Qui l'eut cru ? La FSFE France avait déposé en mai un dossier de demande d'autorisation de fourniture en vue de l'utilisation générale et d'importation et exportation pour GnuPG 1.0.7 et la DCSSI (ex-SCSSI) vient de l'accepter ! Le dossier OpenSSL également déposé en même temps est aussi accepté :-) Et ce pour import, export, utilisation et fourniture (jusqu'en 2007).
Note du modérateur : merci à foxy pour la même info
Aller plus loin
- FSFE France (44 clics)
- Scan 1 de l'autorisation (42 clics)
- Scan 2 de l'autorisation (32 clics)
# Euh ...
Posté par Sylvain Defresne . Évalué à 10.
Je sais que nul n'est sensé ignorer la loi, mais je ne sais pas à quoi correspond l'article 10 du décret 2001-1192 du 13/12/2001 modifiant le décret 99-200 du 17/03/1999.
[^] # Re: Euh ...
Posté par Anonyme . Évalué à 10.
[-1]
[^] # aie
Posté par beb . Évalué à 0.
les articles 10 et 11 de ce décret ont disparus
sur legifrance.
[^] # Re: Euh ...
Posté par Guillaume Morin . Évalué à 10.
Mais nos sauveurs que sont Loïc Dachary et la FSF ont demandés l'autorisation de l' "utilisation générale" du logiciel, ce qui nous permet de l'utiliser sans faire ces démarches rébarbatives!
[^] # Merci
Posté par Sylvain Defresne . Évalué à 0.
C'est cool, on va maintenant pouvoir utiliser GPG en toute légalité maintenant :)
Mais c'est sur pour openSSH ? Car les autorisations portent sur GnuPG et openSSL (sur laquelle est basé openSSH il est vrai) ...
[^] # Re: Euh ... un petit bémol
Posté par Xavier Poinsard . Évalué à 10.
[^] # Re: Euh ... un petit bémol
Posté par Loic Dachary . Évalué à 10.
Petit exemple : une association presse des CD avec GNU/Linux incluant GnuPG. Elle ajoute le fichier signature correspondant dans la distribution, eventuellement une copie des autorisations scannees avec les signatures correspondantes. La distribution contient alors assez d'information pour prouver a quiconque que l'autorisation de la DCSSI s'y applique.
[^] # Re: Euh ...
Posté par Anonyme . Évalué à 10.
http://www.scssi.gouv.fr/fr/reglementation/regl_crypto.html#4(...)
Le truc intéressant est la dernière ligne du premier tableau. Il est dit dans la note (celle avec le 4 étoiles) que on peut utiliser les clés supérieures a 128 bits si le matériel (donc le logiciel) a fait l'object d'une authorisation de fourniture. Ce qui a été fait pour OpenSSL et GnuPG. Donc, on peut utiliser OpenSSL et GnuPG pour toutes tailles de clé.
Amusez vous bien.
[^] # Re: Euh ...
Posté par Loic Dachary . Évalué à 10.
[^] # Re: Euh ...
Posté par Anonyme . Évalué à -3.
Et à RMS, tiens, pendant que j'y suis.
[-1 passeque bon, ça apporte tout même pas grand chose]
[^] # Re: Euh ...
Posté par Guillaume Morin . Évalué à -3.
[^] # Re: Euh ...
Posté par Renaud Guerin . Évalué à 10.
[^] # Re: Euh ...
Posté par antm . Évalué à 8.
Donc, si je ne me trompe, on peut utiliser OpenSSH dans les mêmes conditions.
[^] # Re: Euh ...
Posté par Guillaume Morin . Évalué à -4.
[-1]
[^] # Re: Euh ...
Posté par Loic Dachary . Évalué à 10.
J'encourage quelqu'un a faire le test suivant: appeler la DCSSI (01 71 75 82 75) pour demander si OpenSSH est autorise en vertu du fait qu'OpenSSL est autorise (Autorisation de Fourniture Generale 23299). La reponse devrait etre positive mais comme c'est tout chaud personne n'a encore essaye ;-)
[^] # Re: Euh ...
Posté par _seb_ . Évalué à 7.
http://www.adminet.com/jo/20011215/ECOX0100059D.html(...)
ou
http://www.legifrance.gouv.fr/citoyen/jorf_nor.ow?numjo=ECOX0100059(...)
A vrai dire, j'ai un peu de mal à comprendre exactement de quoi il s'agit.
Si quelqu'un pouvait donner des explications (Loïc Dachary par exemple), je crois que cela aiderait pas mal de monde.
[^] # Re: Euh ...
Posté par Xavier Poinsard . Évalué à 10.
Tout y est.
[^] # Re: Euh ...
Posté par Loic Dachary . Évalué à 10.
[^] # Re: Euh ...
Posté par cornofulgur . Évalué à 10.
C'est assez simple. Fais le test suivant.
Tu prends un dictionnaire et tu vas essayer d'expliquer à un colonel que le bon mot, c'est pas
cryptologie, mais c'est cryptographie.(page 281)
Le colonel devrait alors se lancer dans une intense reflexion et constater que tu essaies d'attenter à la sécurité de son neurone. Il n'a pas tort.
Le colonel logiquement déduira que le dictionnaire est une arme de cibère-guerre. Halte là! Surtout ne pas le laisser trainer dans toutes les mains! Le dictionnaire devra être soumis à un contrôle strict des autorités. Logiquement, concluera le colonel logiquement.
Car paperasse, tampon et formulaire sont la force de ma Nation.
# nsa
Posté par chtulu . Évalué à -10.
[^] # Re: nsa
Posté par Le_Maudit Aime . Évalué à 10.
[^] # Re: nsa
Posté par chtulu . Évalué à -10.
[^] # Re: nsa
Posté par la Fripouille Jackouille . Évalué à -6.
http://www.bebe-zone.com/bebe.html(...)
c'est derrière la tête, comme le plug de la Matrice
ça permet de mettre les bonnes idées dans la tête des bébés,
y'en a même chez qui ça ne se referme jamais
on dit alors que ce sont de "grands enfants"
:-)
JlF
.
[^] # Re: nsa
Posté par Franck Yvonnet . Évalué à -7.
Ils ont même une machine offerte par les aliens qui leur permet de lire les messages cryptés avec des "one-time pads" :-))
[^] # Re: nsa
Posté par Julien JEANY . Évalué à -3.
L'administration francaise se decide a faire avancer les choses, c'est rare alors profitons en !
De plus, je doute que meme la NSA soit capable de casser des cles de plus de 1024 bits...(mais je me trompe sans doute)
[^] # Re: nsa
Posté par Benoît Sibaud (site web personnel) . Évalué à 10.
-1 et je retourne compiler
[^] # Re: nsa
Posté par feth . Évalué à -5.
Si par ailleurs tu avais les plans de l'ordinateur quantique ultrasecret et le numéro spécial de pour la science tu pourrais être moins énigmatique ?
[^] # Re: nsa
Posté par Anonyme . Évalué à -4.
[-1]
[^] # Re: nsa
Posté par Yann KLIS (site web personnel) . Évalué à -4.
[^] # Re: nsa
Posté par Dugland Bob . Évalué à -3.
-1 blasphème
[^] # Re: nsa
Posté par p f . Évalué à -8.
Bon après pour se protéger des espions chinois du FBI, c'est vrai que c'est peut être pas très utile ;-)
[^] # Re: nsa
Posté par TSelek . Évalué à 10.
La sécurité reste toujours un compromis entre coût et efficacité.
La NSA a juste 10 ans d'avance en recherche fondamentale dans les domaines de la crypto [graphie|analyse] et les moyens financiers les plus importants au monde dédiés à ce genre de tache. C'est donc l'institution la mieux placée pour casser du chiffre, mais même eux ne peuvent rien contre les maths : PGP embetait la NSA, NAI a racheté PGP pour le plomber avec des histoires de back-door et de key-recovery.
Et donc le gouvernement américain n'autorise à l'export que des produits crypto calibrés pour être supérieurs à la puissance de feu du citoyen lambda mais qui sont à portée de craquage par la NSA. PGP n'était pas "calibré".
D'autre part, les fournitures crypto sont traitées comme des armes de guerre, ceux qui croient que la libéralisation récente et toute relative dans la taille des clés est un cadeau donné aux citoyens feraient mieux de suivre l'actualité du top 500 tout en sachant que les bécanes de la NSA n'y sont surement pas présentes alors qu'elles sont surement en tête en puissance brute (et plus adaptées au craquage).
[^] # Re: nsa
Posté par Dugland Bob . Évalué à 10.
# terrorisme
Posté par chtulu . Évalué à -10.
[^] # Re: terrorisme
Posté par TSelek . Évalué à 10.
[^] # Re: terrorisme
Posté par Guillaume Morin . Évalué à 10.
De toute façon les terroristes, par définition, ils s'en foutent des lois! Je serais terroriste je crypterais en 16.384 bits mes messages, juste par précaution!
J'imagine la scène:
"- FBI, on ne bouge plus! M. Ben Laden, vous êtes accusé d'avoir utiliser une clef de 256 bits. "
N'importe quoi! ;p
[^] # Re: terrorisme
Posté par Xavier Poinsard . Évalué à 10.
Alors que le FBI a reconnu que les messages que s'échangeaient les membres d'Al Quaïda n'étaient même pas cryptés....
[^] # Re: terrorisme
Posté par Franck Yvonnet . Évalué à 10.
[^] # Re: terrorisme
Posté par tcws . Évalué à 4.
-1 pas drôle
[^] # Re: terrorisme
Posté par TSelek . Évalué à 1.
Michael Moore l'explique très bien je crois ( http://www.michaelmoore.com/(...) )
Ils sont cryptés en Arabe !
[^] # Re: terrorisme
Posté par feth . Évalué à 10.
[^] # Re: terrorisme
Posté par Lorenzo B. . Évalué à -2.
[-1] pour méchanceté gratuite.
[^] # Re: terrorisme
Posté par chtulu . Évalué à -3.
[^] # Re: terrorisme
Posté par Xavier Poinsard . Évalué à 6.
-1 => HS
[^] # Re: terrorisme
Posté par Guillaume Morin . Évalué à 10.
C'est bien l'absurdité de la chose! AMHA les lois sur la crypto ne servent à rien , car elles partent du principe que les gens qui ont des choses à cacher à l'Etat respectent la loi.
Pourquoi ne pas laisser tout le monde choisir à son gré la taille des clés...
Pourquoi? Pour que l'Armée conserve la possiblité de casser une clef dés qu'elle en a envie. Et une clef RSA de 16k aujourd'hui on la casse pas.
[^] # Re: terrorisme
Posté par PAtrice Manac'h . Évalué à 2.
[^] # Re: terrorisme
Posté par Pierre Jarillon (site web personnel) . Évalué à 3.
Ce qui est vraiment sensationnel dans cette nouvelle, c'est que cette libéralisation soit subordonnée à l'utilisation de logiciels libres.
Bravo Loïc ! C'est une bataille que nous gagnons, mais ne baissons pas la garde et préparons-nous aux suivantes.
[^] # Re: terrorisme
Posté par Julien Borrel . Évalué à 10.
Les decouvertes mathematiques n'ont pas de frontiere, de toutes facons. Donc tout le monde sait crypter des donnees, et de facon raisonnablement sure.
Et franchement, si je veux envoyer a mes espions un message totalement illisible, j'ai fait attention de leur donner en main propre a chacun un CD contenant 700Mbits de bruit blanc, dont j'ai une unique copie chez moi. Je peux faire du one-time padding de 700MO de donnees en etant mathematiquement sur que le message ne sera pas decrypte. C'est contraignant, mais c'est d'une surete absolue.
-1 pour insulte flagrant envers les dirigeants des divers gouvernements du monde.
[^] # Re: terrorisme
Posté par tekool . Évalué à -1.
-1 -> Porte Nawak
[^] # Re: terrorisme
Posté par Le_Maudit Aime . Évalué à 10.
Parce que pendant plusieurs siècles, l'usage de la cryptographie a été un privilège régalien. Et comme pour tout privilège il est difficile pour son propriétaire de s'en séparer. Cela prend du temps.
Le fait de fixer la taille de la clé par décret etc.. tout cela découle du principe précédent.
Sur ce, c'est quand même pas la nuit du 4 Aout.
[^] # tu l'as pas encore gagné ?
Posté par David Bosman . Évalué à -5.
Qu'as-tu bien parier pour avoir à aligner autant de
conneries"pensées"?C'est bien un pari, n'est-ce pas ?
David
-1, comme d'habitude : je me réserve la primeur
[^] # Re: tu l'as pas encore gagné ?
Posté par chtulu . Évalué à -7.
# Pourquoi jusqu'en 2007 ?
Posté par CopainJack (site web personnel, Mastodon) . Évalué à 10.
Il y a une raison particulière ou c'est normal ?
En tout cas, bravo pour la FSFE et le document Comment faire une démarche, pas à pas est vraiment intéressant (et ça pourra reservire dans 5 ans ;-) )
[^] # Re: Pourquoi jusqu'en 2007 ?
Posté par Loic Dachary . Évalué à 10.
# Encore une procédure simplissime !
Posté par Agarwaen . Évalué à 10.
Toutefois, après avoir parcouru quelques liens sur le site de la FSFE et de la DCSSI, je me désole de constater la complexité extrème d'une procédure de certification, qui la rend difficilement accessible à des collectifs citoyens ou des associations du type de celles qu'on trouve dans le monde du libre !
Je suis juriste de formation, fonctionnaire de métier, et l'un des gros chantiers sur lesquels je vais avoir à bosser dans les années qui viennent, c'est l'administration électronique et la dématérialisation des procédures, et c'est naturellement que je suis intéressé par les problèmes de signature électronique. Ce qui me parait évident dans cette affaire, c'est qu'elle est actuellement inaccessible au simple particulier, si on veut lui conserver un caractère officiel.
En effet, il parait impensable pour un particulier de supporter la procédure lourde d'une certification, et on se trouve confronté au problème de la reconnaissance des structures cherchant à porter une certification : par exemple, le réseau de confiance des outils de type GnuPG n'est pas du tout adapté à une validation par l'administration française. Qui va être assez dévoué pour se lancer dans cette aventure ?
Au final, quelle va donc être la solution pour un particulier qui ne souhaite pas débourser la somme nécessaire à la certification de sa clé publique par une société privée, et qui veut pouvoir donner un caractère officiel à ses relations électroniques ? Est-ce que nos signatures vont devoir rester limitées à la sphère de la vie privée, faute d'une autorité de certification d'accès libre, gratuite et répondant au haut degré d'exigence de l'Etat français ?
[^] # Service public de PKI
Posté par Renaud Guerin . Évalué à 8.
Pourquoi ne confier aux mairies cette tâche de PKI: C'est un interlocuteur de proximité, et c'est tout à fait le genre d'attributions qu'ils ont déjà, avec les certifications conformes de copie, les extraits d'actes divers, etc...
Bien sur, ça pose des problèmes de mise en place technique de l'infrastructure, d'équipements des mairies de France, et surtout de formation des personnels (je me vois super bien aller faire une keysigning party avec la réceptionniste de ma mairie de cambrousse natale... ;) )
[^] # Re: Service public de PKI
Posté par djrom . Évalué à 8.
1. Je ne suis pas un vil terroriste, mais je veux avoir le droit de cacher quelque chose à l'Etat parce que c'est mon droit et parce que j'en ai parfois besoin (qui a déjà essayé d'organiser une manif ici ?). Et qu'adviendrait-il en cas de totalitarisation de l'Etat ?
2. L'Etat est une institution unique, énorme, ce qui pose de nombreux risques en terme de sécurité.
Le premier point suffit à disqualifier imho l'Etat comme tiers de confiance autrement que pour les relations avec l'administration. Le deuxième point me paraît génant dans toutes les utilisations envisageables.
[^] # Re: Service public de PKI
Posté par Adrien BEAUCREUX . Évalué à 0.
Ben, à mon avis, rien ne t'empêche d'avoir plusieurs clés, une officielle, et une pour les communications privées. De même, il me semble que quand tu criptes un messages, c'est avec la clé publique de ton correspondant. Donc il est seul à pouvoir décrypter, même (théoriquement) l'état ne peut pas.
Perso, je ne met pas la même signature en bas des chèques et sur une carte postale (qui peut être lue par pas mal de monde).
Au passage, il me semble que tu dois prévenir certaines personnes, comme la préfecture (ou la mairie, je ne suis pas sur) de la manif pour qu'elles puissent prendre certaines mesures : rerouter la circulation, envoyer les CRS.
Et qu'adviendrait-il en cas de totalitarisation de l'Etat ?
Tu peux toujours utiliser la stégano :)
L'Etat est une institution unique, énorme, ce qui pose de nombreux risques en terme de sécurité.
En toute logique, non. Puisque l'état connait ta clé publique, pas la privée. Donc ne peut décripter tes messages, ni donner ta clé à un autre.
Par contre, avoir une clé signée par un état me semble plutot pas mal comme signe de confiance.
[^] # Re: Service public de PKI
Posté par Agarwaen . Évalué à 3.
Le plus gros problème me semble être effectivement la formation. Pour le matériel, je pense que c'est faisable : on peut tout à fait imaginer un serveur léger, un peu sur le modèle des terminaux de carte bancaire des commerçants, qui une fois la clé validée l'expédie sur les serveurs centraux. Par contre, la sensibilisation du personnel communal à la cryptographie... Aïe !
Je pense qu'on a le choix entre trois solutions :
Evidemment, comme soulevé dans un autre commentaire, plus bas, cette dernière solution soulève des problèmes bigbrotheriens...
[^] # Re: Service public de PKI
Posté par tekool . Évalué à 9.
Pour une raison simple, les empreintes digitales ne sont pas toutes recensées et ne le sont que dans des fichiers de police. Ce sont des attributs biologiques et tout comme les fichiers génétiques ne doivent concerner que certains publics : les délinquants.
En ce qui concerne la carte d'identité, j'apprécie de prendre le train car je ne sors pas ma carte d'identité 3 fois pour monter dedans contrairement à l'avion. De même, parfois je paye le péage avec de la monnaie et pas avec une carte bleue. C'est un droit que l'on peut juger paranoiaque mais c'est un droit quand meme : l'anonymat.
Une structure indépendante controlée par la CNIL, les associations de droits de l'homme et accesible à la Justice dans un cadre extrèmement strict me semble la voie la moins dangereuse même si dans la pratique, je ne sais pas ce qu'il en adviendrait.
Personnellement, vu les récentes directives européennes, je pense qu'il y a un risque à généraliser trop rapidement un procédé d'identification numérique utilisé à la fois pour des procédures publiques et des communications privés.
On risque effectivement de tomber dans du Big Brother Like.
Personnellement, je préfère le Quake Like.
[^] # Re: Service public de PKI
Posté par Xavier Poinsard . Évalué à 0.
[^] # Re: Service public de PKI
Posté par tekool . Évalué à 0.
[^] # Re: Service public de PKI
Posté par Éric (site web personnel) . Évalué à 0.
[^] # Re: Service public de PKI
Posté par Benoît Sibaud (site web personnel) . Évalué à 0.
[^] # Re: Service public de PKI
Posté par tekool . Évalué à 0.
[^] # Re: Encore une procédure simplissime !
Posté par TSelek . Évalué à -1.
# versions suivantes ?
Posté par Renaud Guerin . Évalué à 10.
La question que je me pose, c'est que se passe-t-il dans l'hypothèse d'école où le logiciel est complètement réécrit avec d'autres fonctionnalités et algorithmes dans les versions ultérieures, en gardant juste le même nom ?
Je suppose qu'il y a des limitations à ce sujet, sinon c'est la porte ouverte à n'importe quoi.
A moins que l'autorisation ne serve surtout à répertorier tous les moyens cryptographiques diffusés en France, et qu'elle soit systématiquement accordée.
[^] # Re: versions suivantes ?
Posté par Loic Dachary . Évalué à 10.
Par ailleurs nous sommes convenus avec la DCSSI qu'une modification mineure des fonctionalites cryptographiques pourrait faire l'objet d'une simple lettre. C'est informel mais ne me fait pas prendre un grand risque legal et reduit encore la paperasse. Tout est dans l'appreciation de "mineure" ;-)
Suivre le flux des commentaires
Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.