L'affaire Bluetouff ou : NON, on ne peut pas être condamné pour utiliser Gogleu par Maître Eolas.

En gros selon lui le tord de Bluetooff c'est d'avoir continué à naviguer alors qu'il y avait un mdp à la racine. Et ça explique le jugement tel qu'il a été prononcé.

Edit Vivien : Extraits :

« Sur le vol, la cour est moins diserte, et c’est à mon humble avis le point sur lequel l’arrêt est juridiquement le plus critiquable, et justifie la décision du prévenu de se pourvoir en cassation. La cour estime le vol constitué par le fait d’avoir réalisé des copies des fichiers de l’ANSES à l’insu et contre le gré de l’agence. Sans vouloir souffler aux conseillers de la chambre criminelle, il y a à mon sens une insuffisance de motifs.

Le vol est la soustraction frauduleuse de la chose d’autrui. La loi pénale est d’interprétation stricte. On entend par soustraction une appréhension, une appropriation : il faut se comporter en propriétaire de la chose, dépossédant ainsi le véritable propriétaire. La soustraction doit être frauduleuse, c’est à dire en ayant conscience que l’on n’est pas propriétaire de la chose. Or s’agissant d’un fichier informatique, on peut le copier sans jamais déposséder le propriétaire. (...) On peut voler un support informatique (disquette, clé USB, disque dur, CD-ROM…), mais en aucun cas le contenu de cette mémoire. Cette dernière condamnation ne tient pas à mon sens, et on peut espérer que la Cour de cassation y mette bon ordre (même si en cas de renvoi devant une autre cour d’appel, une requalification en contrefaçon n’est pas impossible, auquel cas une condamnation serait envisageable). »

Ca dépend. S'il ne s'agissait pas d'un simple directory listing Apache et qu'il y avait une charte graphique identique entre les écrans de répertoire et l'écran de login, le lien pouvait être fait.

Merci pour le lien Nico. Maître Eolas avait dit qu'il ferait un billet là-dessus et je ne l'avais pas vu arriver. Comme d'habitude avec lui, c'est très pédagogique.

Malheureusement, ce n'est qu'un exemple du problème des whitehats : Damien Bancal, le fondateur de Zataz a également été en procès il y a quelques années à cause d'une faille qu'il avait découvert et communiquée à l'administrateur du site en question (article).

Ca dépend. S'il ne s'agissait pas d'un simple directory listing Apache et qu'il y avait une charte graphique identique entre les écrans de répertoire et l'écran de login, le lien pouvait être fait.

De quoi?

En quoi le fait qu'une page Web d'un site Web est protégée implique qu'une autre page du même site est censée l'être?

L'histoire, c'est que l'Etat est incapable de configurer un .htaccess, hein. (Je ne parle même pas du fait que des informations concernant la santé publique doivent ne pas être diffusées pour on ne sait quelle raison.)

L'histoire, c'est que l'Etat incapable et inepte, reproche aux autres sa propre ineptie.

Et avec ça, personne ne se demande si les personnes qui ont laissé Google indexer des documents confidentiels seront sanctionnées. Parce que l'Etat ne s'occupe jamais de sanctionner ses agents qui ont fauté (cf violation du mandat de vante d'Adidas pour le compte de Tapie par le Crédit Lyonnais, cf emprunts "toxiques" par les collectivité).

C'est tout à fait ça. Je n'ai pas les compétences judiciaires ni même le bagage technique pour argumenter du bien fondé ou non de la condamnation. Mais que personne ne soit "surpris" que de telles informations se retrouvent indexées par le moteur de recherche le plus populaire de la planète me glace presque le sang.

C'est choquant mais pas une première. C'était même très prévisible.

Lors du scandaloïde (pseudo-scandale bas de gamme) "Google Street View" (1), la CNIL qui avait récupéré ces données et les avait analysé (2) afin de déterminer l'ampleur de la violation et de pouvoir condamner le méchant gouguel, ce qui est la raison d'être de la CNIL (3), la CNIL avait alors déterminé que parmi les données captées on trouvait :
- des mots de passe
- des données très personnelles
- des informations médicales d'une clinique

Et là, la presse prévisible a fait ce qu'on attend d'elle, elle a dit ce qu'on s'attendait à ce qu'elle dise (comme dans Guignol, chacun a été dans son rôle) : elle a condamné Google. Elle n'a pas condamné les sites qui demandent de s'identifier sur une page HTTP, elle n'a rien reproché à la clinique qui faisait circuler les données en clair sur un Wifi ouvert, elle n'a pas signalé que le WPA existait pour une bonne raison, les VPN aussi (4). Elle n'a pas observé que si les utilisateurs configuraient leur point d'accès en WPA au lieu de Wifi ouvert ils seraient protégés non seulement contre les écoutes des Google Cars, de leurs voisins, mais aussi contre l'injection de fausses données. Elle n'a pas dit que les Wifi communautaires pourraient être en WPA Enterprise, et qu'un FAI aux USA (5) propose de l'accès par WPA Enterprise (et aussi des Wifi ouverts et un VPN associé pour ceux qui n'arriveraient pas à utiliser le WPA Enterprise).

Bref, la presse prévisible n'a rappelé aucun des moyens qui permettent de protéger les échanges, et elle n'a rien dit sur l'obligation légale de protection des données privées et notamment des informations médicales, et sur le risque non seulement d'écoute mais aussi d'altération de ces données quand on utilise un Wifi ouvert, sans parler du risque de propagation de vers et virus (6) si les ordinateurs connectés ont des failles de sécurité.

(1) quand les Google Cars avaient enregistré non seulement les SSID/BSSID des réseaux Wifi mais aussi toutes les données transmises sur les Wifi ouverts

(2) cela aurait été dommage que Google viole la vie privée des français sans qu'aucun protecteur de la vie privée n'en profite pour jouer les voyeurs en "analysant" ces données

(3) plus exactement la raison d'être de la CNIL est de rassurer les français en leur faisant croire qu'on fait "quelque chose"

(4) WPA est en quelque sorte un VPN

(5) il s'agit de Google, d'ailleurs

(6) propagation de virus via les partages de fichiers souvent activés par défaut sur le réseau local

Tu es fou, la "République est en danger"!

Les citoyens seraient informés, et après quoi? Ils agiraient de façon avisée? Ils demanderaient des comptes?

A Marseille sa se bat à l'AK47 et il se passe rien ...
Par contre un utilisateur lambda qui fait aucune démarche frauduleuse là on le démoli !
En plus les personnes traitant ces affaires sont plus qu'ignares en informatique, c'est a mourir de rire, c'est comme si on employait quelqu'un qui ne connait que le fast food pour faire des critiques culinaires.

Ce procès n'est qu'une énorme blague, symbole de la faiblesse de la justice française.