Les problèmes posés par la législation française en matière de chiffrement
Les problèmes posés par la législation française en matière de chiffrement
- Octobre 1998
Par Valérie SEDALLIAN
Avocat à la Cour de Paris
Article paru dans le N° 98/4 de la revue
Droit de l'Informatique et des télécoms.
Introduction à la cryptographie : définition,
fonctionnement, rôle
Définition
La cryptographie ou chiffrement est le processus de transcription d'une
information intelligible en une information inintelligible par l'application
de conventions secrètes dont l'effet est réversible. La
loi française définit les prestations de cryptologie comme
:
"toutes prestations visant à transformer à l'aide
de conventions secrètes des informations ou signaux clairs en information
ou signaux inintelligibles pour des tiers, ou à réaliser
l'opération inverse, grâce à des moyens, matériels
ou logiciels conçus à cet effet"(1) .
Il s'agit d'une définition générale qui englobe également
la stéganographie, technique particulière qui consiste à
cacher un message dans un autre message d'apparence anodine.
Les signatures numériques et le chiffrement constituent deux applications
importantes de la cryptographie. Les signatures numériques permettent
de prouver l'origine des données (authentification) et de vérifier
si les données ont été altérées (intégrité).
Le chiffrement peut aider à maintenir la confidentialité
des données et des communications. Enfin, la cryptographie peut
aussi bien assurer la protection de données stockées dans
un ordinateur que transmises dans le cadre d'une communication.
Fonctionnement
Il existe deux grands types de cryptographie :
• la cryptographie symétrique : la même clé
est utilisée pour chiffrer et déchiffrer l'information.
Le problème de cette méthode est qu'il faut trouver le moyen
de transmettre de manière sécurisée la clé
à son correspondant.
• la cryptographie asymétrique : ce n'est pas la même
clé qui crypte et qui décrypte les messages. L'utilisateur
possède une clé privée et une clé publique.
Il distribue sa clé publique et garde secrète sa clé
privée . Dans ce type d'application, tout le monde peut lui écrire
en utilisant la clé publique, mais seul l'utilisateur destinataire
pourra décrypter et donc lire le message avec sa clé privée.
La cryptographie permet ici d'assurer la confidentialité des données
transitant sur un réseau : les données sont uniquement portées
à la connaissance des personnes autorisées.
Une autre paire de clés ou la même paire est utilisée
pour s'assurer de l'identité de l'émetteur d'un message
: c'est la question de l'authentification. L'utilisateur crypte avec sa
clé privée son message. Tout le monde peut décrypter
le message avec la clé publique correspondant à l'expéditeur
ainsi identifié.
Les méthodes de cryptage à clés asymétriques
reposent sur des calculs mathématiques sophistiqués utilisant
des nombres premiers(2) gérés par des algorithmes (3). Il
est facile de multiplier deux nombres premiers par exemple 127 et 997
et de trouver 126 619. Mais il est plus difficile de factoriser c'est-à-dire
de retrouver 127 et 997 à partir de 126 619.
C'est sur ce principe mathématique que repose la cryptographie
asymétrique.
Le premier système de cryptographie à clé publique
a été proposé en 1978 par Ronald Rivest, Adi Shamir
et Leonard Adleman, trois chercheurs du MIT, une université américaine,
qui ont donné leur nom au système baptisé RSA. C'est
sur cette méthode RSA que sont fondés de nombreux logiciels
de chiffrement et la plupart des logiciels de paiement sécurisé.
Pour vérifier l'intégrité du message transmis, le
caractère exact et complet des données envoyées,
on utilise une fonction mathématique qui associe une valeur calculée
au message. Lorsque le destinataire reçoit le message, il calcule
sa propre valeur et la compare avec celle qui lui a été
envoyée : si les deux valeurs sont identiques, on est assuré
que les documents n'ont pas été modifiés.
La combinaison de procédés d'authentification de l'expéditeur
et de vérification de l'intégrité de son message
permet la création de véritables signatures électroniques
qui s'avèrent en pratique plus difficilement falsifiables que nos
procédés de paraphes et signatures manuscrites.
La technique informatique permet d'élaborer des outils générant
des clés et utilisant les systèmes de cryptographie de manière
transparente pour l'utilisateur.
Le plus célèbre des procédés de cryptage,
et un des plus sûrs d'après les spécialistes, devenu
un standard de fait sur l'Internet où il est facile de se le procurer,
est le logiciel PGP, basé sur le système RSA, inventé
par l'américain Phil Zimmerman(4).
Pour que le système soit fiable, il est d'autant plus nécessaire
que les clés de cryptage utilisées soient suffisamment sûres,
que les falsifications et atteintes ne sont pas physiquement décelables.
Avec les méthodes de codage actuelles, la sûreté d'une
clé dépend de sa longueur.
Mais plus la clé est longue, plus la transaction ou la communication
va être lente, en raison du temps nécessaire au logiciel
pour faire les calculs. Ce qui est gagné en sécurité
est donc perdu en rapidité et en convivialité.
Pour décrypter un document sans posséder la clé,
il est nécessaire de disposer d'ordinateurs capables d'effectuer
un très grand nombre d'opérations par seconde. La fiabilité
d'un système dépend de la puissance de calcul nécessaire
à mettre en œuvre pour casser le code. La dépense nécessaire
pour casser le code doit être disproportionnée à la
valeur de l'information protégée.
Aujourd'hui, une clé d'une longueur de 1024 bits nécessiterait
plusieurs milliards d'années de calcul d'ordinateur pour être
cassée.
Cependant, ce système dépend de l'état de la technique
qui évolue très rapidement.
Un algorithme jugé incassable aujourd'hui ne le sera peut-être
plus dans quelques années. Même si le code est incassable,
la conception du logiciel peut présenter des failles qui peuvent
être exploitées pour trouver les messages chiffrés
sans avoir à faire des calculs massifs.
Rôle de la cryptographie dans la société
de l'information
Les techniques de cryptographie représentent des enjeux économiques,
stratégiques et juridiques considérables. Procédé
d'origine militaire, la cryptographie reste considérée comme
un enjeu de sécurité intérieure et extérieure
par un certain nombre de gouvernements, malgré le développement
des utilisations civiles et commerciales de ces techniques.
Dans un contexte où les échanges d'information dématérialisés
se développent, il est indispensable de pouvoir bénéficier
de systèmes sécurisés pour protéger les données
à caractère personnel ou confidentiel, assurer la sécurité
des transactions financières et commerciales.
En effet, l'utilisation d'un réseau de communication expose les
échanges à certains risques, qui nécessitent l'existence
de mesures de sécurité adéquates.
Il est donc nécessaire d'avoir accès à des outils
techniques permettant une protection efficace de la confidentialité
des données et des communications contre les intrusions arbitraires.
Le chiffrement des données est très souvent le seul moyen
efficace pour répondre à ces exigences.
Les technologies cryptographiques sont ainsi reconnues comme étant
des outils essentiels de la sécurité et de la confiance
dans les communications électroniques. Elles vont être amenées
à jouer un rôle croissant en matière de protection
contre la fraude informatique, de sécurité des données,
de protection de la confidentialité des correspondances, de protection
du secret professionnel, de commerce électronique.
Les besoins légitimes en cryptographie des utilisateurs ont été
reconnus par la loi du 26 juillet 1996 (5), qui fait référence
à la protection des informations et au développement des
communications et des transactions sécurisées.
Cependant, la France, invoquant la nécessité de “
préserver les intérêts de la défense nationale
et de la sécurité intérieure ou extérieure
de l'Etat ” , a maintenu malgré plusieurs réformes
successives, une réglementation contraignante de la cryptographie(7).
La législation française distingue d'une part les fonctions
d'authentification et d'intégrité des données, soumises
à un régime plus libéral, et les fonctions de confidentialité,
sur lesquelles l'Etat entend garder un contrôle étroit.
Néanmoins, pour permettre aux utilisateurs de bénéficier
de techniques de cryptographie à des fins de confidentialité,
la loi a introduit le système dit des « tiers de confiance
», ou ce que les anglo-saxons désignent sous le terme de
« GAK » pour « Gouvernment Access to Keys ». L'utilisation
de fonctions de confidentialité est libre, à condition que
les conventions secrètes soient gérées selon les
procédures et par un organisme agréés. C'est en réalité,
la principale innovation de la loi du 26 juillet 1996.
Or ce système, qui n'existe dans aucun autre pays, soulève
de nombreuses questions techniques, juridiques et politiques, soulignées
dans plusieurs rapports et documents officiels, et notamment dans une
communication de la Commission européenne(8). Cette communication
soulève également la question de l'impact de la réglementation
du chiffrement sur le marché intérieur européen et
leur compatibilité avec les principes dégagés par
les directives européennes en matière de protection de la
vie privée.
Nous étudierons dans un premier temps la législation française
et internationale (I), avant d'examiner plus particulièrement les
problèmes posés par le système des tiers de confiance
(II).
I. L'ETAT DE LA LEGISLATION FRANCAISE ET INTERNATIONALE
1.1 La législation française
La cryptographie est soumise à une réglementation complexe
et très formaliste. Pas moins de six régimes sont prévus
par la loi : régime de liberté, de dispense de formalité
préalable, de déclaration simplifiée, de déclaration
préalable, de substitution de la procédure de déclaration
à la procédure d'autorisation, d'autorisation préalable.
Les dossiers de déclaration et de demande d'autorisation sont instruits
par le SCSSI (Service central de la sécurité des systèmes
d'information).
Loin de témoigner de la libéralisation qui avait été
annoncée, l'examen de l'ensemble des textes applicables (9) montre
que la logique d'une réglementation restrictive de la cryptographie
demeure inchangée.
1.1.1 Examen des différents régimes
a) Les régimes de liberté et de dispense de formalité
Selon la loi, est libre l'utilisation de moyens ou de procédés
qui ne permettent pas d'assurer des fonctions de confidentialité,
notamment lorsque le moyen ou la prestation ne peut avoir comme objet
que d'authentifier une communication ou d'assurer l'intégrité
du message transmis, ainsi que l'utilisation de moyens qui assurent des
fonctions de confidentialité en utilisant des conventions secrètes
gérées par des organismes agréés.
Le décret n°98-101 précise ce qu'il faut entendre par
« moyens ou procédés ne permettant pas d'assurer
des fonctions de confidentialité ». Rentrent dans cette
catégorie les procédés de protection de mots de passe,
codes d'accès et d'authentification. Sont concernés par
ces dispositions, les procédés permettant de générer
des signatures numériques.
La loi et les décrets comportent une réserve importante
: les fonctionnalités utilisées pour l'authentification
et le contrôle de l'intégrité ne doivent pas permettre
de chiffrer d'autres informations que les données nécessaires
au contrôle d'accès, ni aucune autre information que celle
nécessaire à l'authentification ou au contrôle d'intégrité
des données elles-mêmes.
Or, d'un point de vue technique, les deux fonctions sont liées
et les produits de chiffrement offrent en principe indifféremment
les deux options. Dans un système basé sur la cryptographie
asymétrique, s'il n'est pas recommandé d'utiliser la même
paire de clé pour signer un message et en assurer la confidentialité(10),
cette même paire de clé peut servir aux deux. C'est le cas
notamment avec le logiciel PGP. Cette dichotomie oblige les entreprises
à mettre au point des protocoles complexes uniquement dans le but
de limiter l'usage du chiffrement aux seules fins d'authentification.
De même, du point de vue de la sécurité technique
et juridique, les entreprises et les utilisateurs ont besoin à
la fois d'authentification et de confidentialité : authentification
pour la signature, confidentialité pour transférer les données
et sécuriser les bases de données recueillant l'ensemble
de données collectées. Cette distinction artificielle entre
authentification et confidentialité n'est conforme ni à
la technique, ni aux besoins des utilisateurs.
Le décret n°98-206 énumère différents
équipements ou moyens dispensés de toute formalité
préalable. Concrètement, ce qui est « dispensé
de formalité préalable » devrait pouvoir être
considéré comme « libre ». Mais derrière
cette distinction subtile, on relèvera que le régime de
liberté est fixé par la loi, alors que le régime
de « dispense de formalité préalable » relève
du décret, ce qui n'a pas empêché les rédacteurs
du décret d'inclure dans l'énumération des moyens
dispensés de toute formalité, des moyens qui relèvent
déjà aux termes de la loi et du décret n°98-101,
du régime de liberté (11) ….
Sont notamment concernés par cette dispense de formalité,
l'utilisation des « équipements dont le déchiffrement
d'un message ou d'un fichier au moyen du parcours systématique
de toutes les clés possibles ne requiert pas plus de 2 puissance
40 essais sur un test d'arrêt simple ». En d'autres termes,
le nombre de combinaisons possibles pour décrypter des données
sans posséder la clé secrète ne doit pas excéder
2 puissance 40, ce qui correspond à une clé de 40 bits et
est donc faible par rapport aux capacités techniques actuelles(12).
Ce cas vise ce que l'on appelle « la cryptologie faible »,
pour laquelle le SCSSI accordait déjà les autorisations
nécessaires sous l'ancienne réglementation. Il n'y a pas
de libéralisation par rapport à un niveau de clé,
mais en fonction de la difficulté de décryptage : en effet,
la fiabilité d'un procédé de chiffrement s'apprécie
non seulement en fonction de la longueur de la clé, mais également
en fonction de l'algorithme utilisé.
Le texte indique que les essais doivent être effectués sur
« un test d'arrêt simple », sans qu'aucune définition
de cette notion ne soit donnée. Une interprétation possible
de cette disposition est de considérer que pour relever du régime
de la dispense de formalité préalable, le moyen doit inclure
dans chaque texte chiffré un champ déterminé qui
doit être donné en clair au SCSSI(13) . En outre, le SCSSI
a indiqué que les produits utilisant un système de gestion
des clés trop complexe ou des algorithmes « exotiques »
ne seront pas acceptés dans ce régime et resteront soumis
au régime d'autorisation(14).
Beaucoup de commentateurs du dispositif législatif ont relevé
que ce régime de liberté témoignait de l'assouplissement
de la réglementation(15). Néanmoins, pour utiliser librement
les moyens et produits ainsi visés, encore faut-il que leur commercialisation
en France soit possible. Or, sauf pour certains équipements de
contrôle d'accès(16), qui ne permettent pas de chiffrer des
données, tels que les décodeurs d'émissions télévisées,
les lecteurs de disques vidéo numériques, les machines automatiques
de distribution de billets, la fourniture des moyens dont l'utilisation
est libre ou dispensée de formalité relève, comme
sous l'ancien régime, de la formalité de la déclaration
préalable. L'article 2 du décret n° 92-1358 du 28 décembre
1992 pris en application de la loi du 29 décembre 1990 prévoyait
déjà que lorsque le moyen avait fait l'objet d'une déclaration
d'utilisation générale, il n'était pas nécessaire
de souscrire une déclaration d'utilisation personnelle. Certes,
on peut acquérir directement certains logiciels sur Internet. Mais
ces logiciels ne seront probablement pas conforme, parce qu'il ne seront
pas limités à des fonctions d'authentification, à
la réglementation française. Et comment l'utilisateur moyen
pourrait être capable de vérifier que les capacités
techniques du logiciel téléchargé est conforme aux
spécifications techniques du décret n°98-206 ?
La seule solution pour que les utilisateurs puissent effectivement s'y
retrouver serait que le SCSSI publie et tienne à jour une liste
de tous les produits disponibles sur le marché, y compris international,
et dont l'utilisation est libre, que ce soit en vertu d'un régime
simplifié ou d'une autorisation ou déclaration en bonne
et due forme.
Ainsi, si les textes traduisent d'un point de vue formel un certain assouplissement
de la loi, leur incidence pratique reste limitée.
b) Le régime de déclaration
La fourniture, l'importation d'un pays non membre de la Communauté
européenne ou non partie à l'accord instituant l'Espace
économique européen, des moyens et procédés
qui ne permettent pas d'assurer des fonctions de confidentialité
reste soumise à la formalité de la déclaration préalable(17).
Il en va de même pour la fourniture de moyens ou prestations de
« cryptographie faible » visés dans le décret
n°98-207, à savoir les moyens de chiffrement dont le décryptage
peut s'effectuer en moins de 2 puissance 40 combinaisons. La procédure
de déclaration n'est pas une simple formalité de type dépôt
légal, mais suppose, un mois au moins avant la fourniture, l'importation
ou l'exportation, l'envoi d'un dossier détaillé au SCSSI.
Le dossier comporte une partie technique et une partie administrative
dont la forme et le contenu sont précisés par un des arrêtés
du 13 mars 1998. Le dossier technique à remettre est identique
que le moyen fourni relève de la procédure d'autorisation
ou de la procédure de déclaration. La préparation
du dossier technique, qui peut nécessiter plusieurs semaines de
travail d'un ingénieur spécialisé, doit notamment
comporter une description complète des procédés de
cryptographie employés, avec description mathématique et
simulation dans un langage informatique de haut niveau tel C ou Pascal,
et la description complète de la gestion des clés mises
en œuvre par le moyen.
Le SCSSI peut inviter le déclarant, s'il estime que le moyen relève
du régime de l'autorisation, à suivre la procédure
de la demande d'autorisation préalable.
En réalité, la différence principale entre le régime
de la déclaration et le régime de l'autorisation tient au
délai donné au SCSSI pour répondre, un mois dans
le cas de la déclaration et 4 mois dans celui de l'autorisation.
Dans les deux cas, le SCSSI dispose d'un délai d'un mois pour vérifier
que le dossier soumis est complet. Dans le cas contraire, le SCSSI invite
le déposant à fournir les pièces complémentaires
et un nouveau délai d'une même durée court à
compter de la réception des pièces complémentaires.
En cas de silence pendant le délai d'un mois à compter de
la réception d'un dossier complet, le déclarant peut procéder
librement aux opérations faisant l'objet de la déclaration.
La déclaration simplifiée
L'article 9 du décret prévoit que les moyens qui ne permettent
pas d'assurer des fonctions de confidentialité et destinés
aux « transactions et formalités réalisées
par voie électronique bénéficient d'un régime
simplifié sous réserve que le déclarant certifie
que l'impossibilité d'assurer des fonctions de confidentialité
ne résulte pas d'un simple dispositif de verrouillage ».
En d'autres termes, le moyen concerné ne doit pas permettre d'assurer
des fonctions de confidentialité. La référence aux
« transactions et formalités réalisées
par voie électronique » vise clairement le commerce
électronique. Or, de nombreux logiciels utilisés sur Internet
assurent les deux fonctions : authentification et confidentialité.
Par exemple, SSL(18), le système cryptographique intégré
aux navigateurs, chiffre l'intégralité de la transmission(19).
Dans ce cas, la déclaration s'effectue par le simple dépôt
de la seule partie administrative du dossier de déclaration, sans
avoir à respecter de délai préalable. Cependant,
si le SCSSI estime que le moyen relève en fait du régime
de la déclaration ou de l'autorisation, il peut inviter le déclarant
à régulariser sa situation. Le fournisseur doit alors prévenir
tous les utilisateurs auxquels il a fournit le moyen concerné de
l'irrégularité de leur situation. En pratique, pour éviter
ce risque, le fournisseur aura intérêt, dans tous les cas,
à effectuer les démarches nécessaires auprès
de ce service, c'est-à-dire à fournir également les
éléments techniques pour vérifier de quelle catégorie
le moyen ou la prestation qu'il veut commercialiser relève.
c) Le régime de l'autorisation préalable
Le fait qu'il reste hors de question de chiffrer librement les contenus
et les données elles-mêmes revient comme un leitmotiv dans
la loi et ses textes d'application.
L'autorisation préalable est le régime de droit commun pour
la cryptologie forte à des fins de confidentialité.
Une demande d'autorisation préalable est nécessaire pour
la fourniture, l'exportation, l'importation de pays n'appartenant pas
à l'Union européenne et même la simple utilisation
de moyens de cryptographie permettant d'assurer des fonctions de confidentialité,
dès lors que les moyens fournis ne remplissent pas les critères
techniques pour relever du régime de la déclaration.
En pratique, le dossier à déposer et la procédure
sont identiques, la différence entre le régime de déclaration
et d'autorisation tenant au délai plus long accordé au SCSSI,
qui est de 4 mois dans le cas de l'autorisation, pour examiner le dossier
qui lui est soumis.
L'autorisation peut être accordée en vue d'une utilisation
collective destinée à une catégorie d'utilisateurs,
ou en vue d'une utilisation générale. L'utilisation générale
dispense tout utilisateur de la formalité de demande d'autorisation
d'utilisation personnelle.
L'autorisation de fourniture vaut autorisation pour les intermédiaires,
dont l'identité devra être notifiée par le fournisseur
au SCSSI, étant toutefois précisé que le bénéfice
de cette autorisation pourra être refusé à certains
intermédiaires. On relèvera que ces dispositions sont plus
restrictives que sous l'ancienne réglementation, sous laquelle
la possibilité de refuser d'agréer certains intermédiaires
n'était pas prévue. Cette disposition légalise peut-être
une pratique déjà suivie par le SCSSI.
L'article 19 du décret n°98-101, indique que « l'autorisation
précise que le fournisseur est tenu de communiquer au SCSSI l'identité
de la personne physique procédant, soit en son nom propre soit
pour le compte d'une autre personne, à l'acquisition du moyen ou
de la prestation de cryptologie ». Là encore, cette
obligation qui met l'usage de la cryptologie est sous haute surveillance
de l'Etat, n'existait pas sous l'ancien régime.
Le demandeur d'une autorisation peut faire valoir des essais déjà
effectués dans un autre Etat membre de la Communauté européenne,
pour autant que les résultats de ces essais « offrent
des garanties techniques équivalentes à celles requises
par la réglementation française ». Outre le fait
que cette condition ne figurait pas dans le décret n°92-1358
du 28 décembre 1992, anciennement applicable, elle laisse penser
qu'un agrément obtenu dans un autre Etat européen pour un
produit assurant des fonctions de confidentialité n'aura pas d'incidence
sur la demande présentée en France(20).
Dans le cas où le moyen ou la prestation n'utilise pas des conventions
secrètes gérées par un tiers de confiance, l'autorisation
peut être subordonnée au respect de certaines dispositions
particulières fixées par arrêté. L'arrêté
précisant ces dispositions particulières indique que les
conventions secrètes doivent être conservées par la
personne qui met en œuvre les conventions secrètes et associées
à des éléments d'information permettant de retrouver
les données en clair ou que des dispositions doivent être
prises pour assurer l'accès aux informations en clair ou qu'il
n'y ait pas d'impossibilité technique à la conduite des
enquêtes ou investigations autorisées par la loi. En d'autres
termes, soit le fournisseur doit jouer le rôle de « tiers
de confiance », ce qui exclut tous les logiciels permettant aux
utilisateurs de générer leur propre clé, soit le
système doit utiliser une cryptographie dite « faible »
ou comporter des dispositifs permettant de décrypter l'information
en cas de besoin. Cette deuxième catégorie semble en tout
état de cause pouvoir relever du régime défini par
les décrets n°98-206 et 98-207 pour la cryptographie utilisant
une clé de moins de 40 bits.
Le développement
L'article 15 du décret n°98-101 prévoit que l'utilisation
par un fournisseur de procédés de cryptographie à
des fins de développement, de validation ou de démonstration
est dispensée des formalités de demande d'autorisation,
sous réserve d'en informer le SCSSI au moins 2 semaines à
l'avance. Il ne s'agit toutefois pas d'un droit pour les fournisseurs,
puisqu'il peut être décidé de soumettre cette utilisation
à des fins de développement à la procédure
d'autorisation préalable. Aucun critère n'est fourni pour
savoir quelles seront les entreprises qui pourront bénéficier
de ce régime de faveur, et les tolérances seront sans doute
accordées au gré du service concerné. Certaines entreprises
pourraient–elles se voir refuser le droit même de développer
en France des produits de chiffrement ? En tout état de cause,
il semble assez difficile de déposer la partie technique d'un dossier
de demande d'autorisation pour un produit en cours de développement.
Le décret vise « le fournisseur », notion non définie,
mais qui semble concerner les entreprises qui envisageraient de commercialiser
certains produits ou logiciels. Les chercheurs travaillant par exemple
dans un cadre universitaire n'auraient donc pas la possibilité
d'utiliser le chiffrement à des fins de recherche sans passer par
le régime de la demande d'autorisation préalable. Pourtant,
l'article 28 de la loi réglemente l'utilisation, la fourniture,
l'importation et l'exportation, mais ne vise pas en tant que telles les
opérations de recherche , d'enseignement et de développement.
Soit l'article 15 du décret doit être considéré
comme contraire à la loi, soit il doit être interprété
comme ne concernant que les situations où l'utilisation de procédés
de cryptographie est accessoire à une opération de développement,
validation ou démonstration.
Cette référence au développement, qui n'existait
pas dans les décrets d'application de la loi du 29 décembre
1990 traduit une nouvelle fois un certain durcissement du régime
de la cryptologie qui entend verrouiller et mettre sous contrôle
de l'Etat toutes les situations possibles.
d) Le tiers de confiance
Le décret n°98-102, complété par un arrêté
du 13 mars 1998, définit les conditions dans lesquelles sont agréés
les organismes gérant pour le compte d'autrui des conventions secrètes
de cryptologie.
En effet, la loi du 26 juillet 1996 a introduit dans la loi française
le système dit des tiers de confiance. La France est le premier
pays au monde a se doter d'un tel système (et le seul jusqu'à
présent).
Notion de tiers de confiance
Un tiers de confiance(21) est un organisme chargé de gérer
les clés privées de chiffrement (les conventions secrètes)
utilisées pour garantir la confidentialité d'une information,
les transmettre à l'utilisateur et qui doit remettre ladite clé
à l'autorité judiciaire ou aux services chargés des
écoutes administratives dans les cas prévus par la loi du
10 juillet 1991 relative au secret des correspondances émises par
la voie des télécommunications.
La notion de gestion exclut que l'on puisse utiliser des logiciels qui
permettent de générer de manière autonome sa propre
clé privée : c'est le tiers de confiance qui transmet à
l'utilisateur les clés à utiliser pour chiffrer ses données.
D'ailleurs, l'article 10 du décret indique bien que l'organisme
délivre « copie de ses conventions secrètes »
à l'utilisateur.
Le tiers de confiance ne doit pas être confondu avec le tiers certificateur
dont le rôle est d'administrer et de publier les clés publiques
dans un système de cryptographie asymétrique . Les fonctions
de ces deux institutions sont différentes. Schématiquement,
le tiers de confiance ou l'organisme agréé gère les
clés privées, alors que le tiers certificateur gère
les clés publiques.
L'UIT-T définit la notion d'autorité de certification comme
une « autorité chargée par un ou plusieurs utilisateurs
de créer et d'attribuer leur clé publique et leur certificat
(23)».
Le tiers certificateur a pour fonction de formaliser le lien qui existe
entre une personne et une paire de clés asymétriques.
Pour assumer ce rôle, il va émettre des certificats numériques
Le certificat est un registre informatique revêtu d'une signature
électronique qui identifie l'émetteur du certificat, identifie
le souscripteur et donne sa clé publique. La signature électronique
générée avec la clé privée correspondant
à la clé publique mentionnée dans un certificat est
considérée appartenir à la personne mentionnée
dans ledit certificat.
Le tiers certificateur joue un rôle dans la reconnaissance et la
mise en œuvre juridique des signatures numériques, alors que
le tiers de confiance vise à offrir un accès légal
aux clés de chiffrement.
Les tiers de confiance envisageront sans doute de proposer à côté
des services de gestion et de séquestre des clés privées,
des services de certification. Or la confusion entre les deux fonctions
ne va pas sans soulever certaines questions juridiques, car la même
entité détiendrait à la fois les clés privée
et publique de l'utilisateur. La clé privée étant
la clé qui sert à la signature, cela créé
la possibilité de fabriquer de fausses signatures ou de fausses
preuves. Le processus d'identification devrait rester sous le contrôle
des personnes qui signent avec des moyens de cryptologie(24). Sur ce point,
la Communication de la Commission européenne sur les signatures
numériques et le chiffrement(25) souligne que : « Une
signature numérique ne peut être associée avec certitude
qu'à une clé privée déterminée. Cette
présomption est seulement valable dès lors qu'il est établi
que le propriétaire de la clé secrète spéciale
exerce un contrôle total et exclusif sur celle-ci. L'usage de clés
sous seing privé pour les clés privées mettrait cette
présomption en question. »
Les conditions d'agrément du tiers de confiance
L'organisme devra être agréé par le Premier ministre,
dans les conditions fixées par le décret n° 98-102 du
24 février 1998. Il devra notamment remettre un cahier des charges
conforme au modèle fixé par l'arrêté du 13
mars 1998 et décrivant ses obligations et notamment, détaillant
les mesures prises en matière de sécurité. Les mesures
de sécurité concernent aussi bien les prestations offertes,
que le personnel, les locaux physiques, et la sécurité informatique.
L'organisme agréé devra compter un nombre suffisant de personnes
habilitées pour être en mesure de connaître d'informations
classées intéressant la défense nationale et la sûreté
de l'Etat(26). Les personnes appelées à remettre, (c'est-à-dire
à délivrer les conventions secrètes à une
autorité habilitée) ou à mettre en œuvre (c'est-à-dire
à restituer en clair des données fournies chiffrées
par une autorité habilitée), les convention secrètes
doivent être habilitées au niveau secret-défense,
dont deux disponibles 24 H/24 pour la remise des clés. L'agrément
sera accordé après avis de 4 ministres (défense,
intérieur, industrie, télécommunications) et pourra
être refusé pour des motifs liés aux intérêts
de la défense nationale ou de la sécurité intérieure
ou extérieure de l'Etat : autant dire que l'Etat dispose d'un large
pouvoir discrétionnaire. Il est possible, même si les références
à la nationalité qui figuraient dans le projet de décret
ont été enlevées, que seules des entreprises françaises
en outre déjà agréées « secret-défense
» pourront remplir les conditions exigées.
L'organisme agréé devra exercer ses activités sur
le territoire national (article II de la loi). Il devra disposer d'une
infrastructure en moyens humains, matériels et logistiques importante
pour être en mesure de satisfaire aux conditions requises par l'arrêté
: procédures administratives et techniques de sécurité
décrites dans des guides et manuels de la sécurité,
désignation d'un responsable de la sécurité, personnel
habilité techniquement et soumis à des obligations strictes
de respect du secret professionnel et des correspondances privées,
activités relatives aux conventions secrètes exercées
dans des locaux à zone à accès contrôlé,
utilisation d'un système informatique dédié à
la gestion des conventions secrètes (ce qui signifie notamment
que ce système ne devra pas être relié à un
réseau d'ordinateur ou de télécommunication donc
à Internet). Aucune personne ne doit détenir directement
l'accès aux conventions secrètes, le déchiffrement
devant s'opérer avec un dispositif détenu par des opérateurs
différents. Or, dans un système informatique classique,
l'administrateur système a en principe accès à toutes
les données, cela est inhérent à la technique. La
seule exception concerne les systèmes militaires hautement sécurisés.
D'une manière générale, c'est bien une sécurité
de type militaire que devra mettre en œuvre l'organisme agréé.
Enfin, le contrôle des mesures et procédures de sécurité
prises est assuré par le SCSSI (article 15 du décret).
Le contrat avec l'utilisateur
A la différence des questions relatives à la sécurité
et à la remise de conventions secrètes, la question des
obligations du tiers de confiance envers ses clients est évoquée
de manière très générique dans le décret
et l'arrêté qui renvoient au contrat entre l'utilisateur
et l'organisme. Cependant, les obligations à la charge du tiers
de confiance en matière de sécurité sont précisées
dans le décret. Il est prévu notamment que le contrat comprend
un engagement de l'organisme relatif à la sécurité
des conventions secrètes qu'il gère dont la portée
n'est toutefois pas précisée. Les mesures nécessaires
doivent être prises par l'organisme agréé pour préserver
la sécurité des conventions secrètes, afin d'empêcher
qu'elles ne puissent être altérées, endommagées,
détruites ou communiquées à des tiers non autorisés.
L'organisme agréé doit prendre toutes dispositions, notamment
contractuelles, vis-à-vis de son personnel, de ses partenaires,
clients et fournisseurs, afin que soit respectée en permanence
la confidentialité des informations de toute nature dont il a connaissance.
Les mesures prises pour préserver la sécurité des
conventions secrètes doivent être notifiées au SCSSI
par le tiers de confiance.
Le contrat doit contenir également les modalités selon lesquelles
l'utilisateur ou une personne mandatée par lui, pourra se faire
délivrer copie de ses conventions secrètes durant son contrat
ou après son terme (article 10 3° du décret), et selon
l'article 9 du modèle de cahier des charges : les règles
du moyen d'emploi et des conventions secrètes distribuées,
les sanctions encourues par le client en cas de mauvaise usage ou de détournement
du moyen, les sanctions encourues par le gestionnaire en cas de perte,
vol, ou altération des conventions secrètes.
Bien que la loi indique que l'utilisation de moyens de chiffrement fournis
par un tiers de confiance est libre, les utilisateurs de ces produits
sont « suivis » par l'administration. En effet, le décret
indique que le tiers de confiance doit tenir à jour et communiquer
au moins deux fois par an au SCSSI une liste de ses clients. Des dispositions
techniques doivent être prises afin de permettre pour chaque message
ou communication protégé à l'aide d'une convention
secrète d'identifier l'organisme agréé et l'utilisateur
concerné. La valeur de l'identifiant permettant cette identification
doit également être communiquée au SCSSI pour chaque
client.
La remise des clés privées aux autorités
habilitées
Il s'agit de l'obligation principale du tiers de confiance. Il doit maintenir
un service permanent de mise en œuvre ou de remise des conventions
secrètes au profit des autorités. Il doit tenir à
jour deux registres distincts : l'un concernant les demandes présentées
par les autorités judiciaires, l'autre concernant les demandes
effectuées dans le cadre du titre II de la loi du 10 juillet 1991
(interceptions de sécurité dites écoutes administratives),
et classé secret défense. Les deux registres doivent être
conservés dans une armoire forte placée dans la zone d'accès
contrôlé. Les modalités pratiques de remise des conventions
secrètes ou de mises en œuvre sont classifiées, ce
qui s'explique par les mesures de contrôle d'accès exigées,
mais pourrait être de nature à gêner l'exercice des
droits de la défense.
Le retrait de l'agrément et la cessation d'activité
L'agrément peut être retiré à tout moment en
cas de non respect des conditions fixées dans le cahier des charges,
le titulaire de l'agrément disposant d'un très court délai
de 8 jours pour faire ses observations, délai qui peut être
supprimé en cas d'urgence. En cas de cessation d'activité
ou de retrait d'agrément, l'organisme doit communiquer à
ses clients la liste des organismes agréés offrant les mêmes
services afin de pouvoir leur confier les conventions secrètes.
Les délais et les difficultés pour changer d'organisme ne
sont pas évoqués. Que se passe-t-il par exemple si les moyens
proposés par les tiers de confiance ne sont pas compatibles ? Dans
une telle hypothèse, il n'y aurait sans doute pas d'autre possibilité
que de déposer les clés auprès du SCSSI, organisme
désigné par arrêté pour recevoir les clés
à l'issue d'un délai de 4 ans à compter de la date
de signature du contrat ou en cas de défaut de choix d'un nouvel
organisme par l'utilisateur en cas de cessation d'activité ou de
retrait.
1.1.2 L'importation et l'exportation
L'importation n'était pas réglementée par l'article
28 de la loi du 29 décembre 1990 avant sa modification par la loi
du 26 juillet 1996. Outre que cette disposition n'est encore une fois
pas conforme aux objectifs annoncés de libéralisation du
régime de la cryptologie, soumettre également l'importation
à formalité était inutile dans la mesure où
l'utilisation et la fourniture restent réglementés. Ainsi,
l'autorisation d'importation est subordonnée à l'obtention
d'une autorisation de fourniture, d'utilisation ou d'exportation de ce
moyen.
L'importation de produits et prestations de chiffrement d'un pays appartenant
à l'Union européenne est libre. L'importation d'un pays
n'appartenant pas à l'Union européenne et l'exportation
suit le régime applicable à la fourniture de moyens de chiffrement,
à l'exception, d'une part, de la cryptologie faible visée
par le décret n° 98-206 dont l'importation est libre et l'exportation
reste soumise au régime de l'autorisation, et d'autre part, de
l'importation et de l'exportation de moyens ou prestations qui ne permettent
pas d'assurer des fonctions de confidentialité qui sont libres
(27).
On relèvera que le décret n°98-206 dispense de toute
formalité l'utilisation, l'exportation, et l'importation d'équipements
dotés de moyens de cryptologie lorsqu'ils accompagnent les personnalités
étrangères sur invitation officielle de l'Etat. Cette tolérance
qui est limitée aux équipements dotés de moyens de
cryptologie et ne semblerait pas concerner les logiciels, reste très
limitée quant à son champ d'application. L'autorisation
d'utilisation d'un moyen vaut autorisation d'exportation temporaire pour
les particuliers qui en sont titulaires et dispense des formalités
d'exportation si l'autorisation le prévoit.
Pour être complet sur ce panorama de la législation de la
cryptologie en France, on indiquera que l'exportation de produits et moyens
de chiffrement est régie au niveau européen par un règlement
en date du 19 décembre 1994 qui a institué des normes communes
au niveau communautaire en ce qui concerne le contrôle à
l'exportation des biens dits « à double usage ». Cette
réglementation est effective depuis le 1er juillet 1995 et est
en cours de modification (28).
Cette réglementation a notamment fait l'objet d'un décret
d'application n° 95-613 du 5 mai 1995 relatif au contrôle à
l'exportation des biens à double usage, modifié par décret
n° 96-168 du 29 février 1996 (29), et d'un arrêté
du 5 mai 1995 modifié par un arrêté du 3 mars 1997
définissant la licence générale G. 502 d'exportation
des moyens de cryptologie et fixant les modalités d'établissement
et d'utilisation de cette licence.
1.1.3 Les sanctions
Les sanctions prévues par les textes sont les suivantes :
• absence d'autorisation préalable pour la fourniture, l'importation
et l'exportation : 6 mois d'emprisonnement et 200 000 F d'amende.
• simple utilisation sans autorisation : contravention de 5ème
classe.
• absence de déclaration pour la fourniture, l'importation
et l'exportation : contravention de 5ème classe.
• simple utilisation sans déclaration : contravention de
4ème classe.
• utilisation d'un moyen ou d'une prestation de cryptologie à
des fins de développement sans avoir préalablement informé
le SCSSI : contravention de 4ème classe.
• délit d'exercice illégal d'une activité de
tiers de confiance : 2 ans d'emprisonnement et 300 000 F d'amende.
• utilisation, fourniture, importation, exportation de procédés
de cryptographie en vue de faciliter la préparation ou la commission
d'un crime ou d'un délit : 3 ans d'emprisonnement et 500 000 F
d'amende.
Le tiers de confiance est soumis au secret professionnel et encourt les
peines prévues par l'article 226-13 du Code pénal en cas
de violation : un an d'emprisonnement et 100 000 F d'amende.
L'article 432-9 du Code pénal sur l'atteinte au secret des correspondances
qui punit de trois ans d'emprisonnement et de 300 000 Francs d'amende
le « fait, par une personne dépositaire de l'autorité
publique ou chargée d'une mission de service public, agissant dans
l'exercice ou à l'occasion de ses fonctions ou de sa mission, d'ordonner,
de commettre ou de faciliter, hors les cas prévus par la loi, le
détournement, la suppression ou l'ouverture de correspondances
ou la révélation du contenu de ces correspondances
», pourrait être applicable si l'on considère que le
tiers de confiance est dépositaire de l'autorité publique
ou chargé d'une mission de service public. Ce texte, auquel il
n'est pas fait référence dans la loi, est en tout cas visé
par l'arrêté sur le tiers de confiance(30).
A ces sanctions, s'ajoutent celles prévues par le Code des douanes
en matière d'importation et d'exportation illégale.
Soulignons encore une fois que malgré les allégements annoncés,
les peines prévues par la loi ont été aggravées
et que de nouvelles infractions ont été créées.
1.2 La législation internationale et européenne
Le constat est le suivant : la sécurité des transmissions
électroniques ne peut être garantie que par une cryptographie
forte. Le développement du commerce électronique qui par
sa nature est international, suppose la possibilité de pouvoir
importer et exporter librement des données cryptées.
Les normes techniques doivent être reconnues sur le plan international
et permettre l'interopérabilité des systèmes.
Toutefois, ces besoins se heurtent à diverses restrictions à
la libre exportation des produits de chiffrement. En effet, les produits
de cryptographie font partie dans le commerce international des biens
considérés comme « sensibles » ou « à
double usage », c'est-à-dire les biens susceptibles d'avoir
une utilisation tant civile que militaire. Initialement, l'utilisation
des technologies de chiffrement était d'ailleurs réservée
exclusivement à des fins militaires.
Le régime de la cryptographie française concernant l'importation
et l'exportation s'inscrit et doit respecter les exigences d'une réglementation
européenne commune aux 15 Etats membres.
La réglementation américaine en matière d'exportation
des prestations et des moyens de cryptologie doit aussi être prise
en considération en raison de son impact et de l'importance des
produits américains dans l'industrie informatique et le commerce
électronique.
1.2.1. Le droit communautaire et les initiatives
européennes
Un règlement communautaire du 19 décembre 1994(31) institue
un régime communautaire de contrôle des exportations de biens
à double usage afin d'établir des normes communes dans le
cadre de la réalisation du marché commun.
En revanche, le règlement ne prévoit pas de restrictions
dans le domaine de l'utilisation ou de l'importation des produits de cryptographie.
La politique générale tend vers un certain assouplissement
des contrôles à l'exportation des produits dits « sensibles
». Cet assouplissement est justifié par les progrès
de la technologie et par la forte pression des industries exportatrices
européennes et des pays tiers.
a) Le règlement communautaire du 19 décembre 1994
L'objectif de ce texte est de créer une procédure de contrôle
harmonisée pour les exportations hors de l'Union et d'édicter
un principe général de libre circulation des biens à
double usage dans la Communauté. Le règlement européen
repose sur la mise en place d'une barrière extérieure commune
par l'adoption d'une liste identique de biens et de technologies à
double usage dont l'exportation est soumise à autorisation (liste
commune).
Ce régime, applicable depuis le 1er juillet 1995, est marqué
par les principes directeurs du marché commun, notamment celui
de libre circulation des biens à l'intérieur du marché
commun ainsi que celui de reconnaissance mutuelle des licences d'exportation
entre les Etats membres.
Néanmoins, des restrictions temporaires aux transferts intra-communautaires
subsistent pour certains biens considérés comme particulièrement
sensibles, parmi lesquels figurent les produits et logiciels de cryptographie.
Champ d'application
Les produits concernés sont énumérés dans
l'annexe I du texte communautaire.
En ce qui concerne la cryptologie sont ainsi visés les télécommunications,
logiciels et matériels informatiques de haute technologie et la
sécurité de l'information(32).
Toutefois, les logiciels qui sont couramment à la disposition du
public ou sont du « domaine public » c'est-à-dire qui
« ont été rendus accessibles sans qu'il ait été
apporté de restriction à leur diffusion ultérieure
» ne sont pas soumis aux contrôles à l'exportation
prévus par la réglementation européenne . Tel est
le cas, également, des radiotéléphones mobiles destinés
à l'usage civil, ou de certains équipements assurant la
sécurité de l'information tels que les cartes à microprocesseurs
ou encore des équipements d'authentification des données,
sans permettre de les chiffrer, des équipements cryptologiques
spécialement conçus, mis au point ou modifiés pour
servir dans des opérations bancaires ou financières.
Les modalités de contrôle
• les exportations vers les autres Etats membres
Au niveau intra-communautaire, le principe est celui de la libre circulation
des marchandises (33) .
Cependant, pendant une période transitoire de trois ans, l'exportation
des biens figurant sur la liste de l'annexe IV du règlement, qui
inclut les produits et logiciels de cryptographie, restent soumis à
autorisation. Cette période devait s'achever le 1er juillet 1998.
Le chiffrement apparaît donc comme une exception au principe de
libre circulation des marchandises posé par le Traité. Il
existe d'autres restrictions concernant des biens énumérés
dans l'annexe V (nucléaire notamment).
• les exportations vers les pays tiers
Tous les biens visés à l'annexe I du règlement sont
soumis à autorisation d'exportation, quel que soit le pays tiers
de destination. Les formalités peuvent être allégées
pour certains produits (article 3 du règlement).
L'exportation est définie par le règlement comme «
le régime permettant la sortie temporaire ou définitive
de marchandises communautaires du territoire douanier de la communauté
conformément à l'article 161 du Code des douanes communautaires
; ce régime inclut la réexportation, c'est-à-dire
l'opération au sens de l'article 182 dudit code consistant en la
sortie du territoire douanier de la Communauté de marchandises
non communautaires. ».
Les équipement de sécurité de l'information, les
logiciels de chiffrement ne peuvent donc pas être exportés
hors de la communauté sans licence (34). En France, les licences
sont délivrées par la direction générale des
douanes et droits indirects.
Actuellement, ce règlement est en cours de révision par
les institutions communautaires. En effet, la période transitoire
devait prendre fin le 1er juillet 1998 : à compter de cette date,
les exportations des produits de chiffrement à destination
de l'Union Européenne auraient du être libres.
b) Les initiatives européennes en matière de cryptographie
La Commission a présenté le 15 mai 1998, un rapport(35)
dressant le bilan de l'application du règlement du 19.12.1994 et
une proposition(36) de règlement visant à remédier
aux lacunes recensées dans le règlement précité.
La Commission reconnaît qu'il a contribué à faciliter
les échanges intra-communautaire, la réalisation du marché
commun.
En effet, le régime mis en place en 1994 a permis de réduire
les formalités d'exportation et de faciliter la libre circulation
de la quasi-totalité des biens à double usage dans la Communauté.
Cependant, le régime présente des lacunes concernant le
mécanisme commun de contrôle à l'exportation. En effet,
il existe un manque de convergence et de cohérence entre les différentes
politiques et pratiques nationales.
Ainsi, la France ne respecte pas le principe communautaire de la reconnaissance
mutuelle, du fait de la mise en place de régimes d'autorisations
et de la difficulté des reconnaissances entre Etats membres, alors
que l'administration des douanes devrait être capable de reconnaître
et d'accepter les autorisations délivrées par les
autres Etats membres. Il y a donc une entrave aux principes de reconnaissance
mutuelle et de libre circulation des marchandises. Parallèlement,
cette situation crée une entrave au droit de la concurrence.
Cette politique conservatrice engendre des retards, des pertes économiques
pour les exportateurs.
La Commission analyse les limites de sa politique. Si le règlement
a permis aux Etats membres de reconnaître mutuellement leurs autorisations
d'exportation, les Etats restent en désaccord sur le fond c'est-à-dire
sur les politiques d'exportation prises sur la base des autorisations
(37).
En conclusion, la Commission reconnaît la complexité du régime
actuel ainsi que le manque de coopération entre les administrations
des différents Etats membres.
La proposition de règlement du Conseil tente de résoudre
ces problèmes afin de faciliter et de simplifier les exportations
de biens à double usage.
Ainsi, la coopération entre Etats membres et la simplification
du régime existant sont les piliers de cette proposition.
La simplification de la procédure est illustrée par la mise
en place de formulaires nationaux uniformisés concernant les autorisations
d'exportations. L'autorisation communautaire sera elle aussi simplifiée
et harmonisée pour l'exportation vers certains pays(38).
Cependant, les Etats membres ont toujours la faculté d'accorder
une licence d'exportation à un produit alors qu'un autre Etat membre
l'a refusée. La Commission, dans cette situation impose une obligation
de motivation et des consultations préalables, de la part de l'Etat
qui décide d'autoriser l'exportation.
Parallèlement , La Commission souhaite supprimer la procédure
d'octroi de licences pour les biens faisant partie de l'annexe IV et V.
Pour ces biens, l'obligation de licence serait remplacée par une
procédure de notification des transferts intra-communautaires aux
autorités compétentes (article 22 du projet de règlement).
Si les biens doivent être réexportés hors de l'Union,
l'Etat membre où ils étaient initialement situés
doit être consulté et cet Etat dispose d'un délai
de 10 jours pour s'opposer à l'octroi de la licence d'exportation.
La Commission assouplit le régime et concilie la volonté
des Etats en les informant et en leur donnant la possibilité de
surveiller et de contrôler les exportations.
Par ailleurs, ces obligations de motivation, de consultation devraient
permettre une meilleure connaissance des politiques de sécurité,
de défense nationale entre les Etats.
Son objectif reste donc une harmonisation, une plus grande cohérence
des politiques d'exportations intra-communautaire. Si la proposition est
adoptée, elle abrogerait l'actuel règlement de 1994 et devrait
entrer en vigueur le 1er janvier 1999.
Concernant les produits de cryptologie, les restrictions existantes aux
transferts intra-communautaires seraient supprimées, et remplacées
par la procédure de notification, ce qui nécessiterait de
modifier la loi française, qui ne distingue pas entre les exportations
vers des pays membres et des pays non membres. Paradoxalement, les exportations
de produits de chiffrement à destination de l'Union européenne
seraient libres, alors que la fourniture en France des mêmes produits
resterait soumise aux formalités de déclaration ou d'autorisation.
C'est déjà ce qui se passe pour les produits n'assurant
pas des fonctions de confidentialité, dont l'exportation est libre,
mais la fourniture en France reste soumise à déclaration(39).
Enfin, se pose la question du régime actuellement applicable en
matière d'exportations intra-communautaires de produits de chiffrement.
En effet, la période transitoire est arrivée à échéance
il y a quelques mois, et le nouveau règlement n'a pas encore été
adopté. Doit-on considérer que les transferts intra-communautaires
des biens de l'Annexe IV sont désormais libres ou au contraire
qu'ils restent soumis à licence ? Le règlement européen
n'est pas vraiment explicite sur ce qui se passe à la fin de la
période transitoire et reste ouvert à interprétation
divergente(40).
La proposition de règlement s'inscrit dans un cadre d'ensemble
d'une politique communautaire qu'il convient de garder présent
à l'esprit.
En effet, l'Union s'est fixée comme objectif de parvenir en l'an
2000 au développement d'une politique de libre circulation des
produits et services de cryptographie ainsi qu'à la création
d'une zone homogène de sécurité à l'intérieur
de l'Union(41). On peut citer notamment dans le cadre de cette politique,
la proposition de directive concernant la signature électronique
(42) qui permet de bien distinguer la cryptographie utilisée pour
l'authentification, et celle utilisée pour garantir la confidentialité
des données.
1.2.2. La législation internationale :
un contexte évolutif
Ces dernières années, le contexte international a connu
de grands bouleversements, d'une part sur le plan politique, suite à
la fin de la guerre froide ; d'autre part, pour des raisons économique
avec la volonté de faciliter les échanges commerciaux.
Dans ce contexte, les contrôles à l'exportation des biens
dits sensibles n'ont pas été oubliés.
Ainsi, la fin de la guerre froide a entraîné la disparition
du COCOM (43) (Coordinating Committee for Multilateral Export Controls)
qui était une organisation internationale permettant le contrôle
et la surveillance mutuelle des exportations concernant les biens
stratégiques et les données techniques à destination
de pays tiers.
Le but de la réglementation COCOM était d'éviter,
de prévenir l'utilisation, l'exportation des produits sensibles
dans des pays « ennemis ».
Le COCOM a disparu en mars 1994, et a été remplacé
en 1995 par l'Arrangement de Wassenaar sur les contrôles à
l'exportation pour les armes conventionnelles et les biens et technologies
à double usage.
L'accord dit de Wassenaar (44) adopté définitivement les
11 et 12 juillet 1996 prévoit à l'instar de la réglementation
du COCOM une politique axée sur la destination finale. Ainsi, sont
toujours en vigueur des listes de contrôle de ces biens et de leur
utilisation, des procédures concernant l'information lors de l'exportation
d'un des produits hors des pays membres de l'accord.
Les Etats-Unis, même si ils font partie de ces accords de coopération
internationale, disposent d'une réglementation spécifique.
Il est intéressant de retracer brièvement les grandes lignes
de la politique américaine en matière de chiffrement.
La situation nord-américaine
Aux Etats-Unis, il n'y a pas de restrictions concernant l'importation,
l'utilisation et la fourniture des produits de cryptographie.
En revanche, il existe une réglementation de l'administration fédérale
concernant les exportations des « biens dits sensibles » qui
trouve sa source dans l'Export Administration Act.
Jusqu'à la fin 1996, les produits de chiffrement étaient
classés dans la catégorie des munitions au sens de la loi
américaine sur le contrôle et l'exportation des armes (Arm
Export Control Act) et du décret sur le trafic international des
armes (ITAR, International Traffic in Arm Regulation). Les produits de
cryptographie étaient donc classés dans la catégorie
des armes de guerre et munitions et leur exportation nécessitait
une autorisation du département d'Etat et de la National Security
Agency (NSA).
Depuis quelques années, sous la pression des entreprises, la tendance
de l'administration américaine est d'assouplir le régime
du contrôle des exportations, afin de faciliter le développement
du commerce électronique. Ainsi, depuis le 15 novembre 1996, le
contrôle des exportations des produits de chiffrement relève
de la compétence du Commerce Department, sauf pour les produits
de chiffrement à des fins militaires qui restent de la compétence
de l'ITAR.
Le fait que les produits de chiffrement soient passés dans le champ
d'application de l'Export Administration Act ne signifie cependant pas
la fin des contrôles à l'exportation.
Si le département du Commerce attribue les licences d'exportation,
les départements de la Justice, de l'Etat, de la Défense,
de l'Energie, et les agences de contrôle des armes et du désarmement
ont un droit de regard sur les licences accordées.
Actuellement, le souhait de l'administration Clinton et des instances
gouvernementales telles le FBI est de mettre en place un système
de « key escrow » obligatoire, une autre version du système
des tiers de confiance. Mais ce projet se heurte à une forte opposition
des entreprises et des associations de défense des libertés
publiques, car la mise en place de ce système aboutirait à
restreindre la liberté de chiffrer existant actuellement sur le
sol des Etats-Unis. A l'inverse, les entreprises du secteur informatique
et les associations demandent que soient levés les contrôles
à l'exportation.
La question de la libéralisation de l'exportation des logiciels
américains donne ainsi lieu à un débat de société
intense entre les partisans d'une réglementation draconienne (dits
« cryptophobes ») et ceux pour qui la cryptographie garantit
le respect de la vie privée et du secret des communications électroniques
(« les cryptophiles »)(45).
Ce conflit a même été porté devant les tribunaux
américains, pour aboutir à des décisions divergentes.
Ainsi, dans une décision rendue par le District Court de l'Ohio
le 3 juillet 1998, il a été jugé que les restrictions
à l'exportation concernant les produits de cryptographie ne sont
pas contraires à la liberté d'expression, alors que l'inverse
a été jugé dans une décision en date du 26
août 1997 du District Court de Californie (46). La Cour suprême
a été saisie.
Parallèlement, plusieurs projets de loi ont été déposés
devant le Congrès américain, certains visant à assouplir
les règles existantes, d'autres au contraire à les durcir(47).
Aucun des projets de loi visant à réduire la liberté
de chiffrer n'a aboutit à ce jour.
Récemment, un nouvel assouplissement des exportations a été
annoncé par l'administration Clinton(48). Sont concernées
les filiales étrangères de sociétés américaines,
et les sociétés étrangères dans 45 pays pour
le secteur de la finance, de la santé, et du commerce en ligne.
Il s'agirait d'assouplir dans ces limites, l'exportation des produits
de cryptographie utilisant une clé de 56 bits.
Même si, à l'intérieur des Etats-Unis, il n'existe
pas de législation, comme c'est le cas en France, restreignant
le libre usage de la cryptographie, les Etats-Unis sont un des pays les
plus restrictifs concernant l'exportation et son contrôle des moyens
et prestations de cryptologie.
La récente prise de position du Canada doit enfin être signalée.
Le gouvernement canadien vient de rendre publique le 1er octobre 1998
sa nouvelle politique en matière de cryptographie(49).
Le développement, l'utilisation et l'importation des logiciels
de cryptographie sont libres y compris pour les produits de chiffrement
forts. Il n'est pas envisagé la mise en place d'un régime
de tiers de confiance, mais les entreprises sont encouragées à
mettre en place des codes de bonne conduite, tels les systèmes
de « key-recovery » (récupération des clés).
En revanche, concernant plus particulièrement les exportations,
le Canada continue à contrôler les exportations vers les
pays non membres du Wassenaar Arrangement. Néanmoins, les pratiques
suivies par d'autres pays, et la disponibilité de produits comparables
seront pris en compte pour l'octroi des licences d'exportation.
II. LES PROBLEMES POSES PAR LE SYSTEME DES TIERS
DE CONFIANCE
La loi du 26 juillet 1996 a introduit dans la loi française le
système dit des tiers de confiance. La France est le premier pays
au monde a avoir adopté une telle loi (et le seul jusqu'à
présent).
Ce système est présenté par ses promoteurs, et notamment
le SCSSI, comme étant un compromis satisfaisant entre les besoins
des utilisateurs et les besoins de l'Etat.
En réalité, ce système des tiers de confiance soulève
de nombreuses questions techniques, juridiques et politiques. Les incertitudes
restent sur la mise en place concrète du système, certains
allant jusqu'à souligner qu'il a tout d'une « usine à
gaz ».
On peut regretter que ces questions n'aient pas été débattues
publiquement et examinées attentivement avant que la loi ne soit
adoptée, comme cela se fait dans d'autres pays. L'OCDE, dans ses
lignes directrices régissant la politique de la cryptographie(50),
recommande d'ailleurs que les gouvernements évaluent avec soin
les avantages mais aussi les risques d'utilisation abusive, le surcoût
des éventuelles infrastructures de soutien requises, les risques
de défaillance technique, et les autres postes de dépenses
lorsqu'ils envisagent le recours à un tel système.
Plusieurs rapports étrangers soulignent les inconvénients
du recours à une infrastructure de tiers de confiance.
On peut citer notamment :
• Rapport du National Research Council sur la politique américaine
en matière de cryptographie, «Cryptography's Role in Securing
the Information Society », novembre 1996(51).
• « The Risks of key recovery, key escrow and trusted party
Encryption », 27 mai 1997(52).
Il s'agit d'un rapport rédigé par d'éminents cryptographes
américains et anglais sur les risques techniques, les coûts
et les implications de la mise en place d'un système d'accès
aux clés de chiffrement par le gouvernement.
• Communication de la Commission européenne, «
Assurer la sécurité et la confiance dans la communication
électronique »(53).
Dans ce document, la Commission européenne analyse
soigneusement les inconvénients des systèmes de tiers de
confiance et des législations restrictives en matière de
cryptographie, étant rappelé que la France est le seul pays
de l'Union à disposer d'une législation de ce type.
La Commission conclut :
« Les schémas d'accès par clé sont considérés
par les agences chargés de l'exécution des lois comme une
solution possible pour faire face à des questions telles que les
messages chiffrés. Toutefois, ces schémas et les TC qui
leur sont associés soulèvent un certain nombre de questions
essentielles, qui doivent être traitées attentivement avant
qu'ils ne soient introduits. La discussion en cours sur les différentes
initiatives législatives aux USA est un exemple illustrant la controverse
que cela implique. Les points critiques sont la vulnérabilité,
la vie privée, les coûts et l'efficacité. »
En France, l'ART (Autorité de Régulation des Télécommunications)
dans un avis défavorable rendu le 8 octobre 1997 (54) sur les projets
de décrets a souligné la complexité du système
mis en place en France.
Le Conseil d'Etat, dans son rapport sur « Internet et les réseaux
numériques » (55) souligne la singularité de la position
française et met en doute son efficacité. Il constate que
la mise en place du système est lente (aucun agrément n'a
encore été délivré et les candidatures sont
peu nombreuses).
Les systèmes de tiers de confiance posent des problèmes
techniques, de coût, et des problèmes juridiques.
2.1 Les problèmes posés du point
de vue technique et financier
2.1.1 Philosophie du système
Un système de cryptographie dans lequel les clés ne sont
pas entièrement gérées par l'utilisateur est intrinsèquement
moins sûr qu'un système où elles le sont puisque le
contrôle de la confidentialité échappe à l'utilisateur.
L'implication d'un tiers dans une communication confidentielle accroît
sa vulnérabilité.
2.1.2 Evolutions du système, interopérabilité
Le marché des technologies de l'information est un marché
qui connaît une évolution rapide des normes et des produits.
Les contraintes techniques qui sont imposées aux tiers de confiance
seront sans doute difficilement compatibles avec le suivi des évolutions
du marché. Le cahier des charges doit comporter une énumération
des moyens ou prestations de cryptologie dont l'organisme agréé
est autorisé à gérer les conventions secrètes.
Toute modification du cahier des charges donne lieu à une demande
d'agrément complémentaire. Ces conditions rendent difficiles
la prise en compte de la nécessité d'évolution et
de renouvellement de l'offre de moyens et prestations. Pour l'ART, ceci
risque de rendre l'offre frappée rapidement d'obsolescence et commercialement
peu attractive. La proposition faite par l'ART de prévoir une procédure
d'information au lieu d'une procédure d'agrément complémentaire
n'a pas été retenue dans le décret(56).
En matière informatique et de communication,
la question de l'interopérabilité des normes et produits
est fondamentale. La question se pose donc de savoir si les produits proposés
par les tiers de confiance seront compatibles entre eux.
2.1.3 Fiabilité et sécurité:
Un premier problème évoqué par les experts est celui
de l'évaluation de la sécurité du produit offert
par le tiers de confiance. Le tiers de confiance est le garant de la fiabilité
des moyens de cryptographie utilisés.
Les procédures et algorithmes utilisés seront propriétaires,
et par conséquent, ils ne seront connus que du tiers de confiance
(et du SCSSI). Il ne sera donc pas possible pour le public et surtout
les experts en cryptographie d'apprécier le degré de fiabilité
du logiciel de cryptage, le risque qu'il soit cassé par un professionnel
du chiffre. A titre de comparaison, les sources de PGP sont publiques.
Sous la réglementation française, ce point est laissé
à l'appréciation du SCSSI, qui indique cependant avoir mis
au point des procédés d'évaluation et de certification
des produits sécurisés.
Les tiers de confiance vont être chargés de gérer
pour le compte d'autrui les clés de chiffrement, et vont donc avoir
accès potentiellement à de nombreuses données confidentielles.
Le système de séquestre peut devenir une cible privilégiée
des espions industriels et du crime économique et une analogie
avec les banques peut être faite à ce titre.
Les auteurs du rapport « The Risks of key recovery, key escrow and
trusted party Encryption » indiquent que le déploiement d'infrastructures
de tiers de confiance va avoir pour résultat des sacrifices en
terme de sécurité et à un coût accru pour l'utilisateur
final. Construire un tel environnement pourrait s'avérer d'une
énorme complexité et nécessiter un haut degré
de confiance dans les personnes chargées de gérer le système.
Il y a des risques physiques, logiques et humains qui impliquent que la
sécurité tant intérieure qu'extérieure, soit
contrôlée à tous les niveaux.
Le décret et l'arrêté montrent que des conditions
administratives et techniques strictes sont imposées aux tiers
de confiance (personnel habilité « secret-défense
», cahier des charges contraignant, politique de sécurité
d'ordre quasi-militaire, mesures de contrôles par le SCSSI, notification
des mesures prises pour préserver la sécurité). Ces
contraintes, qui se justifient du point de vue de la sécurité,
vont nécessiter une organisation rigoureuse et vont avoir des répercussions
directes sur les coûts des produits proposés.
2.1.4 Coût
La reconnaissance des besoins légitimes en matière de cryptographie
implique que la cryptographie ne soit pas réservée aux grandes
entreprises, à l'administration, mais soit d'un coût abordable
aussi bien pour les entreprises de toutes tailles, que les PME, les professions
libérales, les associations et d'une manière générale
tous les citoyens.
Les logiciels de chiffrement doivent pouvoir être utilisés
de manière conviviale, et être d'un bon rapport coût-efficacité.
Organiser un système de tiers de confiance a un coût économique
élevé alors qu'il existe des moyens de cryptographie sûrs
et gratuits ou d'un coût tout à fait abordable (57).
En pratique, le système des tiers de confiance risque d'être
d'un coût prohibitif pour les petites et moyennes structures et
les particuliers et ne sera possible que pour les grosses entreprises.
La Commission européenne relève sur la question des coûts
que :
"Jusqu'à présent, les questions concernant les
coûts et celui qui les assumera n'ont jamais été abordées
par les décideurs politiques. Des facteurs pouvant générer
des coûts importants découleront des obligations spécifiques
imposées aux TC, par exemple le temps de réponse pour la
livraison des clés, le temps d'archivage pour les “clés
de session,” les demandes d'authentification émanant d'agences
gouvernementales, le transfert sécurisé de clés recouvrées,
les mesures de sécurité internes, etc."
La question du coût amène à se poser la question de
la viabilité économique de ce système. L'ART, dans
son avis, s'est interrogée sur cette viabilité économique(58):
« Cette activité nouvelle de tierce partie de confiance
qui n'existe pas dans la plupart des pays avec lesquels la France entretient
des relations commerciales doit, pour constituer un véritable métier
susceptible de s'exercer dans le secteur concurrentiel, être envisageable
dans des conditions de responsabilités clairement déterminées
et suppose donc des relations financières équilibrées.
»
L'ART ayant constaté « l'absence d'une étude de
l'environnement économique de ces organismes et de leur conditions
de viabilité » craint que cela ne prive en pratique
les utilisateurs de l'innovation introduite par la loi.
L'ART avait souhaité dans son avis que soit posé le principe
de rémunération des prestations de remise ou de mise en
œuvre des clés privées par le tiers de confiance en
fonction des coûts réels supportés par l'organisme.
Or, un arrêté fixe à 400 F. TTC soit 331 F. H.T. le
montant des frais à facturer aux autorités en cas de mise
en œuvre d'une convention, ce qui ne comprend même pas la rémunération
des opérations de remise des clés, et surtout est totalement
dérisoire au regard des infrastructures à mettre en place
pour maintenir à disposition des autorités le service d'accès
aux clés.
Ainsi, plusieurs des candidats intéressés par la fonction
de tiers de confiance s'interrogent, en raison des incertitudes économiques,
et n'envisageraient de fournir de tels services que s'ils sont en mesure
d'offrir des prestations rémunératrices en complément(59).
2.2 Problèmes juridiques
2.2.1 Aspects internationaux
Un problème fondamental réside dans les relations internationales.
Le système des tiers de confiance est inadapté aux échanges
internationaux.
La loi indique que les organismes « doivent exercer leurs activités
agréées sur le territoire national ». Le décret
d'application multiplie les références à la défense
nationale et à la sécurité de l'Etat.
On voit bien que c'est un système franco-français qui est
organisé.
Pour que le système remplisse l'objectif d'accès simplifié
aux clés privées, l'Etat français doit se réserver
non seulement l'accès aux clés de ses ressortissants, mais
également l'accès aux clés des correspondants ressortissants
d'autres pays.
Par exemple, pour communiquer avec un correspondant étranger, il
faudrait que le correspondant étranger utilise un produit agréé
par l'administration française.
Si l'on peut concevoir, dans le cadre de relations entre sociétés
du même groupe français, que le recours à un procédé
agréé par l'administration française puisse être
organisé, il en va en revanche différemment dans le cadre
de relations entre partenaires, avec des clients potentiels, des fournisseurs.
A supposer qu'un correspondant étranger accepte d'utiliser un produit
d'un organisme agréé, seul l'Etat français ou ses
autorités auront accès aux clés privées. La
question d'une demande d'accès dans le cadre d'une commission rogatoire
internationale n'a même pas été envisagée par
la réglementation.
Bien plus, si chaque Etat impose son propre système de tiers de
confiance, l'utilisation de produits chiffrés dans les relations
internationales va devenir impossible. Par exemple, certains projets de
loi américains envisagent de libéraliser les exportations
en contrepartie du dépôt des clés(60). Si de tels
projets aboutissaient, il est peu probable que ces produits américains,
dont l'accès aux clés privées serait alors réservé
aux autorités américaines, soient ensuite autorisés
en France.
Il faudrait imaginer un accord entre pays pour organiser l'accès
réciproque aux clés privées.
Le décret ne laisse entrevoir aucune possibilité de mise
en place de tels accords qui supposeraient en tout état de cause
que d'autres pays aient mis en place un système similaire, ce qui
n'est pas le cas aujourd'hui. Le système créée donc
une situation d'exception pour les utilisateurs français qui risque
d'isoler la France sur le plan international.
En réalité, cela est conforme à la logique du système
: l'existence des tiers de confiance est justifiée par des impératifs
de sécurité nationale et de défense. Un accord international
suppose de faire des concessions en matière de souveraineté
nationale. Or, les domaines de la défense et de la sécurité
nationale sont précisément des domaines où les Etats
sont peu enclins à abandonner toute parcelle de souveraineté
nationale.
Du point de vue technique, se pose la question de savoir si les produits
proposés par les organismes agréés français
seront compatibles avec les standards internationaux en matière
de cryptographie.
Or, pour les communications internationales, il est indispensable de pouvoir
développer des normes communes qui assurent l'interopérabilité
des systèmes.
D'une manière générale, on peut craindre que le dispositif
de la loi française ne créé, ou ne continue à
créer, un déséquilibre concurrentiel au détriment
des entreprises françaises.
Le Monde du 28 mars 1998 titrait ainsi son éditorial : «
Internet : l'exception française » et soulignait que «
même si elle constitue un pas par rapport au régime antérieur,
l'adoption d'un système de contrôle unilatéral conduit
la France à prendre le risque de se marginaliser et de pénaliser
ainsi ses industriels en leur imposant des contraintes spécifiques.
» Quant aux entreprises étrangères, elles relèvent
la difficulté pour une firme internationale d'adapter un produit
spécifique à « une politique uniquement française
».
Dans son rapport sur « Internet et les réseaux numériques
», le Conseil d'Etat considère même qu'il ne sera possible
de conserver ce dispositif que si ce type de réglementation est
adopté par d'autres pays(61).
2.2.2 La responsabilité du Tiers de Confiance
Il s'agit d'une question importante et les Lignes Directrices de l'OCDE
soulignent que :
« La responsabilité des personnes et entités qui
proposent des services cryptographiques ou détiennent des clés
cryptographiques ou y ont accès, devraient être clairement
énoncée ».
Le métier de Tiers de Confiance est un métier à risque,
à contrainte, et donc à responsabilité.
Pourtant, la question de la responsabilité du Tiers de Confiance
a été sous-évaluée dans la loi qui se borne
à renvoyer aux peines en matière de secret professionnel
(un an d'emprisonnement maximum, article 226-13 du Code pénal).
Cela semble peu dissuasif et peu proportionné aux enjeux en cause.
Néanmoins, l'article 432-9 du Code pénal sur l'atteinte
au secret des correspondances par des personnes dépositaires de
l'autorité publique ou chargées d'une mission de service
public, qui prévoit des peines pouvant aller jusqu'à trois
ans d'emprisonnement et 300 000 F. d'amende semble applicable dans la
mesure où les organismes agréés exercent une activité
pour le compte de l'Etat(62).
Le détail des obligations de l'organisme agréé envers
son client, et notamment l'étendue de sa responsabilité,
est renvoyé au contrat, qui doit être écrit. C'est
donc ce contrat qui servira de base pour la mise en jeu de la responsabilité
contractuelle de l'organisme agréé. Le contrat pourrait
tout à fait limiter la responsabilité du tiers de confiance
ou prévoir une obligation de moyen, mais une telle clause contredirait
dans le principe même les mesures strictes de sécurité
imposées au tiers de confiance. En effet, compte tenu des contraintes
imposées par la réglementation au tiers de confiance en
matière de sécurité, d'éventuelles clauses
limitatives pourraient être déclarées non écrites.
Ainsi, une clause limitative de responsabilité figurant dans le
contrat Chronopost a été réputée non écrite,
dans une affaire où cette société n'avait pas tenu
son engagement de livrer dans un délai rapide au motif que la clause
« contredisait la portée de l'engagement pris (63)».
C'est au niveau de la preuve d'un manquement à ses obligations
par le tiers de confiance que les choses se compliquent.
Le cahier des charges, à l'exception d'une annexe classifiée,
peut être communiqué sur demande à l'utilisateur et
le contrôle des mesures prises pour assurer la sécurité
est exercé par le SCSSI. Il y a certes un contrôle de prévu
par l'administration (ce qui va poser le problème de la gestion
et du suivi par les services compétents), mais au détriment
de la transparence vis-à-vis de l'utilisateur.
La question se pose dès lors de savoir comment seront réglés
les litiges, étant précisé qu'en tout état
de cause, la preuve de la défaillance du tiers de confiance sera
sans doute difficile à apporter. Peut-on réellement envisager
qu'un expert judiciaire puisse faire un audit du système de sécurité
du tiers de confiance ? Pourra-t-on trouver des experts compétents
dans un domaine aussi pointu ? L'expert devra-t-il être agréé
« secret-défense » ? Aura-t-il accès aux documents
classifiés et aux documents retraçant les mesures
et procédures concernant la sécurité ? L'utilisateur
risque de ne disposer en pratique d'aucun moyen de recours efficace contre
l'organisme agréé.
Un autre point qui reste en suspens est la question de la transmission
des clés privées.
Toute la technique de la cryptographie asymétrique a justement
été imaginée pour résoudre liés à
la communication des clés. Que le système qui gère
les conventions secrètes soit hautement sécurisé
est une chose, mais la transmission à l'utilisateur de sa convention
secrète pourrait constituer le maillon faible en matière
de sécurité du système imaginé.
2.2.3 Compatibilité de la loi avec la
législation communautaire
Cette question est abordée dans la communication de la Commission
européenne sur la sécurité et la confiance dans la
communication électronique(64).
Elle y indique que :
« Une réglementation limitant l'usage de produits et
de services de chiffrement dans le marché intérieur constitue
un obstacle à la libre circulation des informations personnelles
et à la fourniture de biens et de services qui y sont liés,
et sa justification doit être examinée à la lumière
du Traité (de Rome) et de la directive communautaire sur la protection
des données personnelles ».
... ... ...
Indépendamment de la compatibilité de restrictions avec
les dispositions du Traité en matière de libre circulation
des biens et des services, des contrôles nationaux spécifiques
pourraient également avoir des effets secondaires sur la libre
circulation des personnes similaires à ceux identifiés par
le Comité Veil. »
L'article 9 du Traité de Rome a institué le principe de
libre circulation des marchandises. L'article 30 interdit également
les mesures dites d'effet équivalent : en principe, une marchandise
légalement produite dans un Etat membre doit pouvoir être
produite et commercialisée sur le marché des autres Etats
membres. Le droit communautaire garantit également la liberté
d'établissement, la libre circulation des personnes et des services
(articles 52 et 59 du Traité de Rome). Est interdite une discrimination
contre un prestataire de service en raison de sa nationalité ou
de la circonstance qu'il réside dans un Etat membre autre que celui
où la prestation doit être fournie.
L'article 36 prévoit qu'il peut être fait exception à
ces principes notamment pour des raisons d'ordre public et de sécurité
publique.
Cependant, l'article 36 est d'interprétation stricte et la restriction
invoquée doit respecter le principe de proportionnalité,
c'est-à-dire que la mesure doit être appropriée, efficace,
et ne pas aller au-delà de ce qui est strictement nécessaire
pour atteindre l'objectif poursuivi.
La France est le seul pays de l'Union européenne à disposer
d'une législation restreignant sur son sol le libre usage et la
fourniture de la cryptographie.
La législation française sur le chiffrement créée
des restrictions aux principes de libre circulation des marchandises,
des services et des personnes :
Notamment :
• impossibilité de fait pour un ressortissant communautaire
voyageant en France d'utiliser des produits de chiffrement autorisés
dans son pays (il devrait déposer un dossier de demande d'autorisation)
. Or, les moyens techniques devraient être en mesure de «
voyager » avec les informations personnelles qu'ils protègent
;
• les organismes agréés doivent exercer leurs activités
sur le territoire français : obstacle à la libre prestation
de services ;
• obstacle à la libre circulation des marchandises : un produit
librement commercialisé dans un autre pays de l'Union est soumis
à autorisation pour pouvoir être fourni en France : il y
a entrave aux échanges de produits légalement fabriqués
et commercialisés dans d'autres pays de l'Union européenne
;
• les décrets ont supprimé plusieurs références
à la nationalité française des tiers de confiance.
Néanmoins, la référence à plusieurs reprises
dans le décret aux intérêts de la défense nationale
pourrait laisser penser qu'en pratique, les autorisations ne seront délivrées
qu'à des entreprises françaises ou sous contrôle français
;
• dispositions de l'article 18 du décret l'article 18 du
décret n°98-101 qui indique que si le produit pour lequel une
autorisation est demandée n'utilise pas un système de tiers
de confiance agréé, des dispositions particulières
pourront être imposées par arrêté. On impose
de facto l'obligation de passer par un système de tiers de confiance
pour de la cryptographie forte, alors même que seules des entreprises
françaises pourront remplir les critères exigés.
La Directive européenne sur les traitements de données à
caractère personnel(65) requiert que les Etats membres protègent
les droits et les libertés des personnes physiques à l'égard
du traitement des données à caractère personnel,
et notamment le droit au respect de leur vie privée, afin d'assurer
la libre circulation des données à caractère personnel
dans la Communauté.
L'article 17 de la directive indique que le responsable d'un traitement
doit mettre en œuvre les mesures techniques et d'organisation appropriées
pour protéger les données à caractère personnel
contre la destruction, la perte, l'altération, la diffusion ou
l'accès non autorisés, notamment lorsque le traitement comporte
des transmissions de données dans un réseau. L'article précise
que : « Ces mesures doivent assurer, compte tenu de l'état
de l'art et des coûts liés à leur mise en œuvre,
un niveau de sécurité approprié au regard des risques
présentés par le traitement et de la nature des données
à protéger. »
Les régimes établis pour l'utilisation et la fourniture
des moyens et de prestations de cryptographie pourraient affecter l'application
de la directive, dans la mesure où selon la Commission «
les moyens appropriés nécessaires pour sécuriser
les données personnelles ne seraient pas disponibles en France
et/ou ne pourraient pas « voyager » avec les données
qu'elles sécurisent provenant d'autres Etats membres ».
De même, les régimes d'autorisation et d'intervention de
tiers de confiance risquent d'entraver l'utilisation et la libre circulation
des moyens de chiffrement appropriés aux risques pour les données.
Une autre directive du 15 décembre 1997 concernant le traitement
des données à caractère personnel et la protection
de la vie privée dans le secteur des télécommunications(66)
prévoit que les Etats membres garantissent, au moyen de réglementations
nationales, la confidentialité des communications effectuées
au moyen d'un réseau public de télécommunications
ou de services de télécommunications accessibles au public.
Les deux directives prévoient que des limitations à la portée
des obligations et des droits institués par lesdites directives
lorsque ces limitations constituent une mesure nécessaire pour
sauvegarder la sûreté de l'Etat, la défense, la sécurité
publique, la prévention, la recherche, la détection et la
poursuite d'infractions pénales. La « mesure nécessaire
» fait référence au principe de proportionnalité.
La législation française est évidemment justifiée
par des motifs de sécurité publique (article 36 du Traité
de Rome). Mais prend-elle suffisamment en compte les besoins légitimes
de chiffrement et remplirait-elle le test de proportionnalité ?
La loi française ne remplirait pas le test de proportionnalité
dans la mesure où elle pourrait être considérée
comme trop limitative de droits garantis par le Traité de Rome
et les directive sur les données personnelles, sans que les limitations
prévues ne puissent être considérées comme
appropriées, efficaces et nécessaires au regard des objectifs
poursuivis.
La question de l'efficacité des systèmes de tiers de confiance
au regard des restrictions engendrées par ces systèmes à
des libertés reconnues et de la complexité de leur mise
en œuvre est posée.
Quels sont les arguments qui pourraient être mis en avant au regard
du principe de proportionnalité ?
- L'impossibilité de contrôler le respect de la loi
Aujourd'hui, personne ne peut être totalement empêché
de chiffrer des messages et notamment pas les criminels ou les terroristes
qui peuvent également avoir recours au chiffrement dans leurs activités
L'accès aux logiciels de chiffrement est relativement aisé,
par exemple en les téléchargeant simplement à partir
d'Internet. La circulation de l'information concernant la cryptologie
ne peut être empêchée, la simple fréquentation
de librairies spécialisées ou une simple recherche par mot
clé sur Internet suffisent pour avoir accès à de
l'information sur ce thème.
Il est ensuite difficile de prouver qu'une personne déterminée
a envoyé un message chiffré non-autorisé.
Le contrôle du respect de la loi supposerait d'intercepter des volumes
d'informations considérables, selon des protocoles variés,
dans lesquels la présence d'une information chiffrée n'est
pas facilement décelable.
Il est même possible de dissimuler une information chiffrée
de manière à ce qu'elle semble anodine, à travers
les méthodes stéganographiques. Ces méthodes permettent
de cacher un message dans d'autres données (par exemple une image),
de telle manière que l'existence même d'un message secret,
et donc du recours même au chiffrement, ne peut être détectée.
- La lutte contre le crime organisé
On ne peut réellement empêcher les criminels d'avoir accès
à un chiffrement puissant et de contourner le chiffrement avec
dépôts des clés privées obligatoire. Si des
mesures de contrôle peuvent rendre le recours au chiffrement à
des fins criminelles plus difficile, les bénéfices de la
réglementation en terme de lutte contre la criminalité sont
difficiles à évaluer, et sont souvent exprimés en
termes généraux.
Paul Vidonne(67), soulignait ainsi : « A l'heure où chacun
peut se procurer gratuitement sur Internet le logiciel PGP, réputé
inviolable, imagine-t-on sérieusement que la mafia ou un réseau
pédophile utilisera un logiciel de cryptage fourni par un «
centre de confiance » et, de plus, lui remettra spontanément
des clés de codage qu'elle ne changera jamais ? Le système
projeté risque bien de n'être mis en œuvre que par les
citoyens honnêtes, dont les autorités n'auront justement
jamais besoin de décrypter les messages. »(68)
Pour la Chambre de Commerce Internationale, la limitation de l'utilisation
du chiffrement en raison de la lutte contre la grande criminalité
est sujette à caution, car les auteurs d'actes délictueux
ne se sentiront pas obligés de se plier aux règlements applicables
à la communauté économique(69). La Commission européenne
indique : « restreindre l'usage du chiffrement pourrait empêcher
les entreprises et les citoyens respectueux des lois de se protéger
des criminels. Cela n'empêcherait pas totalement les criminels d'avoir
recours à ces technologies.»
- Les autres moyens dont dispose l'Etat pour lutter contre la
criminalité et la délinquance
L'interception des communications doit être considérée
au regard des autres moyens d'investigation pouvant être mis en
œuvre dans la lutte contre la délinquance : analyse du trafic,
des informations diffusées en clair par exemple. L'usage des nouvelles
technologies accroît les possibilités de stockage, de traitement
et de recoupement de l'information et augmente la quantité d'information
à laquelle on peut avoir accès. L'information, même
chiffrée à des fins de communication, peut souvent être
trouvé non-chiffrée à la source, comme dans les formes
de communication traditionnelles, par exemple auprès des banques,
magasins et agences de voyage qui sont parties prenantes dans une communication
avec un suspect, ou à certaines étapes d'une communication.
Les clés privées des produits de chiffrement puissants sont
difficilement mémorisables et peuvent être conservées
dans un lieu accessible lors d'une perquisition. Plus généralement,
les écoutes ne sont pas le seul moyen de lutte contre la criminalité
: il existe d'autres techniques comme la surveillance, l'analyse des indices,
le recours à des informateurs. Les nouvelles techniques offrent
des moyens de surveillance électronique sophistiqués, en
passant par les réseaux de surveillance par caméra, les
appareils permettant de détecter des conversations à distance
ou derrière des vitres fermées, la caméra stroboscopique
danoise Jai capable de prendre des centaines de photographies en quelques
secondes et les systèmes de reconnaissance automatiques de véhicule.
Le Parlement européen s'est même inquiété récemment
des risques que font peser ces systèmes de surveillance sur les
libertés publiques et sur la nécessité de mettre
en place des procédures de contrôles(70).
2.2.4 Compatibilité du système
de tiers de confiance avec les lois sur la vie privée
Les traités internationaux, la Convention Européenne des
Droits de l'Homme et les lois garantissent le droit fondamental à
la vie privée, y compris le caractère secret des communications.
Le recours à la confidentialité contribue à la liberté
de communication, un droit également garanti par les traités
internationaux et la Constitution.
D'autres lois garantissent le secret de certaines informations. On peut
citer le secret médical ou le secret professionnel.
En conséquence, dans le contexte du passage vers la circulation
de l'information en ligne, le public doit avoir accès à
des outils techniques permettant une protection efficace de la confidentialité
des données et des communications contre les intrusions arbitraires.
Le chiffrement des données est très souvent le seul moyen
efficace et d'un bon rapport coût-efficacité pour répondre
à ces exigences. Si l'on reconnaît l'importance du droit
à la vie privée et à la liberté de communication,
on doit reconnaître parallèlement le droit d'en assurer l'effectivité.
Si le système des tiers de confiance n'est pas d'un bon rapport
coût-efficacité, il empêche l'application effective
d'autres droits garantis par la loi.
L'examen du décret sur les tiers de confiance montre que l'obligation
principale qui pèse sur le tiers de confiance est d'assurer l'accès
aux clés privées. Toute communication protégée
par une convention secrète doit permettre d'identifier l'organisme
agréé et l'utilisateur concerné. L'économie
générale du décret sur les tiers de confiance est
un sentiment de suspicion à l'égard de la confidentialité.
Or, ce système qui touche à l'exercice de libertés
publiques n'est pas transparent quant à son dispositif opératoire.
Par exemple, les modalités pratiques de remise des clés
privées aux autorités ou de leur mise en œuvre feront
l'objet d'une annexe classifiée qui ne pourra donc pas être
communiquée.
Sur le principe même, on peut se demander si la procédure
de mise en œuvre ou de remise des conventions secrètes, s'agissant
de droits garantis par la loi et touchant à l'exercice de libertés
fondamentales, n'aurait pas du être fixé par le décret
lui-même.
Par exemple, en matière d'écoutes téléphoniques,
un décret du 28 janvier 1993(71) contient les prescriptions relatives
à l'exécution des interceptions.
L'OCDE dans ses lignes directrices sur la cryptographie indiquait sur
ce point que « Le processus par lequel l'accès légal
est obtenu devrait être consigné, afin que la divulgation
des clés cryptographiques ou des données puisse être
vérifiée ou examinée dans le respect des dispositions
du droit national….Les modalités de l'accès légal
devraient être énoncées clairement, et publiées
de telle manière qu'elles soient aisément disponibles pour
les utilisateurs, détenteurs de clés et fournisseurs de
méthodes cryptographiques.(72) »
Il peut arriver que la régularité des enregistrements d'écoutes
téléphoniques soit contestée et une expertise doit
alors pouvoir être ordonnée afin de rechercher si des manipulations
ont été pratiquées (73). Comment exercer cette possibilité
si les modalités de remise ou de mise en œuvre des conventions
secrètes sont classifiées ?
L'article 8-2 de la Convention européenne des droits de l'homme
admet que l'on peut prévoir des exceptions au droit au respect
à la vie privée et de sa correspondance pour des motifs
liés à la sécurité publique et nationale,
à condition que les ingérences de l'autorité publique
soient prévues dans la loi (entendue au sens large). Comme pour
le droit communautaire, les exceptions de l'article 8-2 sont d'interprétation
étroite et doivent être proportionnées au but légitime
poursuivi. Selon la jurisprudence de la Cour européenne des droits
de l'homme, la pratique et la législation doivent offrir des garanties
adéquates et suffisantes contre les abus : il doit exister des
contrôles destinés à garantir les droits individuels.
C'est en application de ces principes que la France avait été
condamnée dans un arrêt Kruslin (74) du 24 avril 1990 dans
une affaire d'écoutes téléphoniques.
Alors que l'usage des communications électroniques est appelé
à se développer, il ne faudrait pas que la loi sur la cryptographie
et son application restreigne le champ de la protection de la confidentialité.
Conclusion
La Commission européenne a annoncé un plan de mise en œuvre
de l'action communautaire en matière de chiffrement, et envisage
d'ici l'an 2 000 la mise en place d'un cadre commun pour la cryptographie.
En l'état, la législation française reste une législation
inspirée par des motifs sécuritaires qui ne prend pas suffisamment
en compte les besoins légitimes en matière de cryptographie
et ne semble pas remplir le test de proportionnalité du droit européen.
Nous avons examiné les différents problèmes posés
par un recours généralisé et obligatoire à
un système de tiers de confiance. D'un autre côté,
les besoins des services chargés de lutter contre la criminalité
ne peuvent non plus être niés.
Ne faudrait-il pas raisonner moins en terme de compromis qu'en terme de
balance entre les inconvénients et les avantages que l'on pourrait
tirer d'une réelle libéralisation de la réglementation
de la cryptographie ?
Notes
1) Article 28 de la loi 90-1170
du 29 décembre 1990 modifiée.
2) Nombres qui ne sont divisibles que par 1 et par eux-mêmes.
3) Suites d'opérations nécessaires à l'accomplissement
d'une opération.
4) Sur PGP, voir le site web : http://www.pgpi.com.
5) Article 17 de la loi, JO du 27 juillet 1996.
6) Article 28 I alinéa 2 de la loi du 29 décembre
1990 modifiée. En effet, si l'on chiffre les messages et fichiers
avec des moyens puissants, le contenu des informations devient indéchiffrable
pour tous, y compris par l'Etat, qui veut se réserver la possibilité
d'intercepter certaines communications.
7) Les moyens de cryptologie ont été classés jusqu'à
la loi du 29 décembre 1990 sur la réglementation des télécommunications
parmi les matériels de guerre. La réglementation, même
assouplie successivement par l'article 28 de la loi 90-1170 du 29 décembre
1990 et l'article 17 de la loi n°96-659 du 26 juillet 1996 reste lourde,
avec un contrôle étroit de l'Etat sur toute fourniture de
produits de chiffrement.
8) Communication de la Commission au Parlement européen, au Conseil,
au Comité économique et social et au Comité des régions,
COM (97) 503 en date du 8 octobre 1997, “ Assurer la sécurité
et la confiance dans la communication électronique”, disponible
à < http://www.ispo.cec.be/eif/policy/>.
9) Décrets n° 98-101 et n°98-102 du 24 février
1998, décrets n° 98-206 et 98-207 du 23 mars 1998, complétés
par six arrêtés du 13 mars 1998 ; Voir l'ensemble de ces
textes publiés dans cette revue, n°98/1.
10) En ce sens, voir Eric A. Caprioli, Le nouveau régime juridique
de la cryptologie, Bulletin Lamy Informatique n?101, mars 1998 p.3.
11) Notamment, les points 9 et 10 de l'annexe du décret.
12) Un dossier paru dans le n°729 du 4 juillet 1997 du Monde
informatique sur le cryptage fait état de ce qu'une clé
de 40 bits pourrait être cassée en 5 heures sous certaines
conditions.
13) Yves Le Roux, société Digital, French encryption
regulation, version : 5 mai 1998, http://www.opengroup.org/security/meetings/apr98/french-regulation.pdf.
14) Entretien du Général Desvignes, chef du SCSSI,
Réseaux & Télécoms n°124.
15) Voir par exemple, E. Barbry et F. Olivier, « Des décrets
tant attendus : quel droit pour la cryptologie ?, J.C.P. G. 98, I, 124
; Yann Bréban et Isabelle Pottier, « Les décrets et
arrêtés cryptologie : La mise en oeuvre effective de l'assouplissement
des dispositions antérieures, Gaz. Pal. 19 avril 1998, p. 12 ;
E. A. Caprioli, préc ; François Goliard, Télécommunications
et réglementation française du cryptage, D. 1998, Ch. p.
120.
16) Equipements énumérés aux points 3
à 8 du décret n°98-206.
17) Titre II du décret n°98-101.
18) Secure Socket Layer.
19) Il existe ainsi une version uniquement réservée
à la France de Netscape Communicator, dans laquelle le module de
chiffrement avec S/MIME du courrier électronique a été
supprimé en raison de la loi française, probablement dans
l'attente que Netscape obtienne en France le feu vert du SCSSI.
20) E. Caprioli, préc.
21) La loi n'emploie pas ce terme mais celui d'organisme agréé.
22) Sur les tiers certificateurs, Voir : E.-A. Caprioli, Sécurité
et confiance dans le commerce électronique - Signature numérique
et autorité de certification, JCP G, 1998, I, 123 ; P. Trudel,
Droit du cyberespace, éditions Thémis, p.19-28, V. Sédallian,
Droit de l'Internet, p.212 ; Proposition de directive du Parlement européen
et du Conseil sur un cadre commun pour les signatures électroniques,
COM (98) 297 final, 13 mai 1998.
23) Recommandation 509.
24) En ce sens, voir Eric A. Caprioli, Le nouveau régime
juridique de la cryptologie, préc.
25) Préc.
26) Article 4 du décret renvoyant au décret n°81-514
du 12 mai 1981, abrogé et remplacé par le décret
n°98-608 du 17 juillet 1998 relatif à la protection des secrets
de la défense nationale.
27) Points 9 et 10 de l'annexe au décret n°98-206.
28) Voir paragraphe 1.2 ci-dessous.
29) JO du 7 mai 1995 et du 7 mars 1996.
30) Article 5 du modèle de cahier des charges.
31) Règlement (CE), n°3381/94 du Conseil, du 19.12.1994,
instituant un règime communautaire de contrôle des exportations
de biens à double usage, JOCE, n°L367/1, du 31.12.1994 ; modifié
par le règlement Conseil CE n°837/95 du 10.04.1995, JOCE du
21.04.1995,n°L90 ; décison du Conseil du 16.02.1996,JOCE du
1.03.1996,n°L52 ;décision du Conseil du 22.10.1996,JOCE 30.10.1996,n°L278
; JOCE du 28.02.1997,n°C64 p.1 ; décision du Conseil du 20.01.1997,JOCE
4.02.1997, n°L34.
32) La catégorie 5 « télécommunications
» de l'annexe I comprend une partie 2 sécurité de
l'information définie comme : « tous les moyens et toutes
les fonctions réglant l'accessibilité ou assurant la confidentialité
ou l'intégrité de l'information ou des télécommunications,
à l'exclusion des moyens et des fonctions prévus pour la
protection contre les défaillances ». Par conséquent,
sont compris la « cryptologie »,la « crypto-analyse
», la protection contre les émanations compromettantes et
la sécurité des ordinateurs .
33) L'article 9 du Traité Rome dispose que « La Communauté
est fondée sur une union douanière qui s'étend à
l'ensemble des échanges de marchandise, et qui comporte l'interdiction,
entre les Etats membres, des droits de douanes à l'importation
et à l'exportation (…) »
34) De façon générale, les Etats membres ne
respectent pas cette procédure de licences. Tel est le cas notamment
du Royaume-Uni qui a récemment modifié sa législation
dans ce domaine.
35) Selon l'article 18 du règlement du 19.12.1994, la Commission
adresse « tous les deux ans au parlement européen et au Conseil
un rapport concernant l'application du règlement ».
36) Proposition de règlement du Conseil , 15 mai 1998, COM(98)257final,
instituant un régime communautaire de contrôle des exportations
des biens à double usage JOCE, 15.05.98, n°L257.
37) Lionel Costes, Les évolutions attendues du régime
communautaire du contrôle des exportations de technologies sensibles
, Bulletin Lamy Droit de l'Informatique, n°104, juin 1998.
38) Notamment, l'annexe II cite l'Australie, le Canada, le Japon,
la Nouvelle Zélande, la Norvège , la Suisse et les Etats-Unis.
39) Décrets n°98-206 et 98-207 du 23 mars 1997.
40) Le règlement dit bien que les restrictions ont une durée
limitée et sont transitoires, mais l'article 19-5 du règlement
indique : « la nécessité des mesures prévues
par le présent article est réexaminée dans un délai
de trois ans à compter de la date d'entrée en vigueur du
présent règlement. »
41) Voir Communication de la Commission européenne, «
Assurer la sécurité et la confiance dans la communication
électronique », COM (97) 503.
42) Proposition de directive sur un cadre commun pour les signatures
électroniques, Com(98) 297 du 13.05.1998.
43) Ses membres étaient pour l'essentiel les pays membres
de l'OTAN ainsi que d'autres pays tels le Japôn et l'Australie.
44) Le texte de l'Arrangement est disponible à : http://ideath.parrhesia.com/wassenaar/
et le site Web du secrétariat se trouve à : http://www.wassenaar.org/.
45) L . Costes, « A propos de l'exportation des logiciels
américains de cryptage' », Lamy Informatique, Bulletin d'actualités
n°102, Avril 1998, p. 2.
46) Décision disponible à : http://www.eff.org/pub/Legal/Cases/Bernstein_v_DoS/Legal/
970825_decision.html.
47) Sur l'actualité américaine, voir le site Encryption
Policy Resource Page, http://www.crypto.com.
48) U.S. relaxes export limits on encryption, Reuters, 16 septembre
1998.
49) Voir : http://strategis.ic.gc.ca/SSG/cy00001e.html.
50) Recommandations du Conseil en date du 27 mars 1997, point 6,
“accès légal”, cette revue n°1997/3.
51) Disponible à http://www2.nas.edu/cstbweb.
52) Disponible à http://www.crypto.com/key_study/report.shtml.
53) Préc.
54) JO du 28 février 1998.
55) Etude adoptée le 2 juillet 1998, La Documentation française,
p.99.
56) Point 21 de l'avis.
57) A titre d'exemple, PGP for Personnal Privacy version 5.0 coûte
39 $ pour particulier et 99 $ pour une entreprise (prix indiqué
sur le site http://www.pgp.com au 20 mai 1998).
58) Point 22.
59) Entre « Usine à gaz et tiers de méfiance
», le Monde du 28 mars 1998, p.23.
60) Voir paragraphe 1.2.2 ci-dessus.
61) Rapport préc. p. 102.
62) En ce sens, voir avis de l'ART, point 16.
63) Cass. Com. 22 oct. 96, JCP G 1997, II, 22 881.
64) Préc.
65) Directive n°95/46 du 24 octobre 1995, JOCE 23/11/95 L 281/30.
66) Directive n°97/66/CE du 15/12/97, JOCE 30/01/98 L24/1.
67) Vice -président de la Compagnie Nationale des experts
judiciaires en informatique.
68) Pour une vrai liberté de crypter, le Monde, 15 mai 1996.
69) Prise de position de la CCI sur une politique internationale
du chiffrement, Droit de l'informatique et des télécoms,
1994/2 p.70.
70) Voir l'Etude « Une évaluation des techniques de
contrôle politique », PE 166.499, rédigée par
la Fondation Omega de Manchester dont un résumé analytique
est disponible à : http://www.europarl.eu.int/dg4/stoa/en/publi/166499/execsum.htm.
71) J.O. du 29 janvier 1993.
72) Point 6 « accès légal ».
73) Jur. Classeur Proc. Pén. Art. 100 à 100-7 n°122.
74) CEDH, Kruslin, série A, n°176 A ; D. 1990 p.353 note
Pradel.
