Source: http://inno3.fr/blog/277/export-de-logiciels-libres-de-chiffrement-le-mod%C3%A8le-am%C3%A9ricain-itar-ear
Timestamp: 2017-04-25 10:24:29+00:00

Document:
La sociétéÉquipeHistoriquePartenairesOpportunitésServicesAuditAccompagnementFormationsCursus Open SourceL'innovation par le libre et l'Open SourceAspects juridiques (licences libres et Open Source)Gestion et gouvernance de l'Open SourceConduire des projets libresDévelopper pour contribuer à un projet libre et Open SourceAdopter les modèles de développement collaboratif (Inner Sourcing)Cursus Open DataÉtat de l'art de l'Open Data (données ouvertes)Aspects juridiques de l'Open DataStimuler la réutilisation, animer les communautés de réutilisateursÉtendre l'Open Data aux données culturelles : enjeux et solutionsModules complémentairesComprendre, manager, réussir Linux embarquéInteropérabilité logicielleConcurrence et commande publiqueOpen Street Map : une cartographie collaborativeNos supportsCalendrier des formationsRéférencesContributionsBlog i³Livres blancsConférencesAssises du Libre et de l'Open SourceEuropean OpenSource & Free Software Law Event (EOLE)Inno'ventsOpen World ForumRencontres Mondiales du Logiciel Libre (RMLL)ProjetsBabylonwareOpen Lawinno'thèqueGuide Open SourceOption Libre (Manuel)Toutes nos ressourcesPresse+FAQAgendaContactez-nous Accueil Export de logiciels libres de chiffrement : le modèle américain (ITAR, EAR)
By Lucie Blaye 0 Commentaires
« Nous faisons vraiment la course entre
nos capacités à construire et déployer la technologie, et leur
faculté à créer et mettre en œuvre des lois et des traités.
Aucun des deux côtés n'est susceptible de céder ou gagner en
sagesse tant qu'il n'a pas perdu définitivement la course.1 »
Devant l'utilité et la nécessité de faire appel
à un mécanisme de chiffrement pour sécuriser les communications,
les États-Unis ont investi beaucoup de moyens pour faire avancer la
recherche en cryptographie. Compte tenu de l'usage militaire qui peut
en être fait, il leur a semblé légitime de poser des restrictions
quant à l'export de telles ressources afin de se préserver
d'éventuelles réutilisations à leur encontre. Ce faisant, les
États-Unis ont intégré la majorité des dispositions prévues dans
le cadre l'arrangement de Wassenaar du 12 juillet 1996 (convention
réglementant plus généralement l'export de matériels relatifs à
l'armement) afin de contrôler les situations selon lesquelles une
personne diffuse un logiciel de chiffrement – ou un produit
utilisant un logiciel de chiffrement –, mais aussi dans le cas où
une personne utilise ou embarque un logiciel de chiffrement dans ses
propres produits commercialisés ou exploités à l'extérieur des
Dans le cadre d'une application stricte de ces
dispositifs, le gouvernement américain avait ainsi condamné le 1er
juillet 2009 le Professeur J. Reece Roth de l'Université du
Tennessee à quatre ans de prison pour avoir autorisé deux étudiants
étrangers, faisant leurs études aux États-Unis, à accéder à des
informations concernant un projet militaire. La révélation de
telles données techniques sur un drone de l'Air Force avait été
assimilée à un export, cette notion englobant toute expédition ou
transition d'articles en dehors des États-Unis. Cette régulation, relativement contraignante et
procédurale, semble difficilement combinable avec la logique de
libre diffusion intrinsèque aux logiciels libres et Open Source. En
effet, ces projets collaboratifs font appel à la contribution de
développeurs de tout pays et, dans un tel contexte international, il
conviendrait par exemple de veiller à respecter la réglementation
américaine (et l'ensemble des réglementations nationales) dès lors
qu'un logiciel de chiffrement est édité ou hébergé sur le sol
américain. En pratique, ces deux logiques ont des liens plus
étroits et qu'il ne peut y paraître. En effet, l'usage de logiciels
de chiffrement et déchiffrement cryptographique s'est vu démocratisé
en 1991 grâce à l'intervention de Philip Zimmermann et son logiciel
libre PGP (Pretty Good Privacy qui garantit la confidentialité et
l'authentification pour la communication de données) – qu'il a, à
l'époque, mis à disposition des internautes outrepassant la
législation en matière de restrictions à l'exportation2.
Conséquemment, et reconnaissant à ce titre l'intérêt de l'Open
Source, le gouvernement américain a, 5 ans plus tard, mis en place
des mesures dérogatoires spécifiques aux logiciels de chiffrement
libres et open source. Particulièrement importante compte tenu du nombre
de projets libres concernés, la réglementation américaine de
l'export de logiciels libres de chiffrement sera l'objet de ce
premier article. Après une recontextualisation dans le cadre
international (I), nous détaillerons le régime de l'EAR (II) qui
prévoit en son sein des exceptions (III) et des dispositions
spécifiques concernant le libre et l'open source (IV) permettant la
construction de projets libres (V). I. Encadrement juridique international
Afin de permettre la circulation de logiciels de
chiffrement la plus paisible possible, les règles sont harmonisées
aux différentes échelles : règles internationales telles que
l'arrangement de Wassenaar de 1996 (A) ou encore règles nationales
comme celle des États-Unis (B).
Le 12 juillet 1996, un groupe de 33 pays mené par les États-Unis a adopté l’arrangement multilatéral
de Wassenaar sur le contrôle des exportations d'armements conventionnels et de biens et technologies à double usage. Il
regroupe aujourd'hui 41 États.
Cet arrangement est destiné à renforcer la sécurité régionale et internationale en promouvant "la transparence et
une plus grande responsabilité dans les transferts d’armes et de
biens à double usage afin de prévenir les accumulations
déstabilisantes". Les signataires de l'arrangement ont donc convenu de la création
d'une coopération entre eux.
Dispositif d'ordre non contraignant, chaque signataire peut ensuite intégrer les directives de l'arrangement dans sa
législation. Pour ce faire, il s'engage à effectuer un contrôle des exportations en vertu de sa
législation nationale et à rendre compte, pour des questions de transparence, des transferts
d'armements conventionnels et des biens à double usage jugés
sensibles, ainsi que toute technologie à double usage très
sensible. Des listes de contrôles sont établies pour identifier ces biens à double usage et donner une ligne directrice aux régulations
auxquelles ils doivent être soumis. Chaque liste de contrôle est mise à jour tous les
ans en fonction de l'évolution des technologies. L'arrangement de Wassenaar pose les conditions d'exportation des éléments de
chiffrement (catégorie 5 partie 2). Cependant, chaque pays
transpose de la manière qui lui convient chaque directive de
l'arrangement. Celui-ci ne pose donc que des principes auxquels les législateurs nationaux
peuvent apporter des exceptions, comme celle de la License
Exception TSU aux États-Unis.
L'ITAR ou International Traffic in Arms
Regulations de 1976 est un ensemble de réglementations établies par le
gouvernement américain pour effectuer un contrôle des importations
et exportations relatives à la défense, rassemblé dans l'U.S.
Munition List. Cette liste, actualisée régulièrement, oblige à
ne pas communiquer les informations concernant la défense
et la technologie militaire à des personnes extérieures aux
USA, sauf exception.
Ce règlement s'applique entre autres sur tous les systèmes informatiques, qu’il s’agisse
d’équipement ou logiciel, servant ou pouvant servir à contrôler
ou compléter ces équipements. En outre, le terme « exportation »
doit être interprété de manière très large, la
définition englobant les exports et les transmissions d' éléments
en dehors des États-Unis.
Seront donc considérée comme des exportations toute activité opérée sur internet avec
notamment la présence de données techniques pouvant potentiellement
être utilisées à des fins militaires, les données restant
accessibles à des personnes localisées dans le monde entier.
de l'arrangement de Wassenaar de la part des États-Unis a
fondamentalement changé leur vision sur les supports de chiffrement.
Ils évoluent donc de l'ITAR qui considère ceux-ci comme des armes militaires à une
réglementation moins restrictive qui est l'EAR. Devant
la banalisation des opérations utilisant des techniques de
chiffrement, l'ITAR
n'est plus utilisé dans le contexte des exports de ces
logiciels. Depuis
30 décembre 1996, ce
pouvoir est dévolu au Ministère
dans un service de
régulation destiné aux
produits de chiffrement commerciaux.
de la liste de munition (U.S.
Munitions List)
à la liste de surveillance du commerce (the
Commerce Control List (CCL))
de l'administration aux exportations
à l'exception de certains
logiciels de chiffrement exclusivement développés pour un usage
resteront concernés
par la réglementation ITAR (concernant
l'intégration au sein de
par l'USML).
§121-8 revient sur le fait que
export de logiciel répondant à une telle description peut
s'effectuer suite à la demande
d'une technical
data licence.
est prévu que toute personne ou entreprise aux États-Unis qui
importe ou exporte des produits contenus dans l'U.S.
doit s'enregistrer au niveau du département de l’État concerné.
plus, un pouvoir de contrôle est laissé au président des
États-Unis sur les importations
d'armement grâce à l'Arms
synthèse, chaque Department (ministère) dispose de ses
propres pouvoirs de contrôle et de sanction et la régulation de
l'export s'effectue de la manière suivante :
Liés à la défense, données techniques et
pour une personne : jusqu'à un
million de dollars par infraction et 10 ans d'emprisonnement
pour une entreprise : jusqu'à un
Les sanctions civiles s'élèvent à $500 000
et à des confiscations.
Cependant, toute entreprise ne respectant pas
les obligations du règlement peut se retrouver sur une liste
noire pendant une période allant de 5 à 10 ans et par conséquent
se verrait privée du privilège de vente ou prestation de service
auprès du gouvernement américain.
Commerciaux (équipements, matériel, logiciels
et technologie).
Sanctions pénales : un million de dollars
(avec peine de 20 ans d'emprisonnement pour les personnes
À destination de pays faisant l'objet
d'embargos
Note : les individus sont aussi sujets à la
réglementation : le fait de transporter un ordinateur ou une
clé USB avec un contenu sujet à ladite réglementation en dehors
des États-Unis ou montrer un algorithme à une personne étrangère
est considéré comme un export selon la loi américaine3.
Illustration: David Quimby (MIT)
http://osp.mit.edu/sites/osp/files/u42/osp_forum_26may2011exportcontrols.pdf
réglementation EAR ?
règlement EAR, le ministère du Commerce prévoit que
dispositions s'appliquent
exports et réexports de produits
de chiffrement à des individus, entreprises commerciales et autres
utilisateurs finaux sans
lien avec le gouvernement. Ce
contrôle s'applique à tous les biens à double usage, c'est-à-dire
qu'ils sont susceptibles d'avoir une utilisation tant civile que
d'exportation aura la même définition que celle posée par la
réglementation ITAR, et le règlement EAR ajoute la notion de
réexport qui englobe toutes les expéditions et les transmissions
d'éléments sujets au règlement EAR entre
matériel concerné, il s'agit de la technologie et les logiciels
exportés ou réexportés sans tenir compte du média
ou de la méthode (cela regroupe entre autres la consultation, la
conversation téléphonique, les conférences, Internet, messages
électroniques...).
La Commerce Control
List (CCL), dans sa catégorie 5 nommée « Télécommunications
et « Sécurité de l'information » », Partie 2
« Sécurité de l'information » pose les principes de
contrôles liés aux logiciels de chiffrement. Ainsi, dans la
partie D « Logiciel », on peut apprendre que les
contrôles à l'export inclus dans 5D002.a,c. 1 ou dans le ECCN 5A002
comprennent les codes source de produits de chiffrement sauf
dans le cas des exceptions
établies dans les paragraphes 740.13(e) et § 734.3(b)(3) de la
réglementation EAR qui
seront expliqués dans le paragraphe B de cet article.
De plus, une mention est
insérée excluant aussi les codes objets dont le code source
respecte les critères cités de la réglementation EAR.
comprendre les enjeux de cette réglementation s'appliquant
aux logiciels de chiffrement,
il convient de poser une méthode pour permettre une
autoclassification (A) pour
identifier les exceptions (B) conduisant à une License
Exception (C).
A) Méthode pour
élaborer une autoclassification
insérée en préambule de la catégorie 5D002 (relative
aux logiciels) indique que
les logiciels de chiffrement sont
capacités fonctionnelles et non pour les valeurs
qu'ils contiennent. De
plus, de tels logiciels ne se voient pas accorder le même traitement
du règlement EAR que les autres logiciels et pour des raisons
d'exportation, le logiciel de chiffrement est traité selon les mêmes
dispositions que les systèmes de sécurité de l'information et les
composants des équipements (5A002).
des exceptions et il convient de préciser la manière de bien
identifier quelles sont les méthodes pour permettre une
auto-classification du logiciel.
schéma ci-dessous donne un aperçu sur la façon d'auto-classer des
produits et de les exporter selon leur classification :
http://www.bis.doc.gov/index.php/forms-documents/doc_view/328-flowchart-2
de l'EAR (§734.3(b)(3) et
§734.7)
§734.3(b)(3) encadre les
qui ne sont pas concernés par la
réglementation EAR :
les technologies et les logiciels mis
à disposition du public sauf
ceux classés sous ECCN
5D002 sur la Commerce
Control List qui :
Sont ou ont été
publiés comme décrit dans le §734.7
(développé par la suite)
résultat de recherches fondamentales (§734.8)
Ont une visée
éducative (§734.9)
inclus dans certaines demandes
de brevets (§734.10)
Note : un livre
ou tout autre support matériel exposant des techniques de
chiffrement ne sont pas soumis au règlement EAR.
informations qui sont ou ont été publiées doivent respecter des
conditions qui sont développées dans le paragraphe §734.7
(Information publiée et logiciel) qui met en relief deux
conditions : la publication (1) et la distribution (2).
Une information est
publiée quand elle devient généralement accessible par le
public sous quelle que forme que ce soit, incluant :
publications dans des périodiques, livres, imprimés, électroniques
ou sur tout autre support rendant disponible la distribution à tout
membre du public ou à une communauté de personnes intéressées
par un même sujet scientifique, que ce soit gratuit ou à un
certain prix qui ne dépasse pas le prix de reproduction et de
demandes « ouvertes » de brevets disponibles auprès des
bureaux compétents ;
accessible au public (il faut que le public puisse prendre des
liée à la distribution inclue la notion de prix : il
faut que la mise à disposition du public le soit à titre gratuit ou
à un prix n'excédant pas le prix de reproduction et de
précisé que malgré les précisions apportées précédemment, il
faut noter que les logiciels de chiffrement contenus dans le Commerce
Control List restent soumis à l'EAR, exception faite des
codes source des logiciels de chiffrement disponibles au public qui
respectent le paragraphe 740.13(e) de l'EAR.
Note : l'EAR,
dans ses différentes parties, développe des questions auxquelles
sont apportées des réponses sur les divers points portant à
confusion (Section A, B et G dans le contexte).
C) Régime de l'exception de la réglementation
EAR (License Exception (§740.13(e)) Le paragraphe
exposant la License Exception TSU (Technologie and Software
Unrestricted) est très fourni dans ses conditions, il convient donc
de présenter en premier lieu l'encadrement du §740.13 de cette
(1), puis de s'intéresser au cas spécifique de la mise à
disposition du public (§740.13(e)) de tels codes source de
chiffrement (2), et enfin de voir les conditions liées à la
notification (3).
paragraphe §740.13 a pour portée d'accorder des permissions
d'export et de réexport des technologies et des logiciels
opérationnels. Cela englobe le minimum de technologie nécessaire
pour l'installation, l'opération, la maintenance (vérification) et
la réparation de telles marchandises ou des logiciels qui sont
légalement exportés ou réexportés sous licence, la License
Sont exclues les technologies permettant le développement ou la
technologie d'usage servant les extensions garantissant la sécurité
et l'usage efficace des marchandises ou des logiciels.
Le 14 janvier 2000 est créée la catégorie
« Code source de chiffrage à
accès libre »
("unrestricted
encryption source code")
qui permet de ne pas soumettre au contrôle effectué pour les
Encryption Items de la Licence
Exception TSU. Le 19 octobre 2000, cela s'est étendu aux codes
objets compilés des logiciels issus
de la catégorie « Code
source de chiffrage sans restriction ». Dans
ces deux cas, le code source ou le code objet doit respecter la
condition posée par EAR : « mis à disposition du
public ». De plus, le logiciel doit être disponible
gratuitement ou à un prix ne dépassant pas les frais de
reproduction et de distribution.
paragraphe §740.13(2) met en relief les dispositions et la
destination liées à la
technologie définie précédemment. S'agissant des dispositions, il
existe deux conditions : le logiciel d'opération est le minimum
nécessaire pour faire fonctionner un équipement autorisé à
l'export et au réexport et le logiciel d'opération est
sous forme de code objet. Quant à la destination, le logiciel et la
technologie peuvent être exportés vers
n'importe quelle destination pour laquelle l'équipement dans lequel
ils sont intégrés a été ou est légalement exporté ou réexporté.
plus, les mises à jour de logiciels sont autorisées si elles sont
limitées à la correction d'erreurs du logiciel légalement exporté
(740.13(c)).
§740.13(e) (publicly available encryption source code)
autorise les exports et les réexports de codes sources de logiciels
de chiffrement. Ces codes sources sont éligibles à la Licence
Exception TSU (Technology and Software Unrestricted)4
Larry Christensen,
ancien directeur de la Politique de la régulation du BXA (Regulatory
Policy) recommande d'utiliser un mécanisme de décision pour
déterminer la License Exception appropriée :
le logiciel ou la technologie peuvent être qualifiés de
disponibles au public ce qui permettra de le placer en dehors de la
réglementation EAR.
déterminer si le logiciel est en dehors de la portée des contrôles
effectués sur les logiciels de chiffrement (Encryption Items ou
logiciel peut se voir englobé dans la définition de la License
code source est éligible à cette License Exception
même s'il est soumis à un accord exprès de licence à titre
onéreux ou des royalties pour une production commerciale ou vente de
tout produit développé en utilisant le code source.
des restrictions sont prévues en soustrayant tout export ou réexport
de logiciels de chiffrement classé ECCN 5D002 qui ne
correspondent pas aux exigences du paragraphe (e)(1) (sur la portée
du paragraphe, voir supra),
même si le logiciel incorpore ou est spécialement créé pour
utiliser d'autres logiciels de chiffrement qui répondent aux
exigences de ce paragraphe (e)(1). En
outre, les exportations vers les pays sujets à un embargo sont
Notification (§740.13(e)(3))
notifier le BIS (Bureau of Industry and Security) et le ENC
Encryption Request Coordinator de la NSA par mail de l'adresse URL du
code source accessible par le public ou fournir aux deux une copie de
ce code source. Toute modification devra par ailleurs leur être
signalée. De plus, il convient de leur préciser tout changement
d'adresse internet du site intégrant le code source, mais les
modifications sur internet de ce code ne doivent pas être portées à
notifications ou copies doivent être effectuées
aux l'adresse suivante : crypt@bis.doc.gov
enc@nsa.gov.
Exception TSU autorise l'export de codes source contrôlés par
l'ECCN 5D002 ou, si ce
n'est pas le cas est considéré publiquement disponible selon la
section 734.3(b)(3).
contrôlés par la catégorie 5, partie 2 ne nécessitent pas
d'enregistrement. Sont inclus :
produits classés 5x992, à savoir :
produits avec des clefs dont la taille n'excède pas 56 bits
symétrique, 512 bits asymétriques et/ou 112 bits courbe
elliptique ;
de consommation de masse
avec des clefs dont la
taille n'excède pas 64
bits symétrique, 768
bits asymétriques et/ou 128
bits courbe elliptique Produits qui
utilisent le chiffrement simplement pour des raisons
Certains produits/transactions sont éligibles
aux exceptions ENC sans modalités d'enregistrement à destination
du secteur privé (740.17(a)(1)), un subsidiaire américain
(740.17(a)(2))
Certains produits qui ne demandent qu'une
notification avant export tels que les logiciels de chiffrement mis
à disposition du public avec un code source sous Licence Exception
TSU (740.13(e)) et les logiciels de test bêta sous Licence
Exception TMP (740.9).
renseignements sur l'enregistrement :
Site du Bureau of
Industry and Security :
Document explicatif de
la procédure SNAP-R :
« Karn case » rappelle
que l'exception de domaine public ne s'applique pas en cas de
logiciels de chiffrement.
Cour Suprême va différencier le support de chiffrement :
les cours et les écrits académiques peuvent être exportés sans
accord préalable du gouvernement. Par
réglementations ITAR et
EAR ne
sont pas applicables
aux principes scientifiques, mathématiques ou d'ingénierie qui sont
enseignés à l'école et à l'université ou des informations qui
composent légitimement le domaine public5.
On pourra donc faire
la différence les exceptions et les exemptions :
(informations publiée et accessible au public)
disponibles dans les kiosques à journaux, les librairies, sur
internet, par mail...
et dépôts de brevet publiés
meetings, séminaires aux États-Unis, accessibles au public
fondamentale.6
VI) Quid de l'Open
Source et du libre selon le régime américain ?
Comme nous venons de
le voir, les logiciels de chiffrement classés sous l'ECCN 5D002
restent sujets aux réglementations EAR, exception faite des codes
source des logiciels mis à disposition du public (si le §740.13(e)
s'applique en l'espèce aux fins d'invoquer la License
Exception TSU).
Il faut de plus
prendre en considération que les critères précédents ne
s'appliquent que dans le cadre de la législation américaine,
c'est-à-dire que pour les résidents des États-Unis. Pour les
développeurs d'autres pays, la législation peut s'inspirer des
arrangements de Wassenaar (notamment si son pays de résidence est
signataire à ce traité) mais ne pas comporter d'exception pour les
logiciels de chiffrement libres ou open source7.
Deux situations nous
intéressent principalement : celle dans laquelle on diffuse un
produit qui utilise un logiciel de chiffrement (A) et celle dans
laquelle on utilise ou intègre un logiciel de chiffrement (B).
pourront donc être diffusés, suite à notification, dans des pays
autres que ceux interdits par le ministère du Trésor, s'ils
respectent les conditions suivantes :
que le code source
soit notifié au niveau du
BIS et de l'ENC Encryption Request Coordinator de la NSA (procédure
expliquée dans le 2.B).
du logiciel ne doit pas excéder le coût
de reproduction et de distribution.
faut cependant noter que s'agissant des entreprises ou personnes
diffusant des logiciels libres ou open source moyennant
un paiement ne disposent pas des exceptions prévues par le
gouvernement américain et doivent par conséquent disposer
d'autorisations précises avant tout export.
notamment citer la société
Red Hat qui
propose des logiciels
libres payants, qui met à
disposition de tout intéressé les différentes
notifications et autorisations dont l'entreprise a
dû se doter pour exporter ses solutions.8
étant le berceau des mouvements libres et open source, il est
intéressant de constater que cet aménagement spécifique de
la législation américaine est
particulièrement adapté à ce type de diffusion : la seconde
condition étant automatiquement remplie du fait de la licence (qui
est gratuite) et il suffit donc de notifier les autorités
compétentes dans les règles précitées pour être conforme à la
B. Le logiciel de
hypothèse, c'est le produit fini incluant le logiciel de chiffrement
qui sera considéré et non pas simplement le logiciel comme
composant propre d'un ensemble.
envisager deux situations différentes : le cas où le produit
fini peut être classé comme matériel militaire (1) et le cas
contraire (2).
Logiciel embarqué dans du matériel militaire
Que l'on se
place au niveau de l'export américain ou de tout autre pays, le
matériel de chiffrement ne sera pris en compte que dans un deuxième
temps, la principale analyse s’opérera sur le matériel à
l'export et sur les autorisations autour. En outre, le
logiciel peut être considéré comme essentiel au bon fonctionnement
du matériel et ne nécessitera pas d'analyse comme élément
indépendant du matériel militaire.
ce cas de figure, il faut
prendre en considération la réglementation ITAR qui va
réguler entièrement les exportations de matériels militaires et
donc se référer à l'U.S. Munition List.
matériel sera considéré du point de vue militaire et sera écarté
du régime législatif correspondant à l'export de matériels
militaire de la réglementation ITAR.
Puis, il conviendra
de respecter toutes les règles du pays d'exportation, mais aussi
d'importation, dont voici un rappel pour les États-Unis :
que le pays de destination soit sujet à l'embargo des États-Unis ;
expliquée dans le 2.B) ;
logiciel ne doit pas excéder le coût de reproduction et de
Si tous ces critères
sont respectés, il faut procéder à la notification de la NSA et du
BIS9.
Dans le cas où toutes les conditions de notification n'auraient pas
été respectées, certaines entreprises peuvent être inscrites sur
une liste noire interdisant toute importation sur le territoire
V) Quid des projets
Pour conclure ce premier article, il est
intéressant de constater la pratique des projets libres et Open
Source suffisamment importants pour avoir considéré la question.
bien que les restrictions
semblent allégées pour les logiciels de chiffrement open source, la
procédure de notification peut représenter un frein pour les
petites entreprises ou
américaines, ou
tout autre entité qui hébergerait ses logiciels
de chiffrement aux États-Unis. Cependant,
il faut noter que le cycle
de développement très court qui caractérise le logiciel libre
(release early, release often) est totalement
pris en compte dans la législation américaine (une
seule notification du site web sur lequel sont mis à disposition les
logiciels de chiffrement étant nécessaire).
parade à la législation américaine, tel que Debian, qui a fait le
choix de séparer les logiciels de chiffrement dans une archive
particulière en dehors des États-Unis.
Debian est un
système d'exploitation dont les capitaux et les ressources sont
détenus par un organisme enregistré
à but non lucratif : Software in the Public Interest (SPI).
L'engagement commercial étant nécessaire sur internet pour pouvoir
se voir verser des
dons, la sécurisation doit être optimale, d'où l'utilisation de
logiciels de chiffrement. Ces logiciels ne sont donc pas localisés
mais basés sur un serveur
connu sous le nom de serveur « non-US ».
cette solution comporte des limites quant à la responsabilité des
développeurs américains qui apporteraient leurs
sur ces logiciels de chiffrement.
existe aussi le type de site qui, pour
plus de compréhension, met à disposition du public toute la
méthodologie mise en place pour procéder à la notification ou à
l'autorisation comme le site de Freedesktop10.
Ce site rappelle aussi les règles liées à l'exportation sur une
existe la solution Apache qui a dédié une
page entière de son site,
dédiée aux exports de
are literally in a race between our ability to build and deploy
technology, and their ability to build and deploy laws and treaties.
Neither side is likely to back down or wise up until it has
definitively lost the race. John
Gilmore, FreeS/WAN project founder 2Une
enquête a été ouverte par le gouvernement américain de 1993 à
1996, mais sans donner de suite.
Il existe une exception pour les voyages nommée BAG (§ 740.14
BAGGAGE de la réglementation EAR).
4Cette
Licence Exception autorise les exports et ré-exports de
technologies et logiciels, leur vente, leur mise à jour et les
codes sources de chiffrement qui sont considérés disponibles au
public selon le §734.3(b)(3).
5Domaine
public (définition en droit américain) : création non
protégée par le copyright. La création n'est jamais protégeable
par le copyright ou est entrée dans le domaine public dû à
l'expiration des droits.
6Toute
recherche non divulguée ou « propriétaire » est
soumise à l'EAR pour les conditions liées à l'export.
article complétera bientôt ce premier travail en se concentrant
sur la législation française relative à l'exportation de
matériels de chiffrement.
plus de renseignements, se référer à la parie II C 3).
http://www.freedesktop.org/wiki/Software/fprint/US_export_control/
Licence Associée: CC - BY - SA V4Fichier: Export de logiciels libres de chiffrement_ le modèle américain (ITAR, EAR).pdf	Partager ce billet
Lucie Blaye Laisser un commentaire

References: §121
 § 734

§734

§734
 §734
 §734
 §740
 §740
 §740

§740
 §740
 §734