Préoccupations des programmeurs concernant les restrictions à l'exportation des États-Unis

Quels aspects dois-je prendre en compte lors de la conception et de la publication de logiciels qui doivent respecter les restrictions d'exportation des États-Unis pour les logiciels cryptographiques?

Wikipedia indique qu'il existe différentes catégories que vous pouvez attribuer à un logiciel de cryptographie. Et la destination d'exportation (par exemple la Chine, la Russie) joue également un rôle majeur. Mais je n'ai pas vraiment compris ces restrictions et leurs effets sur mon travail.

Quelqu'un peut-il m'expliquer cela?

Je vous le demande car si vous essayez de publier votre application (par exemple sur l'App Store d'Apple ou Android Market), vous devez vous assurer que votre application respecte les restrictions d'exportation américaines. Et il existe de nombreuses applications qui offrent un stockage sécurisé des informations, par exemple pour les mots de passe.

Ont-ils tous avisé le gouvernement et demandé une révision? Bien sûr, vous ne pouvez pas savoir s'ils l'ont fait. Mais ont-ils besoin de faire ça?

Si votre code est open source , les restrictions sont très légères : vous ne pouvez pas exporter votre code vers des pays ou des entités qui ont été restreints et vous devez informer le gouvernement de l'endroit où ils peuvent télécharger les fichiers source et objet . Vous devez faire des efforts pour empêcher le téléchargement du code par Cuba, l'Iran, la Libye, la Corée du Nord, la Syrie et le Soudan . Vous devez demander à tous vos utilisateurs de ne pas exporter vers ces pays.

Vous devrez préparer des listes de tous les "packages" et "fichiers" contenant les primitives de chiffrement. (Je me souviens que nous étions autorisés à ignorer les primitives de hachage qui étaient utilisées uniquement pour l' authentification ou les contrôles d' intégrité .)

Si votre code n'est pas open source, vous devez déposer des exceptions sur votre propre code. Je suppose que vous devrez préparer des listes similaires de fichiers source / objet et quels algorithmes sont mis en œuvre pour quels mécanismes. Je m'attends en outre à ce que cela nécessite un examen avant l'octroi de la licence.

Bien que je pense que toutes mes informations sont correctes au 30 décembre 2011, je ne suis pas avocat et je ne peux pas vous fournir de conseils juridiques. Ce sont simplement des pointeurs vers les ressources du gouvernement américain actuellement disponibles.

Ecrivez-vous vos propres routines cryptographiques ou appelez-vous simplement une routine tierce?

La raison pour laquelle je pose la question est que si, par exemple, sous Windows, vous utilisez l'une des routines fournies par Microsoft, vous n'êtes pas celui qui publie ou distribue le logiciel contrôlé, auquel cas votre logiciel ne serait soumis à aucune restriction.

S'il ne s'agit que d'une question d'intérêt, les autres réponses sont excellentes. Si cela concerne quelque chose que vous faites réellement?

ALLEZ VOIR UN AVOCAT. MAINTENANT.

Attendez-vous toujours? Ensuite, je développerai.

Allez voir un avocat. Maintenant. N'attendez pas, ne pensez pas. Si vous n'en avez pas déjà, trouvez-en un. Demandez-leur de vous mettre en contact avec une personne qui gère le droit des affaires comme un travail . Vérifiez ses informations d'identification, et si elles semblent correctes, asseyez-vous avec cette personne et offrez-lui de l'argent pour obtenir des conseils. N'hésitez pas à négocier selon les termes.

Si vous ne me faites pas confiance, et j'avoue que je suis très catégorique sans beaucoup d'expérience dans ce domaine, lisez cet article, écrit en mai 2010 , par quelqu'un qui dirige avec succès une entreprise familiale depuis 1993.

Si vous essayez de gérer une entreprise de jeux indépendants, vous dirigez d'abord et avant tout une entreprise. Toutes les lois locales, étatiques et fédérales s'appliquent. Vous avez besoin d'une licence commerciale. Ou des licences. Chaque entreprise devrait avoir un avocat et un comptable. Personnellement, je l'ai fait sans avoir un avocat dédié (un cours imprudent), mais chaque entreprise devrait avoir un comptable qualifié.

Cela signifie que quelqu'un dont l'entreprise comprend deux personnes vendant des jeux où des lézards en armure ont battu des gobelins est conscient qu'il prend un risque en n'ayant pas accès à son propre avocat à tout moment .

Êtes-vous une entreprise? Je ne sais pas. Si vous vendez quelque chose, vous pourriez bien l'être. Devinez qui le saurait? Un avocat .

Vous n'avez pas à payer longtemps pour un avocat très cher, mais au moins vous avez besoin d'avoir quelqu'un sur rendez-vous avec qui vous pouvez diriger les choses avant de faire des choses qui peuvent être légalement dangereuses, et qui peut expliquer à vous ce qui peut être légalement dangereux.

Parce que voici le truc. Si vous le faites dès le départ, alors beaucoup de choses s'appliquent.

1. Vous êtes moins susceptible de bousiller et d'attirer l'attention du gouvernement.
2. Vous savez mieux quand vous avez foiré et ce qu'il faut faire à ce sujet, y compris un contact existant que vous pouvez appeler pour vous aider.
3. Si vous vous trompez et attirez l'attention du gouvernement, vous pouvez expliquer que vous avez essayé de tout faire correctement et avoir les notes de l'avocat pour le prouver.

Sinon? Eh bien, j'ai récemment découvert que si vous savez que vous n'êtes pas compétent pour gérer quelque chose et que vous ne demandez pas de conseils, cela signifie légalement que vous avez délibérément choisi de foirer. En argent, c'est de la fraude. En ce qui concerne les sanctions à l'exportation, je pense que c'est à la même échelle que la trahison.

Concernant la recherche sur Internet: Ce billet de blog a été écrit le 17 janvier 2011. Et la première chose qu'il dit là-dedans? Que ce truc a changé récemment. Cela pourrait donc changer à nouveau. Cela aurait déjà pu changer. Ce qui signifie que si quelqu'un suit aveuglément ces 3 années à partir de maintenant, il pourrait finir par devoir passer du temps sérieux à expliquer aux hommes en costume qu'ils ne sont pas un traître, ils sont juste assez stupides pour penser que les articles de blog sont des documents légaux.

Rendez-moi service pour ma tranquillité d'esprit. Allez voir un avocat.

Une réponse légèrement différente, mais pourquoi écrire le code de cryptage aux USA? Même si vous écrivez le reste du produit aux États-Unis, il est très logique de faire les parties de chiffrement ailleurs. Vous pouvez toujours vendre votre produit aux États-Unis, mais vous importez aux États-Unis plutôt que d'exporter des États-Unis.

Soit dit en passant, au début du PGP, les règles d'exportation ont été contournées par l'impression d'un livre contenant le code source et l'exportation du livre.