

Roland Garcia