Dossier DCSSI OpenSSL-0.9.6d

[ Français ]

PARTIE ADMINISTRATIVE

Cocher la ou les cases correspondantes :

[ ] Déclaration

[ ] simplifiée

[ ] de fourniture

[ ] en vue de l'utilisation générale

[ ] en vue de l'exportation

[ ] d'importation en provenance de : ....................

[ ] d'utilisation personnelle

[X] demande d'autorisation

[X] de fourniture pour une durée de : cinq ans ........... (cinq ans maximum) d'un moyen ou d'une prestation qui n'utilise que des conventions secrétes gérées par un organisme agréé

[X] de fourniture pour une durée de : cinq ans ........... (cinq ans maximum)

[X] en vue de l'utilisation générale

[ ] en vue de l'utilisation collective

[X] d'exportation pour une durée de : cinq ans ........... (cinq ans maximum)

[X] d'importation en provenance de : Suisse ..........

[ ] d'utilisation personnelle pour une durée de : .................... (dix ans maximum)

(*) Réservé à l'administration.

A. - Déclarant ou demandeur d'autorisation

A.1. Société

Nom : FSF Europe Chapter France .........
Raison sociale : Association loi 1901
Nationalité : Française ..........
Enregistré à la préfecture de Paris: 05/3044 E ....
Adresse : 8 rue de Valois ....
75001 Paris ........
Numéro de téléphone : 01 40 15 03 18 .....
Numéro de télécopie : 01 40 15 06 18 .....
Adresse du courrier électronique : bonjour@fsffrance.org

Personne chargée du dossier administratif

Nom et prénoms : Dachary Loïc .......
Adresse : 12 bd Magenta ......
75010 Paris ........
Numéro de téléphone : 01 42 45 07 97 .....
Numéro de télécopie : 01 40 15 06 18 .....
Adresse du courrier électronique : loic@gnu.org .......

A.2. Particulier

Nom et prénoms : ....................
Nationalité : ....................
Adresse : ....................
....................
Numéro de téléphone : ....................
Adresse du courrier électronique : ....................

B. - A renseigner selon les cas suivants

B.1. Demande d'autorisation de fourniture d'un moyen ou d'une prestation qui utilise des conventions secrétes gérées par un organisme agréé

Référence de(s) organisme(s) agréé(s) : ....................
....................
....................

B.2. Demande d'autorisation de fourniture en vue de l'utilisation collective

Catégories éventuelles d'utilisateurs auxquels le moyen ou la prestation est destiné :

[ ] Administrations (à préciser) : ....................

[ ] Grandes entreprises (préciser secteur d'activités) : ....................

[ ] Etablissements de crédit : ....................

[ ] PME (préciser secteur d'activités) : ....................

[ ] Autres (à préciser avec secteur d'activités) : ....................

B.3. Demande d'autorisation d'utilisation personnelle

Besoins justifiant la demande : ..........................
....................
....................
Lieux d'utilisation du moyen de cryptologie : ....................
....................
....................
....................
Le cas échéant, réseaux de télécommunications employés : ....................
....................
....................
....................

C. - Moyen ou prestation auquel s'applique la déclaration ou la demande d'autorisation

C.1. Moyen ou prestation de cryptologie

Référence commerciale : OpenSSL ........
Référence constructeur : OpenSSL ........
Version : 0.9.6d ..............
Description succincte :
OpenSSL est un toolkit de cryptographie implémentant les protocoles réseau Secure Sockets Layer (SSL v2/v3) et Transport Layer Security (TLS v1) et les standards de cryptographie dont ils dépendent.

....................
Référence de l'agrément du moyen s'il a été soumis au ministére chargé des télécommunications : ....................

C.2. Fabricant du moyen ou fournisseur de la prestation

Nom : OpenSSL SE
Raison sociale : groupe informel
Adresse : OpenSSL SE c/o Richard Levitte
Spannvägen 38
S-168 35 Bromma
Sweden
Numéro de téléphone : .........
Numéro de télécopie : ........
Adresse du courrier électronique : openssl-contact.SE@openssl.org Mark J. Cox (mark@openssl.org) Ralf S. Engelschall (rse@openssl.org) Dr. Stephen Henson (steve@openssl.org) Ben Laurie ben@openssl.org (ben@algroup.co.uk)
Pour plus de détails sur l'organistion de ce groupe informel, voir http://www.openssl.org/about/.

C.3. Personne chargée du dossier technique

Nom et prénoms : Dachary Loïc .......
Adresse : 12 bd Magenta ......
75010 Paris ........
Numéro de téléphone : 01 42 45 07 97 .....
Numéro de télécopie : 01 40 15 06 98 .....
Adresse du courrier électronique : loic@gnu.org .......

C.4. Divers

Si le moyen ou la prestation utilise des moyens ou prestations préalablement déclarés ou autorisés, préciser, pour chacun d'eux, leur identification, référence et date de notification de déclaration ou d'autorisation : ....................
....................

Le moyen (OpenSSL-0.9.6d) n'utilise pas des moyens préalablement déclarés ou autorisés. Nous tenons cependant à signaler que de nombreux Logiciels Libres font appel à OpenSSL. Il s'agit en particulier des serveurs HTTP (Apache) ou gestionnaires de connexion distantes sécurisé (OpenSSH).

C.5. Services de cryptologie fournis

[ ] Authentification (*) : ....................

[ ] Contrôle d'accés (*) :

[X] Signature (*) : DSA, Diffie-Hellman, RSA

[X] Intégrité (*) : SHA-1, MD2, MD4, MD5, RIPE MD-160

[X] Confidentialité (*) : RSA, DSA, DES, Triple-DES, Blowfish, CAST5-128, IDEA, RC2, RC4, RC5

[X] téléphone

[X] télécopie

[X] messagerie

[X] transmissions de données (préciser le(s) type(s) de données chiffrées, par exemple données à caractére financier, médical, de gestion,...) : tous ...............

[X] autre(s) (à préciser) : tous ...............

[ ] Autre(s) (à préciser) (*) : ....................

C.6. Installation des algorithmes

[X] Logiciel.

[ ] Matériel (à préciser) : ....................

(*) Préciser le(s) nom(s) de(s) algorithme(s) utilisé(s).

D. - Attestation

Je soussigné (nom, prénoms) Dachary Loïc ......
agissant en qualité de membre de la FSF Europe Chapter France
représentant le fournisseur - exportateur - importateur - utilisateur (*) certifie que les renseignements figurant sur cette demande d'autorisation (*) sont exacts et ont été établis de bonne foi, toute fausse déclaration ou tout manquement aux engagements souscrits m'exposant aux sanctions prévues par l'article 28 de la loi no 90-1170 du 29 décembre 1990 modifiée et par le décret no 98-101 du 24 février 1998.
Date : 5 Juin 2002

Signature :
(*) Rayer les mentions inutiles.

PARTIE TECHNIQUE

A joindre au dossier de déclaration ou de demande d'autorisation concernant les moyens et prestations de cryptologie (1)

La partie technique comporte les informations suivantes :

La référence commerciale du produit :

- nom : OpenSSL ;
- numéro de la version : 0.9.6d ;
- distribution source intégrale : http://www.openssl.org/source/openssl-0.9.6d.tar.gz MD5: 6cba586958f6e35f28dde70bd9e5d10a ;
- licence Logiciel Libre (voir aussi http://www.gnu.org/licenses/licence-list.html) :


  LICENSE ISSUES
  ==============

  The OpenSSL toolkit stays under a dual license, i.e. both the conditions of
  the OpenSSL License and the original SSLeay license apply to the toolkit.
  See below for the actual license texts. Actually both licenses are BSD-style
  Open Source licenses. In case of any license issues related to OpenSSL
  please contact openssl-core@openssl.org.

  OpenSSL License
  ---------------

/* ====================================================================
 * Copyright (c) 1998-2002 The OpenSSL Project.  All rights reserved.
 *
 * Redistribution and use in source and binary forms, with or without
 * modification, are permitted provided that the following conditions
 * are met:
 *
 * 1. Redistributions of source code must retain the above copyright
 *    notice, this list of conditions and the following disclaimer. 
 *
 * 2. Redistributions in binary form must reproduce the above copyright
 *    notice, this list of conditions and the following disclaimer in
 *    the documentation and/or other materials provided with the
 *    distribution.
 *
 * 3. All advertising materials mentioning features or use of this
 *    software must display the following acknowledgment:
 *    "This product includes software developed by the OpenSSL Project
 *    for use in the OpenSSL Toolkit. (http://www.openssl.org/)"
 *
 * 4. The names "OpenSSL Toolkit" and "OpenSSL Project" must not be used to
 *    endorse or promote products derived from this software without
 *    prior written permission. For written permission, please contact
 *    openssl-core@openssl.org.
 *
 * 5. Products derived from this software may not be called "OpenSSL"
 *    nor may "OpenSSL" appear in their names without prior written
 *    permission of the OpenSSL Project.
 *
 * 6. Redistributions of any form whatsoever must retain the following
 *    acknowledgment:
 *    "This product includes software developed by the OpenSSL Project
 *    for use in the OpenSSL Toolkit (http://www.openssl.org/)"
 *
 * THIS SOFTWARE IS PROVIDED BY THE OpenSSL PROJECT ``AS IS'' AND ANY
 * EXPRESSED OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE
 * IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR
 * PURPOSE ARE DISCLAIMED.  IN NO EVENT SHALL THE OpenSSL PROJECT OR
 * ITS CONTRIBUTORS BE LIABLE FOR ANY DIRECT, INDIRECT, INCIDENTAL,
 * SPECIAL, EXEMPLARY, OR CONSEQUENTIAL DAMAGES (INCLUDING, BUT
 * NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR SERVICES;
 * LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION)
 * HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT,
 * STRICT LIABILITY, OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE)
 * ARISING IN ANY WAY OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED
 * OF THE POSSIBILITY OF SUCH DAMAGE.
 * ====================================================================
 *
 * This product includes cryptographic software written by Eric Young
 * (eay@cryptsoft.com).  This product includes software written by Tim
 * Hudson (tjh@cryptsoft.com).
 *
 */

 Original SSLeay License
 -----------------------

/* Copyright (C) 1995-1998 Eric Young (eay@cryptsoft.com)
 * All rights reserved.
 *
 * This package is an SSL implementation written
 * by Eric Young (eay@cryptsoft.com).
 * The implementation was written so as to conform with Netscapes SSL.
 * 
 * This library is free for commercial and non-commercial use as long as
 * the following conditions are aheared to.  The following conditions
 * apply to all code found in this distribution, be it the RC4, RSA,
 * lhash, DES, etc., code; not just the SSL code.  The SSL documentation
 * included with this distribution is covered by the same copyright terms
 * except that the holder is Tim Hudson (tjh@cryptsoft.com).
 * 
 * Copyright remains Eric Young's, and as such any Copyright notices in
 * the code are not to be removed.
 * If this package is used in a product, Eric Young should be given attribution
 * as the author of the parts of the library used.
 * This can be in the form of a textual message at program startup or
 * in documentation (online or textual) provided with the package.
 * 
 * Redistribution and use in source and binary forms, with or without
 * modification, are permitted provided that the following conditions
 * are met:
 * 1. Redistributions of source code must retain the copyright
 *    notice, this list of conditions and the following disclaimer.
 * 2. Redistributions in binary form must reproduce the above copyright
 *    notice, this list of conditions and the following disclaimer in the
 *    documentation and/or other materials provided with the distribution.
 * 3. All advertising materials mentioning features or use of this software
 *    must display the following acknowledgement:
 *    "This product includes cryptographic software written by
 *     Eric Young (eay@cryptsoft.com)"
 *    The word 'cryptographic' can be left out if the rouines from the library
 *    being used are not cryptographic related :-).
 * 4. If you include any Windows specific code (or a derivative thereof) from 
 *    the apps directory (application code) you must include an acknowledgement:
 *    "This product includes software written by Tim Hudson (tjh@cryptsoft.com)"
 * 
 * THIS SOFTWARE IS PROVIDED BY ERIC YOUNG ``AS IS'' AND
 * ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE
 * IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE
 * ARE DISCLAIMED.  IN NO EVENT SHALL THE AUTHOR OR CONTRIBUTORS BE LIABLE
 * FOR ANY DIRECT, INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL
 * DAMAGES (INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS
 * OR SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION)
 * HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT
 * LIABILITY, OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY
 * OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF
 * SUCH DAMAGE.
 * 
 * The licence and distribution terms for any publically available version or
 * derivative of this code cannot be changed.  i.e. this code cannot simply be
 * copied and put under another distribution licence
 * [including the GNU Public Licence.]
 */

La description générale du produit, le manuel utilisateur ;

OpenSSL est un toolkit de cryptographie implémentant les protocoles réseau Secure Sockets Layer (SSL v2/v3) et Transport Layer Security (TLS v1) et les standards de cryptographie dont ils dépendent.

http://www.openssl.org/docs/apps/openssl.html, http://www.openssl.org/docs/ssl/ssl.html

La description des services offerts par le produit : librairie cryptographique avec support pour l'environnement de certification X509, et pour des extensions matérielles. Utilisé comme librairie cryptographique générique dans de nombreuses applications Logiciel Libre, et plus particulièrement pour son support SSL et X509 dans les applications de communication sécurisée sur l'Internet, soit en ligne (couche de transport pour WWW, IMAP, LDAP...), soit hors-ligne (courrier électronique au format S/MIME). http://www.openssl.org/docs/ssl/ssl.html; http://www.openssl.org/docs/crypto/crypto.html

La description des fonctions de cryptologie offertes par le produit: Chiffrement, signature de données, gestion de clés publiques, certification de clés (format X509), protection par mot de passe de la clé privée, création de paires de clés et génération de nombres alléatoires, librairie de calcul des grands nombres, allocation sécurisée (effacement en mémoire des zones libérées, verrouillage en mémoire centrale), chiffrement et authentification de flux (SSL), authentification interactive à divulgation nulle.

Soit la description compléte des procédés de cryptologie employés, sous la forme d'une description mathématique et d'une simulation dans un langage de haut niveau, type C ou pascal, soit la référence à un dossier préalablement déposé pour un produit usant du même procédé de cryptologie, soit la référence à un standard reconnu, non équivoque, et dont les détails techniques sont accessibles aisément et sans condition ; http://www.openssl.org/source/openssl-engine-0.9.6d.tar.gz MD5: b02b9e948402c26a2a13eb8c8c8c36cd, http://www.openssl.org/source/openssl-0.9.6d.tar.gz MD5: 6cba586958f6e35f28dde70bd9e5d10a

La description de la gestion des clés mises en œuvre par le moyen, incluant au moins :

- le mode de distribution: hors propos pour OpenSSL, l'usage est d'utiliser des fichiers ou un annuaire LDAP;
- le procédé de génération des clés

openssl-0.9.6d/apps/gendsa.c
openssl-0.9.6d/apps/genrsa.c
openssl-0.9.6d/apps/gendh.c

;
- le format de conservation des clés s'il y a lieu: PKCS#8 (http://www.rsasecurity.com/rsalabs/pkcs/pkcs-8/), PKCS#12, formats PEM ou DER, dans un fichier. Chiffrement par les algorithmes symétriques proposés dans les sources. ;
- le format de transmission des clés s'il y a lieu: Transmission en clair des clés publiques (X509) Echange de clés Diffie-Hellman au cours de l'initialisation d'une session SSL (répertoire openssl-0.9.6d/ssl/). PKCS#12;

La description des mesures techniques mises en œuvre pour empêcher l'altération du procédé de chiffrement ou de la gestion de clés associée (2): Calculs: allocation sécurisée (effacement en mémoire des zones libérées, verrouillage en mémoire centrale). Clés : protection par chiffrement PKCS#8, MAC (algorithmes MD5 et SHA1) et PKCS#12 (mot de passe de protection);

La description des prétraitements subis par les données claires avant leur chiffrement (compression, formatage, ajout d'un en-tête, etc.) :

  * encapsulation PKCS#7 (S/MIME) pour les fichiers texte
  * autres encodages ASN.1 : PKCS#12, X509
  * protocole TLSv1 (SSL) pour les sessions interactives

;

La description des post-traitements des données chiffrées, aprés leur chiffrement (ajout d'un en-tête, formatage, mise en paquet, etc.) :

  * format PEM ("----BEGIN CERTIFICATE----" / "----END
    CERTIFICATE----")
  * protocole TLSv1 (SSL) pour les sessions interactives, plus la
  couche de transport choisie (ex. TCP/IP).

(1) Conformément au troisième alinéa de l'article 1er de l'arrêté ci-dessus, la partie technique doit être accompagnée de deux exemplaires du matériel concerné ou bien d'un exemplaire du logiciel concerné.
(2) A fournir dans le cas d'une demande d'autorisation seulement.

LETTRE D'ACCOMPAGNEMENT

Nous demandons à ce que OpenSSL-0.9.6d soit reconnu comme un logiciel grand public car il en remplit les conditions.

Sont couramment à la disposition du public en étant vendus directement sur stock, sans restriction, à des points de vente au détail, que cette vente soit effectuée : en magasin ; par correspondance ; par transaction électronique ; par téléphone ;

OpenSSL-0.9.6d est disponible sans condition sur internet, notamment à l'URL http://www.openssl.org/source/openssl-0.9.6d.tar.gz (transaction électronique).

La fonctionnalité cryptographique ne peut pas être modifiée facilement par l'utilisateur.

La conception de OpenSSL-0.9.6d ne permet pas à l'utilisateur de modifier facilement la fonctionalité cryptographique. La disponibilité du code source ne permet pas non plus de modifier facilement la fonctionalité cryptographique ainsi que nous le montrons ci-dessous.
Dans le cas d'un logiciel propriétaire, les éléments de l'équation sont une personne physique ou morale, un objet binaire (le produit). Dans le cas d'un Logiciel Libre, le code source vient s'ajouter. On peut donc légitimement s'interroger sur les conséquences pour la facilité avec laquelle l'utilisateur peut modifier la fonctionnalité cryptographique.

Qu'on dispose des sources ou du binaire, il est toujours possible de modifier au hasard, grâce à un éditeur de texte, le binaire ou les sources. C'est un processus facile pour tout utilisateur mais on s'accorde à dire que le seul résultat serait de rendre le logiciel non fonctionel. Même s'il est possible de qualifier une telle modification de facile et concernant les fonctionalités cryptographiques, elle s'appliquerait alors à tout logiciel. C'est un cas absurde et nous sommes en fait intéressés par le cas d'un logiciel qui permettrait une modification facile de ses fonctionalités cryptographiques tout en restant fonctionel.

Pour envisager de modifier les fonctionalités cryptographiques, l'utilisateur doit tout d'abord disposer de notions mathématiques et une connaissance approfondie du domaine de la cryptographie. Sans ce bagage théorique, il a toutes les chances de tenter des modifications qui rendront le logiciel inopérant. Hors disponibilité des sources ou du binaire seul, ce bagage théorique est une précondition qui constitue à lui seul un obstacle qui rend la tâche difficile.

En l'absence de bagage théorique, l'utilisateur peut tenter une modification en suivant à la lettre et aveuglément des instructions fournies par un tiers. Dans le cas d'un logiciel de cryptologie sous forme binaire les instructions peuvent prendre la forme d'un petit programme automatisant ces modifications. Il existe de nombreux programmes de ce genre, en général disponible sur le web. Dans le cas d'un logiciel de cryptologie disponible sous forme source, il s'agirait d'un patch s'appliquant sur les sources. Il s'agit essentiellement du même principe. Dans le cas du patch cependant, l'utilisateur doit en plus avoir la capacité technique de reconstruire une version binaire du logiciel de cryptologie, c'est donc un peu moins aisé. Comme dans le cas des modifications aléatoires rendant le logiciel inopérant, la possibilité de suivre aveuglément des instructions existant pour tous les logiciels de cryptologie (Logiciel Libre ou non), elle ne peut constituer un critère qualifiant la modification des fonctionalités cryptographiques de facile.

Supposons qu'une personne dispose du bagage théorique nécessaire et qu'elle entreprenne de modifier les fonctionalités cryptographiques sans appliquer des instructions aveuglément. En présence d'un binaire seul, la personne doit disposer d'une solide formation en assembleur, d'outils de décompilation et d'une expérience de reverse engineering. En présence d'un code source, la personne doit disposer d'une solide formation dans le langage de programmation visé, d'outils de compilation. En bref, elle doit avoir suivit une formation en informatique pour tenter effectivement une modification. Acquerir le bagage informatique nécessaire est dans tout les cas un processus difficile.

Enfin, le produit peut, par choix de conception, permettre une modification facile des fonctionalités de cryptographie. Le produit peut, par exemple, contenir une interface homme machine dont l'objet est de permettre à l'utilisateur de modifier les fonctionnalités cryptographiques. Il peut s'agir d'une interface graphique ou d'une interface ligne de commande, et cela implique que le logiciel a été expréssément conçu pour offrir cette possibilité. Il est alors facile pour l'utilisateur de modifier les fonctionalités cryptographiques. Mais c'est un choix de conception qui n'a pas de lien avec la disponibilité du code source du logiciel de cryptologie.

En conclusion, l'accès au code source n'implique pas en soit qu'il est facile pour l'utilisateur de modifier les fonctionalités cryptographiques. Il s'agit avant tout d'un choix de conception délibéré qui doit être jugé au cas par cas, Logiciel Libre ou non. La disponibilité du code source fait qu'il devient possible pour une personne ayant la volonté de franchir les difficiles étapes menant aux connaissances requises mais certainement pas facile pour l'utilisateur de modifier les fonctions cryptographiques. C'est la, uniquement, que réside la différence.

Sont conçus pour être installés par l'utilisateur sans assistance ultèrieure importante de la part du fournisseur.

La FSF France ne propose aucun service d'assistance sur OpenSSL-0.9.6d. De façon générale OpenSSL-0.9.6d ne requiert aucune assistance à l'installation ou à l'utilisation.

SIGNATURE
Version électronique signée: http://savannah.gnu.org/cgi-bin/viewcvs/*checkout*/fsfe/fr/dcssi/openssl.fr.xhtml?rev=1.6&cvsroot=www.gnu.org
Signataire: Loïc Dachary (http://www.dachary.org/loic/gpg.txt)
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.0.7 (GNU/Linux)

iD8DBQA8/hxj8dLMyEl6F20RAiKCAJ95RJOYc/fi/4lZj1CFG0ltl3w9fQCeIIYi
1+H+9FL297QnZuK3IbYIeko=
=94Vn
-----END PGP SIGNATURE-----
	

Updated: $Date: 2003-02-28 16:16:22 +0100 (Fri, 28 Feb 2003) $ $Author: loic $