Alors que la loi DADVSI (« droit d'auteur et droits voisins dans la société de l'information ») prévoit déjà des sanctions pénales pour le contournement d'une mesure technique réalisé par ses propres moyens, les contraventions applicables au contournement réalisé à l'aide d'un outil dédié ont fait l'objet de la publication d'un décret en décembre 2006. L'April, association nationale de promotion et défense du logiciel libre, avait déposé au Conseil d'État une requête en annulation contre ce décret. Le Conseil d'État vient de rendre sa décision. Celle-ci rétablit dans les faits l'exception de contournement à des fins d'interopérabilité.

Acheter un iPhone ne revient pas au même qu'acheter une voiture ou un grille-pain. Vous recevez votre iPhone avec une liste compliquée de règles sur ce que vous pouvez ou ne pouvez pas faire avec. Vous ne pouvez pas y installer des application tierces non homologuées. Vous ne pouvez pas le déverrouiller et l'utiliser avec l'opérateur téléphonique de votre choix. Et Apple est très sérieux au sujet de ces règles : une mise à jour logicielle publiée en septembre 2007 effaçait les logiciels non autorisés et, dans certains cas, rendait inutilisables les téléphones déverrouillés.

On dit qu'ainsi l'iPhone devient aussi utile qu'une « brique » et Apple ne s'en est pas excusé le moins du monde.

Les entreprises informatiques veulent plus de contrôle sur les produits qu'elles vous vendent et elles ont recours à des mesures de sécurité incroyablement draconiennes pour y parvenir. Les raisons sont économiques.

Le contrôle permet à une entreprise de limiter la concurrence sur des produits auxiliaires. Avec des ordinateurs Mac, n'importe qui peut vendre un logiciel qui fasse n'importe quoi. Mais Apple en arrive à décider qui peut vendre quoi pour l'iPhone. Apple peut encourager la concurrence quand il le veut et se réserver une position de monopole quand il le veut. Et il peut dicter ses conditions à toute entreprise qui voudrait vendre des logiciels ou des accessoires pour l'iPhone.

Au final, les bénéfices d'Apple en sont accrus. Mais le principal bénéfice à tirer de tout ce contrôle d'Apple est qu'il accroît le "menottage" (NdT : le terme anglais est « lock-in », qui pourrait aussi se traduire par « verrouillage » ou « captation », j'ai préféré « menottage » pour aller dans le sens de Richard Stallman lorsqu'il parle des effets nocifs des DRM). Le « menottage » est un terme économique pour signifier la difficulté de changement pour un produit concurrent. Pour certains produits, le cola par exemple, il n'existe pas de menottage. Je peux boire du Coca aujourd'hui et du Pepsi demain : aucun problème. Mais pour d'autres produits, c'est plus difficile.

Par exemple, changer de traitement de texte, demande d'installer un nouveau logiciel, d'apprendre une nouvelle interface et un nouveau jeu de commandes, de convertir tous les fichiers (qui peuvent ne pas être proprement convertis) et les applications sur mesure (qui nécessitent certainement d'être réécrites), voire d'acheter éventuellement du matériel plus récent. Si je ne suis plus satisfait du Coca, même pour un instant, je changerai : ce que Coca a appris à ses dépends en 1985 lorsqu'ils ont changé leur formule et lancé sur le marché le « Nouveau Coca-Cola ». Mais je devrai être sacrément dégoûté par mon traitement de texte depuis un bon bout de temps avant de seulement envisager de dépenser tant d'énergie et d'argent pour en changer.

Le menottage n'est pas nouveau. C'est la raison pour laquelle les fabricants de consoles de jeux veillent à ce que leurs cartouches ne fonctionnent pas sur d'autres consoles, et c'est pourquoi ils peuvent vendre les consoles à perte et faire des profits uniquement en vendant des jeux. C'est la raison pour laquelle Microsoft ne veut jamais (NdT malgré ce qu'ils prétendent) ouvrir ses formats de fichiers pour que d'autres applications puissent les lire. C'est la raison pour laquelle la musique achetée chez Apple pour votre iPod ne marchera pas sur d'autres marques de baladeurs. C'est la raison pour laquelle les compagnies de téléphones cellulaires des États-Unis se sont battues contre la portabilité des numéros. C'est la raison pour laquelle Facebook attaque toute entreprise qui tente de grappiller ses données pour les mettre sur un site web concurrent. Cela explique les programmes des compagnies aériennes pour les grands voyageurs, les cartes de fidélité des supermarchés et le nouveau programme de récompense de Coca-Cola (NdT : My Coke Rewards).

Avec un menottage suffisant, une entreprise peut protéger ses parts de marché même lorsqu'elle diminue sa qualité de service, augmente ses prix, refuse d'innover ou maltraite sa base de clients. Il ne faut pas s'étonner si cela rappelle à tout le monde son expérience vis-à-vis des entreprises informatiques : lorsque ce secteur a découvert le menottage, tout le monde a commencé à imaginer comment en profiter le plus possible.

Les économistes Carl Shapiro et Hal Varian ont même prouvé que la valeur d'une entreprise informatique est la somme du menottage qu'elle pratique. Voici le principe : imaginez, par exemple, que vous avez 100 personnes dans une entreprise qui utilise MS Office pour un coût de 500 € par personne. Si cela coûte moins de 50000 € à l'entreprise de migrer vers Open Office, ils le feront. Si cela coûte plus que 50000 €, Microsoft augmentera ses prix.

La plupart du temps, les entreprises augmentent leur menottage via des mécanismes de sécurité. Parfois le menottage est perpétué par des brevets, mais le plus souvent il s'agit de protection contre la copie, des DRM (NdT : Digital Restriction Management), du code signé ou d'autres mécanismes de sécurité. Ces fonctionnalités de sécurité ne correspondent pas à ce qu'on entend habituellement par sécurité : elles ne nous protègent d'aucune menace extérieure, elles protègent les entreprises contre nous.

Microsoft fait des projets sur ce type de mécanisme de sécurité basé sur le contrôle depuis des années. Initialement appelée Palladium et maintenant NGSCB (Next-Generation Secure Computing Base), l'idée est de fabriquer un système de sécurité basé sur le contrôle dans le matériel informatique. Les détails sont complexes mais cela donne des choses qui vont d'autoriser un ordinateur à ne se lancer que depuis une copie autorisée du système d'exploitation, jusqu'à interdire à l'utilisateur d'accéder à des fichiers ou de lancer des logiciels « non autorisés ». Les bénéfices concurrentiels pour Microsoft sont gigantesques.

Bien entendu, ce n'est pas ainsi que Microsoft fait la publicité de NGSCB. Ils le présentent comme une mesure de sécurité, protégeant les utilisateurs contre les vers, chevaux de Troie et autres logiciels malveillants. Mais le contrôle n'équivaut pas à la sécurité. Et ce genre de sécurité basée sur le contrôle fonctionne très difficilement, et nous rend souvent plus vulnérables que les autres menaces. C'est peut-être pourquoi Microsoft est tranquillement en train de tuer NGSCB (nous avons BitLocker, et nous pourrions avoir d'autres fonctionnalités de sécurité du même genre) malgré l'immense investissement consenti par les fabriquants de matériel lorsqu'ils ont incorporé des composants de sécurité spécifiques dans leurs cartes mères.

Dans mon dernier article, je discutais du débat entre sécurité contre vie privée et comment il s'agit en fait d'un débat entre sécurité contre contrôle. Nous voyons ici la même dynamique à l'oeuvre, mais dans un environnement commercial. En confondant contrôle et sécurité, les entreprises sont capables d'imposer des mesures de contrôle qui agissent contre nos intérêts en nous convainquant qu'elles le font pour notre propre sûreté.

En ce qui concerne Apple et l'iPhone, je ne sais pas ce qu'ils vont faire. D'un côté, il y a ce rapport disant qu'il existe plus d'un million d'iPhones déverrouillés, ce qui coûte à Apple entre 300 et 400 millions de dollars. D'un autre côté, Apple projette de publier ce mois-ci (NdT : février 2008) un kit de développement logiciel, amorçant un virage à 180° par rapport aux restrictions imposées par le passé et permettant à des éditeurs tiers d'écrire des applications pour l'iPhone. Apple essayera de garder le contrôle via une clé secrète applicative qui sera exigée de la part de toute application tierce "officielle", mais qui bien entendu a déjà fuité.

Et la course aux armements de sécurité continue...

Article original de Bruce Schneier, traduit par Gérald Sédrati-Dinet et publié ici avec l'aimable autorisation de l'auteur. Bruce Schneier est directeur technique de BT Counterpane et l'auteur de "Beyond Fear: Thinking Sensibly About Security in an Uncertain World" (Au-delà de la peur : penser raisonnablement à la sécurité dans un monde incertain). D'autres de ses écrits sont consultables sur son site web.

Christophe Espern, co-fondateur d'EUCD.INFO a répondu à des questions du site PCInpact sur l'avant-projet de loi Olivennes. Cet avant-projet de loi propose notamment de donner à une autorité administrative indépendante les mêmes moyens que ceux accordés à titre exceptionnel aux services de lutte contre le terrorisme, en plus de donner les moyens à cette autorité de couper l'accès internet sans avoir obligation d'organiser un débat contradictoire préalable.

Paris, le 16 octobre 2007. L'initiative EUCD.INFO a pris connaissance du projet de loi relatif à la lutte contre la contrefaçon, transposition d'une directive européenne dont le rapporteur était Janely Fourtou, la femme du PDG de Vivendi. Cette directive était déjà particulièrement favorable aux grandes entreprises. Le gouvernement français a décidé d'aller encore plus loin.

À la lecture des dernières prises de position publiques de Christine Albanel sur le dossier des droits d'auteur et d'internet, EUCD.INFO constate que la ministre s'incrit dans la droite ligne de son prédécesseur : elle ment. À croire que son cabinet n'a pas tiré les leçons de l'épisode DADVSI qui a conduit Renaud Donnedieu De Vabres au purgatoire.

Richard Stallman appelle les citoyens français épris de liberté informatique à adhérer à l'APRIL.

Fondée en 1996, l'APRIL est devenue aujourd'hui l'acteur reconnu et incontournable pour la promotion et la défense du logiciel libre. Pour encore mieux promouvoir et défendre le logiciel libre l'APRIL a lancé le samedi 19 mai 2007 une campagne d'adhésion dont l'objectif est d'atteindre les 1 500 adhérents et de permettre de renforcer son équipe de permanents avant la fin de l'année. L'APRIL a besoin de votre soutien.

Mise à jour - 28 février 2008

Dans le cadre de la mise en oeuvre de la "riposte graduée", un avant-projet de loi propose de donner à une autorité administrative indépendante les mêmes moyens que ceux accordés à titre exceptionnel aux services de lutte contre le terrorisme.

Lire l'interview de Christophe Espern : "La loi Olivennes est un texte extrémiste"

Extrait :

Ce texte va beaucoup plus loin que l'EUCD. Il impose en creux aux internautes d'installer des dispositifs de filtrage listés par l'État ce que la directive n'exige pas. C'est même sans doute contraire au droit communautaire. Le texte prévoit de plus la création d'une structure administrative chargée de mener des campagnes d'intimidation et de répression de masse, en partenariat avec des sociétés privées. Ceci n'existe nulle part ailleurs en Europe. Une telle architecture a par contre déjà été proposée lors des débats parlementaires sur la DADVSI. Elle était différente sur la forme, a été vite retirée vu le tollé suscité, mais on est bien dans une suite logique d'un point de vue franco-français.

Ainsi, le texte prévoit que les agents de cette autorité administrative dite « indépendante » pourront accéder aux données de connexion sans contrôle de l'autorité judiciaire, c'est-à-dire dans des conditions réservées jusqu'à présent aux services luttant contre le terrorisme ! C'est du jamais vu. De plus, le texte prévoit que cette autorité pourra utiliser ces données à des fins répressives. Or, suite à une censure du Conseil Constitutionnel, les fonctionnaires luttant contre le terrorisme n'ont pas obtenu ce pouvoir. Il est exclusivement réservé à l'autorité judiciaire.

Depuis près de cinq ans, certaines sociétés privées font pression sur le gouvernement et les élus pour pouvoir se substituer à la police et à la justice sur internet. Depuis près de cinq ans, EUCD.INFO et d'autres tentent de s'opposer et d'informer sur cette dérive.

En octobre 2005, la CNIL, après avoir dérapé, a pris ses responsabilités en refusant de privatiser des missions régaliennes de l'État et ce conformément à la recommandation du groupe Article 29, la CNIL européenne, et malgré la modification de la loi Informatique et Libertés par la majorité en 2004 emmenée par le sénateur UMP Alex Turk, par ailleurs président de la CNIL.

En décembre 2005, un amendement de 7 pages - coeur d'un dispositif connu sous le nom de riposte graduée - déposé par le gouvernement au milieu de l'examen du projet de loi DADVSI, a soulevé un tollé sur les bancs de l'opposition puisque tentant de créer "une police privée de l'internet", comme l'a si bien nommée en séance François Bayrou. Le gouvernement a dû retirer son amendement, notamment suite au vote de la licence globale, votée par des députés PCF, PS, UMP, et Verts. La licence globale a par la suite été supprimée suite aux pressions exercées par le lobby des industries dites culturelles. Mais Le gouvernement n'a pas osé reproposer son amendement de 7 pages instaurant ce qu'il est convenu d'appeller les e-milices. Cela ne l'a pas empêché de faire passer d'autres parties de la riposte graduée, visant à pouvoir sanctionner automatiquement les téléchargeurs. Ces dispositions ont été par la suite censurée par le Conseil Constitutionnel.

Mais le 4 avril 2007, Nicolas Sarkozy a annoncé que si il était élu président de la République, il porterait un intérêt particulier à l'efficacité des mesures de protection et de répression, « en particulier pour évaluer les conséquences de la suppression par le Conseil constitutionnel du dispositif de riposte graduée ». Michel Rocard, auteur d'un rapport sur le numérique faisant des propositions à Ségolène Royal, s'est alors interrogé : «Ce qui amène à se poser avec intérêt la question pour savoir comment on fait pour poursuivre, identifier, et faire payer des amendes ou mettre en taule 2,5 millions de jeunes. C'est un problème technique intéressant pour un ministère de l'Intérieur et j'avoue que je contemplerai sa manière de traduire dans les faits ce qu'il vient de raconter avec un intérêt soutenu. Je m'apprête à rigoler beaucoup, car je ne vois pas cela tenable.»

C'est aussi un problème juridique intéressant. La chronologie qui suit retrace une partie des mouvements des uns et des autres sur ce dossier des e-milices, toujours d'actualité.

Alors que la loi DADVSI (« droit d'auteur et droits voisins dans la société de l'information ») prévoit déjà des sanctions pénales pour le contournement d'une mesure technique réalisé par ses propres moyens, les contraventions applicables au contournement réalisé à l'aide d'un outil dédié ont fait l'objet de la publication d'un décret. L'APRIL vient de déposer au Conseil d'État une requête en annulation contre ce décret.

Brevetabilité, mesures techniques de protection, interopérabilité, vente liée, «informatique de confiance»... autant de sujets sur lesquels un grand nombre de développeurs et d'utilisateurs de logiciels libres, et plus largement de citoyens, souhaiteraient sans doute connaître les positions des candidats à la présidentielle. Voilà pourquoi l'APRIL a lancé le 30 janvier 2007 l'initiative candidats.fr : pour que le Logiciel Libre entre en campagne !

Alors que la loi DADVSI (« droit d'auteur et droits voisins dans la société de l'information ») prévoit déjà des sanctions pénales pour le contournement d'une mesure technique réalisé par ses propres moyens, les contraventions applicables au contournement réalisé à l'aide d'un outil dédié attendaient la publication d'un décret. Celui-ci vient d'être publié au Journal Officiel.

Nous nous sommes procurés le cahier Droit des affaires du recueil Dalloz consacré au DADVSI (14 septembre 2006 - n°31 / 7260). Plus de quarante pages rédigées par d'éminents juristes. Et que disent-ils ? Souvent la même chose qu'EUCD.INFO, à savoir : le Conseil Constitutionnel a rendu une décision particulièrement orientée, l'exception pédagogique et celle de décompilation seront vraisemblablement inutilisables, la publication du code source d'un logiciel interopérant avec une mesure technique sera interdite sauf si cette dernière relève de «l'informatique de confiance», l'exigence de rémunération pour les informations essentielles à l'interopérabilité posée par le Conseil Constitutionnel n'est pas pertinente au regard de la directive sur les programmes d'ordinateurs, la portée de l'amendement Vivendi version pénale est tout sauf prévisible, d'où insécurité juridique pour les entreprises françaises, mais cet article sera par contre sans effet sur la diffusion de logiciels d'échange en général. Florilège ...

Alors que la loi DADVSI prévoit déjà des sanctions pénales pour le contournement d'une mesure technique réalisé par ses propres moyens (*), le ministre de la culture a annoncé le 20 septembre que le décret portant sur les contraventions applicables au contournement réalisé à l'aide d'un outil dédié allait être transmis au Conseil d'État pour une publication début octobre. Cette annonce a été faite le lendemain de l'action menée par le collectif stopdrm.info dont plusieurs membres sont allés se dénoncer, notamment, pour contournement de mesures techniques à l'aide d'outils dédiés. Le montant de la contravention annoncé lors des débats parlementaires était de 750 euros d'amende (contravention de 4ème classe). La contravention pourrait s'entendre par acte de contournement.

(*) La loi DADVSI punit de 3750 euros d'amende «le fait de porter atteinte sciemment, à des fins autres que la recherche, à une mesure technique efficace telle que définie à l'article L. 331-5, afin d'altérer la protection d'une oeuvre par un décodage, un décryptage ou toute autre intervention personnelle destinée à contourner, neutraliser ou supprimer un mécanisme de protection ou de contrôle, lorsque cette atteinte est réalisée par d'autres moyens que l'utilisation d'une application technologique, d'un dispositif ou d'un composant existant conçu pour ou spécialement adapté pour porter atteinte à une mesure technique» (Art L335-3-1 du code de la propriété intellectuelle). Le contournement à l'aide d'un outil dédié n'est pas visé par cet article.

Le Conseil Constitutionnel vient de rendre sa décision suite à la saisine par plus de 60 députés sur la loi relative au droit d'auteur et aux droits voisins dans la société de l'information (DADVSI). L'Etat UMP avait fait voter la pire loi sur le droit d'auteur en Europe, loin de censurer le texte de loi le Conseil constitutionnel en aggrave les dispositions. Ce qui n'est finalement qu'une suite logique dans le déraillement de nos institutions sur le projet de loi.

L'équipe EUCD.INFO sera présente aux 7èmes Rencontres Mondiales du Logiciel Libre, qui se tiennent du 4 au 8 juillet 2006 à Vandoeuvre-les-Nancy, dans le bâtiment 1er cycle de la Faculté des Sciences du campus de l'Université Henri Poincaré - Nancy 1. Ce sera l'occasion de faire le point sur DADVSI.