DRM et brevets logiciels accusés d’empêcher la recherche informatique
Sécurité ici, insécurité partout
Le 20 mars 2013 à 15h00
5 min
Droit
Droit
Rattaché directement auprès du premier ministre, le Centre d’analyse stratégique a pour mission « d’éclairer le Gouvernement dans la définition et la mise en œuvre de ses orientations stratégiques en matière économique, sociale, environnementale ou technologique ». Ses derniers travaux portent justement sur la sécurité informatique et notamment les verrous juridiques qui freinent les expérimentations (PDF).
Le document est précieux et s’inscrit dans la lignée du livre blanc de 2008 sur la défense et la sécurité, ou le rapport Bockel. Il rappelle ainsi que les institutions et les organisations d’importances stratégiques sont insuffisamment protégées pour faire face à des attaques informatiques de plus en plus élaborées. « Élever le niveau de cybersécurité est une urgence pour préserver la compétitivité économique et la souveraineté nationale » affirme le CAS.
Le Centre recommande de suivre quatre pistes. Il préconise de « renforcer les exigences de sécurité imposées aux opérateurs d’importance vitale (OIV), sous le contrôle de l’Agence nationale de la sécurité des systèmes d’information (ANSSI) ». L’enjeu serait en outre de « développer et mettre à la disposition des petites et moyennes entreprises des outils simples pour gérer les risques. »
Ces mesures pourraient aussi passer par des missions élargies au sein de l’ANSSI afin « d‘accompagner le développement de l’offre française de solutions de cybersécurité ». Par exemple, l’Agence pourrait être chargée de fournir des indicateurs statistiques « fiables et reconnus pour évaluer le niveau de la menace (nombre, origine géographique et typologie des attaques) ». Le CAS demande aussi que les équipes du CERT (Computer Emergency) soient sollicitées pour partager l’information dont elles disposent. Et il recommande une liaison avec l’Office central de lutte contre la criminalité liée aux technologies de l’information et de la communication (OCLCTIC).
Surtout, le CAS rappelle une problématique bien connue : les législations protectrices notamment des intérêts des ayants droit ont peu à peu enseveli la recherche informatique. Ces couches normatives sont les sources d’une insécurité juridique. « Les chercheurs en informatique se trouvent dans une situation d’insécurité juridique qui limite leur champ de travail et réduit un vivier de compétences pourtant indispensables pour anticiper, innover et améliorer la sécurité » regrette le CAS.
DRM, DADVSI et brevets logiciels
Il pointe spécialement les DRM ou mesures techniques de protection qui verrouillent les œuvres. Ces DRM « peuvent créer des vulnérabilités dans les systèmes d’information » témoigne-t-il. Pour preuve, il rappelle le sombre épisode du système de protection XCP qui « installait automatiquement un logiciel contenant des failles de sécurité lors de la lecture d’un CD audio » (le fameux rootkit Sony). Le comble est que les chercheurs ont l’interdiction de contourner ces mesures depuis la loi relative au droit d’auteur et aux droits voisins dans la société de l’information (DADVSI). Le contournement est en effet assimilé à une contrefaçon avec ses fameux 3 ans de prison et 300 000 euros d’amende...
Il y a d’autres grains de sable, par exemple les brevets logiciels. Cette technique juridique de protection « offre la possibilité d’obtenir un monopole sur des techniques algorithmiques, y compris lorsque celles-ci sont nécessaires pour assurer la sécurité ». Le CAS note très justement que l’article 52 de la Convention sur le brevet européen de 1973 exclut les logiciels du champ du brevetable. Cependant, tempère-t-il, « l’Office européen des brevets (OEB) délivre en pratique des brevets logiciels en raison d’une interprétation extensive de la Convention et d’un modèle économique et de gouvernance discutable » (voir sur le sujet cette interview.)
Loi Godfrain et la rétro-ingénierie
La loi Godfrain de 1988 a elle-même sécrété son lot de verrouillage. « Appliquée de manière stricte, elle condamne pénalement le fait de divulguer publiquement une faille de sécurité jusque-là inconnue (sécurité par transparence ou Full Disclosure) alors que cela incite les éditeurs de logiciels à concevoir des correctifs ». La Cour de cassation elle-même a rappelé que le Full Disclosure était un délit.
Tout autant pointé du doigt, l’encadrement du reverse engineering. La rétro-ingénierie en effet « est interdite lorsqu’elle est effectuée pour des raisons de sécurité informatique », constate le CAS. « C’est pourtant le seul moyen d’évaluer le degré de sécurité de produits propriétaires. »
Assouplir ce cadre, sous le contrôle de l'ANSSI
Le CAS estime qu’il serait donc judicieux d’assouplir ce cadre juridique afin de laisser un champ aux chercheurs pour leurs expérimentations en matière de sécurité des systèmes d’information. Il préconise que ces travaux puissent être faits, sous le contrôle de l’ANSSI et d’un comité d’éthique ad hoc, afin d’éprouver la sécurité des logiciels et les moyens de traiter les attaques. « Des initiatives telles que le Laboratoire de haute sécurité informatique de l’INRIA à Nancy pourraient être reproduites : placé dans un environnement fermé avec un réseau isolé et des locaux protégés accessibles par reconnaissance biométrique, il offre un cadre technologique et réglementaire fiable pour mener des expérimentations et manipulations à caractère sensible. »
DRM et brevets logiciels accusés d’empêcher la recherche informatique
-
DRM, DADVSI et brevets logiciels
Commentaires (46)
Vous devez être abonné pour pouvoir commenter.
Déjà abonné ? Se connecter
Abonnez-vousLe 20/03/2013 à 15h03
Au contraire, le brevet oblige les industriels a innover en cherchant des alternatives
Le brevet les protège de la copie
Le 20/03/2013 à 15h05
Le Centre d’analyse stratégique: “Non mais je les connais ceux-là, c’est des cas” " />
Je retourne lire l’article (oui je me suis arrêté à la première ligne).
Le 20/03/2013 à 15h07
J’ai la certitude que le rapport va finir à la poubelle. " />
Le 20/03/2013 à 15h12
C’est tout le système de brevets/droits d’auteurs qu’il faudrait remettre à plat et à jour pour le monde de l’information.
Le 20/03/2013 à 15h12
Le 20/03/2013 à 15h19
Le 20/03/2013 à 15h24
Le 20/03/2013 à 15h34
Le 20/03/2013 à 15h35
Le 20/03/2013 à 15h36
Le 20/03/2013 à 15h38
Le 20/03/2013 à 15h38
Le 20/03/2013 à 15h44
Le 20/03/2013 à 18h15
Le 20/03/2013 à 19h10
Le 20/03/2013 à 20h48
Le 20/03/2013 à 21h28
Le 20/03/2013 à 21h38
Le 20/03/2013 à 22h57
Le 21/03/2013 à 08h12
Le 21/03/2013 à 08h18
Appliquée de manière stricte, elle condamne pénalement le fait de divulguer publiquement une faille de sécurité jusque-là inconnue (sécurité par transparence ou Full Disclosure)
Ce qui est tout à fait normal, c’est criminel de publier des failles jusque là inconnues sur des logiciels comme Windows utilisés par des centaines de millions de personnes sur la planète, il est illusoire de penser que ces centaines de millions de personnes mettront tous à jour leur logiciel avant que quelqu’un n’exploite cette faille gentillement documentée par un hacker…
Celui qui a découvert la faille n’a qu’à en informer le développeur, éventuellement informer le public mais sans donner de détails qui permettent de reproduire ce hack, à partir de là la responsabilité pèse sur le développeur : s’il ne fait rien, il sera fautif si la faille est exploitée.
Le Web c’est pas le far west, on balance pas des failles documentées comme ça en espérant faire pression sur le développeur et en espérant que ce dernier sera plus rapide que les pirates… On est dans une société civilisée, on a en France la responsabilité civile qui devrait suffire à inciter les développeurs à réagir, je ne vois pas pourquoi Internet devrait reposer sur un rapport de forces permanent entre d’un côté les “bons et les justes” (les anonymous, les hackers, ceux qui téléchargent gratuitement de la musique et des films) et les “méchants” (les grosses multinationales, les majors du disque, l’industrie du cinéma, le gouvernement américain, etc).
Le 21/03/2013 à 08h30
Le 21/03/2013 à 09h15
Le 21/03/2013 à 20h39
NOUS ON A LES BREVETS PÔLE EMPLOI ET RETRAITE A VIE? DÉJÀ PAS MAL
" /> " />
Le 22/03/2013 à 00h42
J’aime beaucoup les commentaires de tnetennba.
Il doit vivre dans un monde formidable ou les lois sont appliquees dans l’esprit et non dans la lettre, ou les administrations comme les bureaux de depot de brevets ont les moyens techniques et materiels d’accomplir leurs missions, ou les entreprises pensent au bien de l’humanite avant leurs profits… ou les licornes dansent et les oiseaux nous font des guirlandes de fleurs…
Regardons la realite. Grise, ennuyeuse, mais difficile a contourner.
Et j’en passe.
Le systeme des brevets est tres loin aujourd’hui de son ideal de depart.
C’est dommage, certaintement, mais voila la realite…
Le 22/03/2013 à 16h57
Le 22/03/2013 à 21h56
Le 22/03/2013 à 22h21
Le 25/03/2013 à 10h29
Le 25/03/2013 à 16h37
Le 20/03/2013 à 15h44
Le 20/03/2013 à 15h49
et pendant ce temps là, L’OMPI heureuse que les brevets favorisent les gros avec la crise
Le 20/03/2013 à 16h19
Le 20/03/2013 à 16h25
Le 20/03/2013 à 16h29
Le 20/03/2013 à 16h35
Le 20/03/2013 à 16h41
Le 20/03/2013 à 16h45
Si une entité présente une innovation, et que cette dernière est déjà breveté, est-ce une innovation ?
Un brevet est très loin d’impliquer une innovation. Dans la majorité des cas ce sont des choses relativement basiques et communes qui sont truffe de brevets. Le but n’étant pas de déposer de brevet apportant une innovation mais de préparer le terrain a une possible attaque en justice, soit pour récupérer de l’argent soit pour ralentir ou clouer la concurrence.
Le 20/03/2013 à 16h55
Le 20/03/2013 à 17h00
Le 20/03/2013 à 17h10
Le 20/03/2013 à 17h28
D’ailleurs :
Apple brevette une solution de partage d’informations en réalité augmentée
PC INpact
M’est avis qu’il ne sera bientôt plus possible de faire quelque chose en réalité augmentée sans devoir passer par la case “procès Apple”.
" />
La “réalité augmentée” avec des “coins arrondis”, c’est pour quand ?
PS :
Grillé.
Le 20/03/2013 à 17h29
Le 20/03/2013 à 17h38
L’office Européen des brevets délivre des brevets dits logiciels. Ils sont illégaux, cf traité de Munich. Pour ma part, le système de brevet est complètement archaïque et complètement vicié, donc tout ce qu’il mérite c’est la poubelle.
La vraie raison du non au DRM est éthique: il est hors de question qu’un logiciel sur une machine “personnelle” décide de notre comportement. Il n’y a pas de raisons acceptables pour que notre comportement numérique soit décidé par le board d’apple… (ou via les législateurs “acquient” à leur “cause”). C’est le phénomène de la prison numérique. Et il n’est pas question de me marginaliser en “boycottant” le blu-ray. Genre choix de Sophie (point équivalent godwin?) pour les fans d’open source et de films: tu te marginalises avec ton open source ou tu visionnes des blu-ray.
Heureusement, l’intéropérabilité prime. Donc où sont les clés pour lire des blu-ray avec un logiciel open source? C’est pas pour ça que la hadopi est payée??? Nan? Elle remplit ses “missions” de manière très sélective… On me soufle qu’elle les remplit! Mais que pour certaines d’entre elles, il faut attendre… attendre… attendre…
Je me doutais bien que les entreprises de sécurité informatique étaient illégales en France. Allez tous en prison ou ruinés à vie! Bon… si vous donnez les failles gratosses, R&D à vos frais (allez va pour 2 euros le 0 day) et en douce à la Défense, on vous en tiendra pas rigueur, hein.
C’est beau la France! Vous inquiétez pas, c’est pire ailleurs.
" />
Le 20/03/2013 à 17h50
Le pire de tout, c’est la vente de brevets aux Multinationales
Il devrait y avoir une clause comme quoi le pays du créateur puisse garder un droit unique d’usage en cas de vente (ceux qui en bénéficieraient serait le pays d’origine et l’acheteur du brevet uniquement)
Le 20/03/2013 à 17h51