Sécurité : Le TGI de Paris sanctionne la divulgation de failles

Le Tribunal de grande instance de Paris condamne - avec sursis - l'animateur du site kitetoa.com à verser 1 000 € au site tati.fr pour fraude informatique. Paradoxe : Kitetoa prétend avoir simplement voulu apporter la preuve d'une faille dans le système d'information du cybermarchand.

En juin 1999, à l'aide de son navigateur Netscape, l'un des animateurs avait accédé directement à l'un des fichiers clients du site. Kitetoa affirme avoir immédiatement signalé à Tati le défaut d'installation de son serveur. Mais rien n'a changé et les fouineurs de Kitetoa ont publié les preuves de la défaillance du système de Tati. Ce dernier, après que la presse s'est fait l'écho de l'information, a finalement porté plainte pour intrusion frauduleuse. Une plainte reçue sans sourciller par la 13e chambre du TGI de Paris.

Cette décision s'inscrit dans une inquiétante tendance à vouloir réduire au silence tous ceux qui prennent la peine d'alerter les utilisateurs sur les failles logicielles. Et conforte les éditeurs et autres sites marchands dans leur volonté de dissimuler l'information à ce sujet.

En janvier, AOL demandait aux veilleurs technologiques de bien vouloir contacter les éditeurs avant de dévoiler une défaillance. Le FAI rejoignait Microsoft, qui, à la tête d'un pseudo-comité de normalisation, milite depuis novembre 2001 pour la restriction de la diffusion des informations sur les failles de sécurité.

Une tentative d'omerta sur les bogues de sécurité amorcée en avril 2001 par le Cert (*), qui souhaite imposer aux entreprises le paiement des informations de sécurité et ne les divulguer gratuitement au grand public qu'avec 45 jours de retard...

(*) Computer Emergency Response Team, spécialiste des études sur la sécurité