Les white hats interdits en France

La Cour de cassation a rendu en octobre 2009 un étonnant verdict sur le full disclosure: rendre publique une vulnérabilité, quand bien même la fin serait louable, constitue un délit eu égard au Code pénal.

Dans son arrêt du 29/10/2009 (disponible sur le site LegiFrance), la Cour estime ainsi que "[le hacker] ne peut valablement arguer d'un motif légitime tiré de la volonté d'information, dès lors que, du fait de son expertise en la matière, il savait qu'il diffusait des informations présentant un risque d'utilisation à des fins de piratage par un public particulier en recherche de ce type de déviance".

Il y a donc trois points à retenir dans cette décision de la plus haute juridiction de l'ordre judiciaire français:
- le hacker a agit en connaissance de cause de la nature de sa découverte (l'exploit dans la jargon);
- le hacker savait aussi que les lecteurs du site sur lequel il a révélé la faille risqueraient d'en profiter pour attaquer le site;
- la communauté des white hats est déviante.

Bien entendu, il est évident que de telles allégations semblent d'une stupidité hallucinante pour quiconque s'est jamais intéressé à Internet:
- un hacker qui ne sait pas qu'il en est un (ne serait-ce qu'en faisant autre chose que du surf), eh bien à ma connaissance ça n'existe pas;
- il paraît très étonnant que les pensées des visiteurs soient aussi claires pour les juges, mais aussi celle du hacker en question. Là, l'arrêt est d'une clarté désespérante: "dès lors que la constatation de la violation, sans motif légitime et en connaissance de cause, de l'une des interdictions prévues par l'article 323-3-1 du code pénal implique de la part de son auteur l'intention coupable exigée par l'article 121-3";
- la dernière idée est la plus angoissante car c'est d'elle que tout découle: la recherche désintéressée d'informations et d'assistance n'est pas un motif légitime, tout constat d'une faille ne peut qu'être dans un but criminel et donc constitue une déviance.

On se rappellera donc avec tristesse que le législateur n'a encore que faire du monde numérique, qu'il ne comprend pas, quand il s'y intéresse: l'administrateur du site Zataz n'avait en effet échappé à une condamnation en seconde instance que grâce à la campagne médiatique en sa faveur.

Le 07/01/2010 par Raphaël Florès dans Hack