SSH

LaDDL wrote:

Roland Garcia wrote:

Kitetoa a bien été sanctionné en
première instance où les juges s'en sont tenu strictement au texte
contre l'avis du procureur lui-même. Sans l'appel de l'avocat général
cette affaire en serait resté là.

Nous sommes dans une société de droit où il est possible de faire appel.

Je n'en doute pas, mais vu le nombre d'articles de droit pénal
concernant les RSSI pour lesquels cette activité n'est pas du tout prise
en considération ça nous promet des dizaines d'appel.

Vous êtes parmi les volontaires ?

Roland Garcia

Cedric Blancher wrote:

Un éditeur, c'est une entreprise avec un/des dirigeant(s) qui ont des
exigences. Pour certains la qualité de leur produit compte avant tout
tandis que d'autres privilégient d'autres critères. Chacun suit ses
propres objectifs et sa stratégie de développement.

Ben justement. Chacun choisissant ses critères, rien n'oblige les
éditeurs à prendre ceux qui nous arrange sans pression réglementaire ou
de la part des clients.
Bah oui et c'est comme ça.

C'est la vie ! ;)

C'est d'ailleurs cette dernière pression qui
pousse Microsoft à tenter de recoller les morceaux depuis 2 ans,
sûrement l'amour du travail bien fait qui anime ses dirigeants. CQFD.
Même si les arguments que nous évoquons toi et moi ici ont influencé la

politique de sécurité de MS il n'en reste pas moins que cela fait partie
de leur stratégie. Car les développements de l'éditeur vont vers une
informatique de confiance : TCPA/TCG/Palladium/NGSCB/LaGrand.

Tu me demandes des références je t'en communique. On dit merci au lieu
de dénigrer hein ?! ;)

Je te parle de réglementation,
J'en ai parlé cf ici :

<40f5c021$0$18703$79c14f64@nan-newsreader-06.noos.net> , et depuis nous
poursuivons la discussion à ce sujet.

tu me réponds interviews.
Je te communique des références qui alimentent le débat juridique

notamment que ce soit en France ou bien outre-atlantique ou encore
ailleurs.

Je sais qu'il y
a pleins de gens qui considèrent que les éditeurs devraient être
responsabilisés...
Civilement, pénalement ça se discute. Et on en est loin encore me

semble-t-il.
Mais IHMO il faut responsabiliser les éditeurs avec des normes de
fabrication et qualité. Il y en a tellement qui font n'importe quoi que
ça devient urgent de mettre en oeuvre des mesures.

Tu vas bien vite en besogne. On verra...Observes aujourd'hui que de
nombreux développements informatiques se font déjà à l'étranger.

Et alors ?
Pour éviter tout malentendu je te rappelle ceci :

Tu me disais : "Si ton propos est de pondre un loi qui dira que tout
logiciel proposé devra s'accompagner d'engagements de responsabilité de
la part de l'auteur, (...)"
Ce à quoi j'ai répondu : "Tu vas bien vite en besogne. On verra..."

Ensuite quand tu dis : "(...) je crois qu'il ne va pas rester beaucoup
de développeur de LL en France. Mais bon..."
Je t'ai alors répondu : "Observes aujourd'hui que de nombreux
développements informatiques se font déjà à l'étranger."

Ça n'empêche pas les auteurs de tomber sous le coup de la loi
que je sache...
Où ai-je prétendu le contraire stp ?

En France, une question pourrait éventuellement être soumise un jour
aux tribunaux, celle de savoir si la responsabilité du fait des
produits défectueux est applicable à un logiciel à l'origine d'une
atteinte à la sécurité des personnes.

Sauf que cette sécurité dont on parle dans la loi est, pour le moment,
la sécurité matérielle et corporelle. Du fait, on se retourner vers le
code de la consommation et les concepts de vice cachés pour avoir une
chance, ou, pour les développements spécifiques, à des engagements
contractuels forts en matière de sécurité. N'empêche que la boîte qui a
perdu 3 jours de travail parce qu'un éditeur n'a pas été foutu de
développer une application Web en conformité avec les règles de l'art,
en général, elle peu aller à la superette du coin pour payer trois
boîtes de mouchoirs à son patron...
Tu constates/observes bien que c'est anormal, non ?.

L'éditeur doit donc être mis face à ses responsabilités quand c'est
nécessaire.

Enfin, je ne proposes rien si ce n'est évoquer les constats/discussions
en cours depuis qq temps à propos des failles dans les logiciels et de
la responsabilité des éditeurs.

Je suis heureux de voir que comme beaucoup de gens ici, tu lis la presse
et des publications Web.
Je suis ravi que tu découvres que tout comme toi je fais de la

corrélation de données/informations. Hooah ! Lol.

siostra Ani wrote:

Rolf.
Depuis quand cette nature/type de code est protégé par le droit d'auteur
et les droits voisins dans la société de l'information ?

Depuis quand le droit est sélectif selon votre bon vouloir ?
Quand une oeuvre relève ou non du droit d'auteur et des droits voisins !

Cedric Blancher wrote:

Les personnes "autorisées à pratiquer le RE" sont les chercheurs, les
professionnels de la SI/SSI, certains organismes gouvernementaux.
Sinon à titre individuel et privé c'est à ses risques et périls.

Ben justement, tout le problème est là.
Peux-tu développer stp ?

Mais je sais qu'il est inutile de discuter de ça avec toi.
Dis tu pourrais pas mettre tes certitudes, à priori, préjugés au placard

pour une fois. Merci !

Le Fri, 16 Jul 2004 12:31:51 +0000, LaDDL a écrit :

Ben justement, tout le problème est là.
Peux-tu développer stp ?

Qu'énormément de travail en sécurité informatique est fait à titre
personnel et privé, par des gens qui ne travaillent pas toujours dans le
milieu. C'est tout. C'est un fait. Et beaucoup de gens utilisent les
logiciels, résultats de ces études.


--
ED : (Intel) ne fait que des circuits electroniques.
ALG: et quasiment d'un seul type : des 4004 et leurs divers dérivés.
Accessoirement, c'est aussi un fabricant de chauffage d'appoint.
-+- ALG in Guide du Macounet Pervers : Bien choisir son chauffage -+-

Roland Garcia wrote:

LaDDL wrote:

Nicob wrote:
Et bien expliquez-moi comment vérifier si un logiciel contient un cheval
de Troie ou un spyware sans tomber dans l'illégalité, le tout sans
bosser (évidemment) pour l'éditeur du produit. Si vous avez un moyen
*sûr* (ie. vous seriez prêts à aller en procès pour ça) quant au droit
français actuel, faites-moi signe ...

Les personnes "autorisées à pratiquer le RE" sont les chercheurs, les
professionnels de la SI/SSI, certains organismes gouvernementaux.

Faux,
C'est une activité "légitimée" par tous les acteurs français de la

SI/SSI.

Maintenant en droit français un accès non autorisé dans un système
informatique constitue un délit d'introduction frauduleuse.

Une démarche de recherche scientifique n'est pas davantage une excuse
autorisant à démontrer l'existence d'une faille dans un système.
(Cf affaire GIE/Serge Humpisch).

Ainsi, tester de sa propre initiative, les faiblesses de la sécurité
informatique d'un système est un délit pénal. De manière classique, la
motivation ne supprime pas l'intention frauduleuse.
En d'autres termes, la carence d'un organisme à sécuriser les données
personnelles qu'il traite n'est pas une excuse ou une circonstance
atténuant la responsabilité pénale de ceux qui chercheraient, par des
moyens frauduleux, à accéder au système.
(cf http://www.01net.com/article/194188.html)

Ensuite on peut parler de l'affaire Kitetoa où la Cour considère qu'on
ne peut pas reprocher à un internaute d'accéder ou de se maintenir dans
les parties d'un site accessible par la simple utilisation d'un logiciel
de navigation, et que : "ces parties de site, qui ne font par définition
l'objet d'aucune protection de la part de l'exploitant du site ou de son
prestataire de services, devant être réputées non confidentielles à
défaut de toute indication contraire et de tout obstacle à l'accès. La
détermination du caractère confidentiel et des mesures nécessaires à
l'indication et à la protection de cette confidentialité relevant de
l'initiative de l'exploitant du site ou de son mandataire".
On ne peut toutefois pas généraliser au regard des particularités de
cette affaire et considérer que la jurisprudence considère désormais que
l'absence de sécurité suffisante d'un système empêche la caractérisation
du délit d'accès frauduleux.

z'avez le texte ?
Cf ci-dessus. Et je vous invite à bien relire les textes & consulter un

avocat spécialisé si nécessaire.
http://www.senat.fr/dossierleg/pjl02-195.html

Autrement, reportez-vous aux éléments ci-haut et lois suivantes :
Loi Godfrain
Loi Informatique & Libertés
Loi sur la Sécurité Quotidienne
Maintenant la LCEN


Juste pour rappel un extrait de Christian Le Stanc tiré de "Du Hacking
considéré comme un des beaux arts et de l'opportun renforcement de sa
répression" de la Revue Communication avril 2002 :
"Il n'est pas licite de pénétrer chez autrui sans autorisation et que,
notamment, l'infraction de violation de domicile peut être constituée
sans qu'il faille avoir égard à la hauteur du mur d'enceinte ou à la
résistance de la serrure."

Sinon à titre individuel et privé c'est à ses risques et périls.

Allez expliquer à un juge que sauf texte précis la loi n'est pas la même
pour tout le monde, et de texte précis il n'y en a pas.
Le droit français est très complet cf plus haut exemples & lois.

La LCEN a introduit ce concept de motif légitime afin de laisser le juge
apprécier.

En conséquence soit c'est autorisé soit c'est interdit, point.
C'est un délit pénal mais on ne peut toutefois pas généraliser et

considérer que la jurisprudence considère désormais que l'absence de
sécurité suffisante d'un système empêche la caractérisation du délit
d'accès frauduleux.

Demandez à Filiol ce qu'il en pense.....
Plus largement les professionnels de l'industrie culturelle n'ont pas su

appréhender Internet pour créer de nouveaux services & usages afin de
satisfaire leurs clients ! Alors que de nombreux professionnels de
l'industrie informatique et télécom n'ont cesser de leur donner des
conseils pour lancer des expérimentations, etc.
Et ils n'ont donc rien trouver de mieux pour limiter leurs problèmes que
de s'en prendre aux utilisateurs en les accusant de piratage &
par-dessus tout tenter de casser le Peer to Peer qui est sans aucun
doute l'avenir de la collaboration, de l'échange en réseau. C'est IHMO
scandaleux. Alors que les oeuvres culturelles en question quand ils
s'agit d'originaux et non de copies privées ne proviennent que des
entreprises de l'industrie culturelle justement par malveillance ou
piratage !!! Certaines brebis galeuses sont chez vous et pas ailleurs !
Un autre exemple : les DVD promos à un période encore récente étaient
adressées à la presse. Et certains individus peu scrupuleux les ont été
mis en ligne dès réception plusieurs mois avant la sortie officielle des
films. Mais toutes ces actions ont contribué a créé un (leur) marché de
la culture en ligne (musique, cinéma, radio, etc).

Qq conseils, professionnels de l'industrie culturelle vous faites très
bien votre métier mais l'industrie informatique dispose elle aussi de
professionnels très compétents dans leur domaines.
=> Rapprochez-vous d'eux car c'est leur métier
=> Réorganisez-vous
=> Développez une politique de gestion des risques chez vous en interne
pour éviter les problèmes de piratage de vos oeuvres par des employés
peu scrupuleux des droits d'auteurs et des artistes.
=> Développez une politique de sécurité.
=> Etc.

=> VOUS EVITEREZ AINSI DE VOIR SE PROMENER DANS LA NATURE DES ORIGINAUX
et vous pourrez assurer correctement la gestion & protection des droits
d'auteurs.

Enfin criminaliser ceux qui pratiquent la copie privée qui est
totalement légitime est proprement scandaleux.

Voilà j'en ai terminé avec ce petit coup de gueule. ;)

LaDDL <alamaisonMOVEOUT@HIt-THE-DIRTnoos.fr> wrote:

- A quel prix ?
Faire porter une responsabilité aux éditeurs.

Pas évident du tout à mettre en application car un logiciel ne viellit
pas avec le temps, le code reste du code mais :

- des bugs sont toujours présents en fonction du nombre de lignes et un
éditeur qui sort une aplication un peu lourde ne pourra jamais passer sa
vie à sortir des updates sur les version anciennes en ayant une partie
de ses développeurs qui ne font que patcher du code ayant des lustres
pour les version N-1, N-2, N-3, N-X ;

- des bugs peuvent apparaître parce que l'environnement dans lequel est
amené à tourner le code a évolué (nouvel OS, évolution ou update de
l'OS, patch de l'OS...)

Donc comment un éditeur peut-il s'assurer que la version sur laquelle
il travaille depuis des mois saura être impeccable le jour où elle
sortira car l'OS n'aura pas bougé entre temps & que dans les millions de
lignes il aura réussi à tester toutes les possibilités d'utilisations
afin d'etre tranquille pour les années à venir.

--
Nos émissions ont pour vocation de rendre le cerveau disponible :
c'est-à-dire de le divertir, de le détendre pour le préparer entre
deux pubs. Ce que nous vendons à Coca-Cola, c'est du temps de cerveau
humain disponible. (P. Le Lay)

Erwan David wrote:

LaDDL <alamaisonMOVEOUT@HIt-THE-DIRTnoos.fr> écrivait :
Les personnes "autorisées à pratiquer le RE" sont les chercheurs, les
professionnels de la SI/SSI, certains organismes gouvernementaux.

Sinon à titre individuel et privé c'est à ses risques et périls.

Ah non. Ça c'était dans la première proposition de loi et ça a été
retiré...
Tester de sa propre initiative, les faiblesses de la sécurité

informatique d'un système est un délit pénal.

Le Fri, 16 Jul 2004 20:55:29 +0000, LaDDL a écrit :

La LCEN a introduit ce concept de motif légitime afin de laisser le juge
apprécier.

Elle a surtout introduit un nouveau délit, nuancé par un concept flou de
motif légitime...

Demandez à Filiol ce qu'il en pense.....
Plus largement les professionnels de l'industrie culturelle n'ont pas su

appréhender Internet pour créer de nouveaux services & usages afin de
satisfaire leurs clients ! Alors que de nombreux professionnels de
l'industrie informatique et télécom n'ont cesser de leur donner des
conseils pour lancer des expérimentations, etc.

J'ai pas bien compris le rapport avec Érice Filiol...

--
«Tiens, quand j'aurai un peu de temps et une partition libre, je crois
que je vais essayer de remplacer mes scripts de démarrage par des
programmes Windows lancés via Wine et binfmt_misc :-)»
-+- AGV in Guide du linuxien pervers - "J'sais pas quoi faire... (air connu)"

"LaDDL" a écrit

Nicob wrote:

- Sous quelle juridiction ?

Nationale et/ou européenne et/ou internationale.

C'est une blague?
Ajoute tribal au début et intergalactique à la fin et on a le summum de la
non réponse (quoique, interdimensionnel aussi...)

Le problème est que ce type de réponse qui ne veut rien dire (dans le sens
ne donne aucune information réelle) convient assez mal à la sécurité
informatique.
Non qu'il ne faille pas lancer des réflexion de fond, mais à un moment il
faut arrêter la masturbation intellectuelle et finir par proposer quelque
chose d'applicable et autant que possible *non ambigüe*.

Et quand quelqu'un ne peut que répondre des trucs du style "on verra bien à
la première utilisation" c'est clairement qu'il y a un manque de définition
(au minimum!) en amont.

Eric

--
L'invulnérable :
Je ne pense pas etre piratable, infectable par un trojen oui!
Vu sur fcs un jour de mars 2004.