Source: http://francoischarlet.ch/2011/que-risque-le-hacker-en-droit-penal-suisse
Timestamp: 2013-05-21 18:48:24+00:00
Document Index: 124411372

Matched Legal Cases: ['art. 186', 'art. 143', 'art. 143', 'art. 143', 'art. 1', 'art. 143']

Que risque le hacker en droit pénal suisse ? | François Charlet	François CharletFacebookFrançois CharletTwitterFrançois CharletGoogle-PlusFrançois CharletLinkedFrançois CharletRSS
Navigation Que risque le hacker en droit pénal suisse ?
[Mis à jour en janvier 2012 pour suivre l'évolution législative suite à la Convention européenne sur la cybercriminalité]
Premier épisode de ma série estivale d’articles explicatifs sur les délits informatiques et leur répression.
En droit pénal suisse, le hacking consiste en l’accès indu à un système informatique.
Art. 143 bis du Code pénal suisse (CP)
Le hacking peut être considéré comme l’équivalent informatique de la violation de domicile (art. 186 CP). Avant de voler quelque chose, il faut entrer. Nous ne nous intéresserons ici qu’à l’alinéa 1.
Il faut donc l’existence d’un système informatique appartenant à autrui. Les termes « système informatique » excluent donc les supports de données tels que les clés USB, ainsi que les appareils ne fournissant qu’un service ou bien en particulier, comme des distributeurs automatiques, à moins qu’ils soient directement reliés à un ordinateur, comme un bancomat (distributeur à billets). On vise donc à protéger l’ordinateur en tant que tel, en particulier l’espace virtuel qu’on peut considérer comme un « domicile informatique ». Il faut bien comprendre que l’art. 143 bis CP ne protège pas les données ou leur support, mais bien le système.
Il est déterminant de savoir qui a l’accès au système informatique et qui en dispose. On protège ici le domicile informatique. Cela implique que si l’utilisateur du système n’est pas le propriétaire de l’appareil, seul l’utilisateur du système pourra porter plainte. Seule la personne directement lésée peut porter plainte, car le domicile informatique de la personne concernée importe plus que celui du détenteur de la machine. Qu’en est-il si une personne étant légitimée à accéder au système principal accède sans droit à un sous-système dont il n’est pas utilisateur ? C’est une question encore débattue, mais il n’y a pas de raison, à mon avis, de ne pas réprimer cette personne, bien qu’elle ait accès au système. En d’autres termes, un administrateur système ne peut pas accéder sans droit aux sous-systèmes ou sessions des utilisateurs utilisant le système informatique.
Le système doit être « spécialement protégé contre tout accès » grâce à une barrière informatique. Une barrière physique ou morale, voire contractuelle, ne suffit pas. Une porte (même fermée à clé), une interdiction formelle ou un accord contractuel ne répondent pas à l’exigence légale de la protection contre tout accès. L’efficacité de la barrière n’a que peu d’importance, au vu des prouesses des hackers, à moins que la barrière transparente au point qu’on peut considérer qu’il n’y en a pas. Si le système dispose de plusieurs barrières le protégeant, il suffit qu’une barrière soit franchie pour considérer que le hacker est « dans le système ». La personne à qui on autorise un certain accès au système et qui va au delà de ses droits n’est pas punissable.
L’accès doit intervenir via un dispositif de transmission de données. La notion est large et n’est pas à prendre à la lettre : le législateur a voulu insister sur le caractère informatique du délit (entrer via un procédé informatique). Le réseau Internet est un tel dispositif. Cette notion n’implique pas que l’infraction se fait à distance ; elle impose seulement que l’accès au système soit un accès informatique et non un accès réel (comme l’accès à une salle de serveurs). L’accès dont il est question ici peut se faire tant depuis l’autre bout du monde que via le clavier même de l’ordinateur visé. Les actes de phishing rentrent dans le champ d’application de l’art. 143 bis CP, bien qu’on préférera leur appliquer les art. 143, 146 ou 147 CP.
Enfin, l’accès doit se faire sans droit, c’est-à-dire que le hacker n’est pas autorisé par la loi, par le consentement de la victime, ou par un motif justificatif à s’introduire dans le système. On constate donc ici que l’ethical hacking est parfaitement légal en Suisse.
L’acte doit être intentionnel ou être commis à tout le moins par dol éventuel (c’est-à-dire qu’on tient pour possible le résultat, mais qu’on passe néanmoins à l’action car on s’accommode du résultat au cas où il se produirait, même si on ne le souhaite pas). La commission par dol éventuel est toutefois difficilement envisageable. Celui qui se trouve dans un système par négligence n’est donc pas punissable. Si, dans ces conditions, on reste dans le système malgré des injonctions à sortir, on n’est pas punissable du fait de l’art. 1 CP car la règle n’est pas prévue (on est ici face à une lacune de la loi).
Voilà pour le hacking ! Le prochain épisode sera dédié à la soustraction de données, c’est-à-dire le « cracking » (art. 143 CP).
Etiqueté le:Droit pénal,Série droit pénal	← iMessage va-t-il avoir un impact sur les revenus des opérateurs ?
La soustraction de données informatiques →
8 commentaires pour “Que risque le hacker en droit pénal suisse ?”	Tengu 14 juillet 2011 à 11 h 29 min	Hmm, intéressant. Si on cherche à s’enrichir, on se ramasse une inculpation supplémentaire (genre recèle, faux et usage de faux … ) ?
Répondre ↓	Tengu 14 juillet 2011 à 13 h 18 min	Ah.. me demande si ça serait aussi gentil aux USA par exemple ;)
Répondre ↓	François Charlet Auteur du post14 juillet 2011 à 13 h 11 min	Je ne pense pas qu’on nous inculpe pour autre chose, mais par contre le juge peut alourdir un peu la peine si on agit pour s’enrichir (ce qui est plus grave que de hacker un système juste pour la prouesse informatique).
Répondre ↓	carb0nyle 19 mars 2012 à 14 h 15 min	Article très intéressant.
N’étant pas juriste je me retrouve un peu dans le flou:
- Pourquoi « sans dessein d’enrichissement » figure dans l’article Art. 143 bis? Pour moi cette clause permet d’attaquer les White hats, non?
Cette clause semble en désaccord avec « On constate donc ici que l’ethical hacking est parfaitement légal en Suisse. », non?
- « et spécialement protégé contre tout accès de sa part » Peut-on considérer qu’un ordinateur/serveur n’ayant pas tous les patches de sécurité / vieille version de software avec des exploit connu n’est pas « spécialement protégé »?
Donc le simple fait de tenter d’exploiter une vulnérabilité, même dans le but de le déclarer au webmaster peut nous conduire en prison?
Répondre ↓	François Charlet Auteur du post19 mars 2012 à 14 h 29 min	L’ethical hacking est une forme de hacking autorisé. Puisque les sociétés mandatent des hackers (en général certifiés) dans le but précis de hacker leurs systèmes, il serait mal avisé pour le système pénal de réprimer ces actes alors que les « victimes » l’ont expressément demandé et toléré.
En fait, la mention de l’absence de dessein d’enrichissement illégitime pourrait correspondre à un « bug législatif ». Il me semble que le Parlement, en voulant mettre l’accent sur le fait que cet acte est punissable « même sans dessein d’enrichissement illégitime », ait mal mesuré l’incidence de cette précision. A mon sens et selon plusieurs avis de doctrine, il faut comprendre cette précision avec l’adverbe « même ».
Concernant la protection, je pense qu’il suffit qu’une protection existe (mot de passe par ex.) et que le propriétaire du système ne veuille pas le rendre ouvert à tout un chacun. On ne devrait pas faire dépendre cette condition du manque de connaissance du propriétaire, notamment concernant la nécessité de mettre son système à jour.
Pour répondre à ta dernière question, la réponse est oui (même si je doute qu’on aille en prison juste pour ça ; tout au plus recevra-t-on une grosse peine pécuniaire). Il vaut mieux demander l’accord du webmaster avant de tenter quoi que ce soit.
Répondre ↓	carb0nyle 19 mars 2012 à 15 h 12 min	Merci pour ta réponse!
D’un coté je suis rassuré que le ethical hacking soit autorisé en suisse. Personnellement et pour clarifier les choses je ne planifie pas de faire d’attaques (SQLi, defacement, phishing, …) avec de mauvaises intentions. Je suis juste intéressé par les possibilités, dans un but purement éducatif.
Avant de me retrouver avec des problèmes je préfère m’informer sur les conséquences possible dans notre système législatif. Visiblement je vais devoir passer par la case « accreditation » pour avoir le « droit » d’avoir ce hobby (on verra la motivation et mes moyens une fois mon PhD terminé)
Éventuellement je prendrai contact avec un webmaster avant de me lancer dans un nmap/nessus scanning mais sans trop de surprise je m’attend juste à un NON comme réponse. Dommage d’être punissable malgré de bonne intentions…
Répondre ↓	François Charlet Auteur du post19 mars 2012 à 15 h 55 min	Je te comprends, mais je comprends aussi les webmasters. Imagine : on toque à ta porte, une personne avec toutes les bonnes intentions du monde te proposent de tenter de défoncer ta porte pour « voir si elle résiste ». L’analogie n’est pas parfaite (je n’ai pas trouvé mieux) mais le principe est semblable. Personnellement, je dirais non.
Le problème de ce hobby est qu’il dépend d’autres personnes et de leur sécurité informatique. Hobby ou pas, on n’est pas censé jouer avec. Un peu comme si le hobby de quelqu’un était de jouer à Guillaume Tell avec des humains bien vivants. On n’est pas censé s’amuser avec les biens juridiquement protégés d’autrui. Même s’il est d’accord. ;-)
Quoiqu’il en soit, et bien que je te comprenne totalement (même si j’en ai pas l’air, je suis un peu geek à mes heures, la volonté de hacker tout ce qui a des 1 et des 0 en moins), il faut quand même faire attention. Les jugements pour hacking sont très peu nombreux en Suisse, mais il vaut mieux jouer le jeu. :-)
Répondre ↓	carb0nyle 19 mars 2012 à 16 h 41 min	Effectivement je ne laisserai pas une personne défoncer ma porte « pour le plaisir » (un type qui vient avec une bumping key à la limite: c’est pas destructif comme méthode. Juste pour tenter d’améliorer ton analogie.)
En fait mon « but » en tant que geek: comprendre comment ça fonctionne (déformation professionnelle) parce que de plus en plus de chose se passent online/via des terminaux. La plupart des gens ne se préoccupent pas de la sécurité et un jour on peut s’attendre au pire (sans virer à la paranoïa). J’aime bien sensibiliser les gens aux problèmes de sécurité informatique: genre MITM sur réseau wifi pour montrer que les cookies c’est pratique mais aussi dangereux (bien entendu opération effectuée sur mon réseau)
Bref, je vais tenter de contacter des webmaster dans mon cercle d’ami.
Blog bookmarké, j’attend avec impatience les prochains articles