Au sommaire cette semaine : propriété intellectuelle avec Hadopi et le logiciel de sécurisation, la licéité du jailbreaking aux USA ou, plus généralement, du contournement des DRM dans le cadre du fair use, et la diffusion de données personnelles publiques sur Internet.
Propriété intellectuelle : Hadopi
On reparle encore, cette semaine, de l’Hadopi qui se met progressivement en place. C’est d’abord du décret 2010-695 du 25 juin 2010 instituant une contravention de négligence caractérisée protégeant la propriété littéraire et artistique sur internet dont il est question. Même s’il représente un modèle à ne pas suivre en termes de légistique, on finit par en comprendre la teneur après quelques lectures : lorsqu’une infraction est constatée, les autorités recommandent un logiciel au titulaire de l’abonnement à Internet ; celui-ci ne verra par la suite sa responsabilité engagée que s’il n’a pas installé ce logiciel et qu’une nouvelle infraction est constatée. Un juriste souligne le problème : ce n’est pas la sécurisation de l’accès à Internet qui permet d’écarter la responsabilité de l’internaute, mais le défaut de sécurisation de cet accès (c’est-à-dire le fait de ne pas installer le logiciel recommandé) qui constitue un élément constitutif de l’infraction. En d’autres termes, la charge de la preuve incombe au parquet. Or, il sera très difficile, en pratique, de démontrer de façon convaincante le défaut de sécurisation.
L’une des principales difficultés provient du logiciel de sécurisation lui-même. Un document confidentiel sur les moyens de sécurisation, émanant de l’Hadopi et publié par Numérama, expose plusieurs problèmes.
1) Le premier problème concerne le fonctionnement du logiciel. Celui-ci analyse l’activité de l’internaute et la consigne dans un journal (log). Ce journal est conservé, sur l’ordinateur de l’internaute, en deux versions : une version en clair, que l’internaute peut lire, et une version chiffrée et signée numériquement, que l’internaute ne peut pas (en principe) consulter ou altérer. En cas de contentieux, la version chiffrée est déchiffrée ; c’est elle qui fait foi. A ce stade, les spécialistes de la cryptologie auront compris le problème : les algorithmes basés sur une clé publique et une clé privée (la cryptographie asymétrique), utilisés dans ce genre de circonstances, supposent que l’expéditeur et le destinataire du message se font confiance. Or, ici, l’Hadopi ne peut pas faire confiance à l’internaute.
Petite explication. L’expéditeur Alice (par convention) génère une clé privée, qu’elle garde secrète, et une clé publique qu’elle communique au destinataire, Bob (idem). Celui-ci chiffre le message avec la clé publique d’Alice et l’envoie à cette dernière. Alice déchiffre ensuite le message à l’aide de sa clé privée. L’idée essentielle est que la clé publique d’une personne permet aux tiers de chiffrer les données pour cette personne, et pour elle seule.
Dans le cas du logiciel Hadopi, le «tiers de confiance» (par rapport à Hadopi), éditeur du logiciel de sécurisation, a pour mission de chiffrer le contenu du journal de l’internaute. Il doit donc installer sa clé publique dans le logiciel de sécurisation qu’il édite, sur l’ordinateur de l’internaute. Conclusion : il suffit à l’internaute de récupérer cette clé publique pour chiffrer n’importe quel message en se faisant passer pour le tiers de confiance (B). Il peut, par exemple, altérer le journal en clair, puis le chiffrer avec la clé du tiers de confiance, et l’envoyer à l’Hadopi à la place du véritable journal chiffré.
Il faut donc empêcher l’internaute de récupérer la clé contenue dans le logiciel. Mais cela n’est pas vraiment possible, même si ce logiciel est compilé et que son code est obscurci (obfuscated). Il y a toujours une possibilité de récupérer la clé, en trançant l’activité du logiciel lors du chiffrement du journal.
2) De là provient la deuxième difficulté : le document mentionne les logiciels libres. Or, par définition, le code source d’un logiciel libre est disponible, et peut être lu et modifié par tout le monde. La clé de chiffrement d’un logiciel libre ne peut donc pas être cachée.
Plus fondamentalement, à partir du moment où le logiciel de sécurisation a pour but d’espionner l’internaute, il ne peut pas être libre. S’il était libre, l’internaute pourrait le modifier pour qu’il ne surveille pas certaines de ses activités, privant ainsi l’espionnage de toute pertinence. Pire encore, dès lors que le logiciel fonctionne sur un système d’exploitation libre (i.e. Linux et al.), qu’il soit libre ou propriétaire, son fonctionnement peut être altéré en modifiant le système d’exploitation (p. ex. : le logiciel lui-même n’est pas modifié, il tente bien de recueillir les données prévues, mais c’est le système d’exploitation qui est modifié pour lui interdire l’accès à ces données).
3) La troisième difficulté porte sur une autre fonction du logiciel de sécurisation : le filtrage. Le logiciel a en effet pour rôle de bloquer une partie du trafic, que ce soit avec certaines sites, à l’aide de certains logiciel ou de certains protocoles, ou sur certains ports. L’efficacité du filtrage est remise en question par l’existence de plusieurs techniques, notamment de tunneling (VPN, Tor…) : un tunnel chiffré est créé entre l’émetteur et le récepteur, et les données par le tunnel sont protégées contre la surveillance venant de l’extérieur.
Autre élément inquiétant : il est envisagé, pour le futur, d’intégrer le logiciel de sécurisation directement dans le routeur ADSL (la «box»). Il deviendrait, de cette manière, beaucoup plus difficile à contourner. Cependant, il mettrait encore plus en péril la vie privée des internautes et leur liberté d’accéder à un Internet ouvert et dépourvu de censure.
Propriété intellectuelle : DRM
La loi américaine Digital Millenium Copyright Act (DMCA)(pdf,en) interdit le contournement des mesures techniques de protection et de gestions des droits numériques (MTP, en français, ou DRM pour Digital Rights Management en anglais). Les DRM empêchent par exemple de lire une chanson achetée sur l’iTunes Store avec un autre logiciel qu’iTunes et sur plus de 5 ordinateurs différents.
Or, la cinquième Cour itinérante vient de juger(en) que le contournement des DRM n’était illicite que s’il était réalisé dans le but de violer les droits de propriété intellectuelle. Le contournement des DRM pour un fair use de l’oeuvre est donc licite(en).
Conséquence immédiate : certaines sociétés qui ont pris la mauvaise habitude de «verrouiller» leurs appareils afin d’emprisonner les consommateurs dans leur écosystème commercial (comprendre : Apple iOS contre jailbreak), ne peuvent plus s’opposer légalement à la levée des mesures de protection… Mais elles peuvent toujours s’y opposer contractuellement (notamment en annulant la garantie !).
Vie privée et données personnelles
L’actualité de cette semaine, en matière de protection de la vie privée et des données personnelles, est dominée par deux affaires : la première concerne Google Street View, et la seconde Facebook.
Google est accusée d’avoir collecté certains contenus transitant par des connexions Wifi non sécurisées, dans le cadre du programme «Street View». Après analyse, l’homologue anglaise de la CNIL, l’Information Commissioner’s Office (ICO), a décidé que Google n’était pas fautive : les données collectées étaient publiques, d’une part, et n’étaient pas «personnelles» (relatives à une personne identifée ou directement ou indirectement identifiable).
Côté Facebook, les données de 100 millions d’utilisateurs ont été collectées dans une base de données, à partir de la liste des profils du site, puis mises à disposition sur les réseaux d’échange P2P. Mais selon le droit américain, il n’y a aucun problème : les données étaient déjà publiques(en), et donc protégées par le premier amendement (exemple du raisonnement dans l’affaire The Virginia Watchdog).
Ces deux affaires mettent en relief un problème de plus en plus important sur Internet : le traitement des données personnelles des internautes présente certains dangers qui sont totalement indépendants de la nature publique des informations. Le regroupement des données personnelles publiques dans une base de données permet des traitements de ces données qui ne sont pas possibles directement depuis le Web (manuellement). En d’autres termes : on collecte d’abord les données nécessaires au traitement, depuis une source publique, puis l’on exploite ces données de telle ou telle manière, sur le fondement de tel ou tel critère.
Les internautes devraient pouvoir diffuser publiquement leurs données, pour qu’elles soient accessibles à des lecteurs humains, tout en interdisant leur inclusion dans des bases de données privées à traitement automatisé. Tel n’est pas le cas, à l’heure actuelle, en droit américain. Peut-être y a-t-il un peu d’espoir du côté de la réglementation de la publicité ciblée ?
On apprend par ailleurs que le site français de Facebook offrirait à certains utilisateurs la possibilité de supprimer leur compte. Jusque là, il n’était pas possible de supprimer définitivement son compte Facebook (et de retirer les données déjà publiées), mais seulement de le désactiver (et d’empêcher la publication de nouvelles données). La fonction semble être encore expérimentale, mais elle montre une volonté de Facebook d’assouplir sa politique, qui visait jusqu’à présent à retenir les utilisateurs autant que possible (et même contre leur volonté). Ce changement est donc une bonne chose, d’autant qu’une étude récente(en) montre que les étudiants américains qui se soucient de la confidentialité des données publiées sur Facebook sont de plus en plus nombreux.
Au sommaire cette semaine : propriété intellectuelle avec Hadopi et le logiciel de sécurisation, la licéité du jailbreaking aux USA ou, plus généralement, du contournement des DRM dans le cadre du fair use, et la diffusion de données personnelles publiques sur Internet.
Propriété intellectuelle : Hadopi
On reparle encore, cette semaine, de l’Hadopi qui se met progressivement en place. C’est d’abord du décret 2010-695 du 25 juin 2010 instituant une contravention de négligence caractérisée protégeant la propriété littéraire et artistique sur internet dont il est question. Même s’il représente un modèle à ne pas suivre en termes de légistique, on finit par en comprendre la teneur après quelques lectures : lorsqu’une infraction est constatée, les autorités recommandent un logiciel au titulaire de l’abonnement à Internet ; celui-ci ne verra par la suite sa responsabilité engagée que s’il n’a pas installé ce logiciel et qu’une nouvelle infraction est constatée. Un juriste souligne le problème : ce n’est pas la sécurisation de l’accès à Internet qui permet d’écarter la responsabilité de l’internaute, mais le défaut de sécurisation de cet accès (c’est-à-dire le fait de ne pas installer le logiciel recommandé) qui constitue un élément constitutif de l’infraction. En d’autres termes, la charge de la preuve incombe au parquet. Or, il sera très difficile, en pratique, de démontrer de façon convaincante le défaut de sécurisation.
L’une des principales difficultés provient du logiciel de sécurisation lui-même. Un document confidentiel sur les moyens de sécurisation, émanant de l’Hadopi et publié par Numérama, expose plusieurs problèmes.
1) Le premier problème concerne le fonctionnement du logiciel. Celui-ci analyse l’activité de l’internaute et la consigne dans un journal (log). Ce journal est conservé, sur l’ordinateur de l’internaute, en deux versions : une version en clair, que l’internaute peut lire, et une version chiffrée et signée numériquement, que l’internaute ne peut pas (en principe) consulter ou altérer. En cas de contentieux, la version chiffrée est déchiffrée ; c’est elle qui fait foi. A ce stade, les spécialistes de la cryptologie auront compris le problème : les algorithmes basés sur une clé publique et une clé privée (la cryptographie asymétrique), utilisés dans ce genre de circonstances, supposent que l’expéditeur et le destinataire du message se font confiance. Or, ici, l’Hadopi ne peut pas faire confiance à l’internaute.
Petite explication. L’expéditeur Alice (par convention) génère une clé privée, qu’elle garde secrète, et une clé publique qu’elle communique au destinataire, Bob (idem). Celui-ci chiffre le message avec la clé publique d’Alice et l’envoie à cette dernière. Alice déchiffre ensuite le message à l’aide de sa clé privée. L’idée essentielle est que la clé publique d’une personne permet aux tiers de chiffrer les données pour cette personne, et pour elle seule.
Dans le cas du logiciel Hadopi, le «tiers de confiance» (par rapport à Hadopi), éditeur du logiciel de sécurisation, a pour mission de chiffrer le contenu du journal de l’internaute. Il doit donc installer sa clé publique dans le logiciel de sécurisation qu’il édite, sur l’ordinateur de l’internaute. Conclusion : il suffit à l’internaute de récupérer cette clé publique pour chiffrer n’importe quel message en se faisant passer pour le tiers de confiance (B). Il peut, par exemple, altérer le journal en clair, puis le chiffrer avec la clé du tiers de confiance, et l’envoyer à l’Hadopi à la place du véritable journal chiffré.
Il faut donc empêcher l’internaute de récupérer la clé contenue dans le logiciel. Mais cela n’est pas vraiment possible, même si ce logiciel est compilé et que son code est obscurci (obfuscated). Il y a toujours une possibilité de récupérer la clé, en trançant l’activité du logiciel lors du chiffrement du journal.
2) De là provient la deuxième difficulté : le document mentionne les logiciels libres. Or, par définition, le code source d’un logiciel libre est disponible, et peut être lu et modifié par tout le monde. La clé de chiffrement d’un logiciel libre ne peut donc pas être cachée.
Plus fondamentalement, à partir du moment où le logiciel de sécurisation a pour but d’espionner l’internaute, il ne peut pas être libre. S’il était libre, l’internaute pourrait le modifier pour qu’il ne surveille pas certaines de ses activités, privant ainsi l’espionnage de toute pertinence. Pire encore, dès lors que le logiciel fonctionne sur un système d’exploitation libre (i.e. Linux et al.), qu’il soit libre ou propriétaire, son fonctionnement peut être altéré en modifiant le système d’exploitation (p. ex. : le logiciel lui-même n’est pas modifié, il tente bien de recueillir les données prévues, mais c’est le système d’exploitation qui est modifié pour lui interdire l’accès à ces données).
3) La troisième difficulté porte sur une autre fonction du logiciel de sécurisation : le filtrage. Le logiciel a en effet pour rôle de bloquer une partie du trafic, que ce soit avec certaines sites, à l’aide de certains logiciel ou de certains protocoles, ou sur certains ports. L’efficacité du filtrage est remise en question par l’existence de plusieurs techniques, notamment de tunneling (VPN, Tor…) : un tunnel chiffré est créé entre l’émetteur et le récepteur, et les données par le tunnel sont protégées contre la surveillance venant de l’extérieur.
Autre élément inquiétant : il est envisagé, pour le futur, d’intégrer le logiciel de sécurisation directement dans le routeur ADSL (la «box»). Il deviendrait, de cette manière, beaucoup plus difficile à contourner. Cependant, il mettrait encore plus en péril la vie privée des internautes et leur liberté d’accéder à un Internet ouvert et dépourvu de censure.
Propriété intellectuelle : DRM
La loi américaine Digital Millenium Copyright Act (DMCA)(pdf,en) interdit le contournement des mesures techniques de protection et de gestions des droits numériques (MTP, en français, ou DRM pour Digital Rights Management en anglais). Les DRM empêchent par exemple de lire une chanson achetée sur l’iTunes Store avec un autre logiciel qu’iTunes et sur plus de 5 ordinateurs différents.
Or, la cinquième Cour itinérante vient de juger(en) que le contournement des DRM n’était illicite que s’il était réalisé dans le but de violer les droits de propriété intellectuelle. Le contournement des DRM pour un fair use de l’oeuvre est donc licite(en).
Conséquence immédiate : certaines sociétés qui ont pris la mauvaise habitude de «verrouiller» leurs appareils afin d’emprisonner les consommateurs dans leur écosystème commercial (comprendre : Apple iOS contre jailbreak), ne peuvent plus s’opposer légalement à la levée des mesures de protection… Mais elles peuvent toujours s’y opposer contractuellement (notamment en annulant la garantie !).
Vie privée et données personnelles
L’actualité de cette semaine, en matière de protection de la vie privée et des données personnelles, est dominée par deux affaires : la première concerne Google Street View, et la seconde Facebook.
Google est accusée d’avoir collecté certains contenus transitant par des connexions Wifi non sécurisées, dans le cadre du programme «Street View». Après analyse, l’homologue anglaise de la CNIL, l’Information Commissioner’s Office (ICO), a décidé que Google n’était pas fautive : les données collectées étaient publiques, d’une part, et n’étaient pas «personnelles» (relatives à une personne identifée ou directement ou indirectement identifiable).
Côté Facebook, les données de 100 millions d’utilisateurs ont été collectées dans une base de données, à partir de la liste des profils du site, puis mises à disposition sur les réseaux d’échange P2P. Mais selon le droit américain, il n’y a aucun problème : les données étaient déjà publiques(en), et donc protégées par le premier amendement (exemple du raisonnement dans l’affaire The Virginia Watchdog).
Ces deux affaires mettent en relief un problème de plus en plus important sur Internet : le traitement des données personnelles des internautes présente certains dangers qui sont totalement indépendants de la nature publique des informations. Le regroupement des données personnelles publiques dans une base de données permet des traitements de ces données qui ne sont pas possibles directement depuis le Web (manuellement). En d’autres termes : on collecte d’abord les données nécessaires au traitement, depuis une source publique, puis l’on exploite ces données de telle ou telle manière, sur le fondement de tel ou tel critère.
Les internautes devraient pouvoir diffuser publiquement leurs données, pour qu’elles soient accessibles à des lecteurs humains, tout en interdisant leur inclusion dans des bases de données privées à traitement automatisé. Tel n’est pas le cas, à l’heure actuelle, en droit américain. Peut-être y a-t-il un peu d’espoir du côté de la réglementation de la publicité ciblée ?
On apprend par ailleurs que le site français de Facebook offrirait à certains utilisateurs la possibilité de supprimer leur compte. Jusque là, il n’était pas possible de supprimer définitivement son compte Facebook (et de retirer les données déjà publiées), mais seulement de le désactiver (et d’empêcher la publication de nouvelles données). La fonction semble être encore expérimentale, mais elle montre une volonté de Facebook d’assouplir sa politique, qui visait jusqu’à présent à retenir les utilisateurs autant que possible (et même contre leur volonté). Ce changement est donc une bonne chose, d’autant qu’une étude récente(en) montre que les étudiants américains qui se soucient de la confidentialité des données publiées sur Facebook sont de plus en plus nombreux.