Résumé

  • Philip Zimmermann date le premier dépôt public de PGP sur Internet du 6 juin 1991. MIT limite ensuite sa propre distribution FTP et Web aux citoyens américains présents aux États-Unis.
  • MIT Press demande une décision de classement pour un livre contenant le code source de PGP, lisible et numérisable. La demande reste sans réponse dans la déclaration de décembre 1995 de Zimmermann.

Un programme traverse une frontière par FTP. Le même code peut être imprimé, scanné puis recompilé. En 1995, la question n’était plus seulement de savoir où circulait PGP, mais ce que les autorités considéraient comme une exportation.

Dans son récit publié en 2021, Philip Zimmermann situe le premier dépôt public de PGP 1.0 sur Internet au 6 juin 1991. Il avait envoyé le programme à des amis la veille pour qu’ils le diffusent. Le guide de recherche de la bibliothèque présidentielle Clinton sur PGP et la cryptographie décrit un dépôt FTP destiné à un petit groupe d’un mouvement antinucléaire et indique que cette diffusion a entraîné une enquête. Zimmermann écrit dans son propre récit anniversaire qu’il a fait l’objet d’une enquête pénale à propos de la circulation du logiciel à l’étranger.

Le serveur de MIT affichait une frontière nette. Sa page de distribution archivée précisait que le logiciel était réservé aux citoyens américains situés aux États-Unis. MIT proposait des versions avec code source et des versions exécutables seulement, accessibles par le Web ou par FTP anonyme. PGP 2.6.2 était disponible sur DOS et Unix; MacPGP 2.6 sur Macintosh. Le réseau n’arrêtait pas les données à la frontière. MIT définissait les conditions d’accès à son propre canal.

Le livre a déplacé le problème vers la page imprimée. Dans une préface datée de novembre 1994, Zimmermann explique que le volume de MIT Press contiendrait le code C complet de PGP et pourrait être numérisé par reconnaissance optique. L’éditeur devait demander une décision de compétence sur la marchandise, ou Commodity Jurisdiction. MIT Press dépose sa demande le 24 janvier 1995 pour faire confirmer que le livre n’était pas soumis aux règles de l’ITAR. L’ouvrage paraît en mars.

La déclaration sous serment de Zimmermann dans Karn v. U.S. Department of State détaille l’enjeu. La demande de MIT Press décrivait un livre contenant tout le code nécessaire à une implémentation complète de PGP 2.6.2, imprimé dans une police lisible par les humains et les scanners. La numérisation, suivie d’une compilation, pouvait recréer le logiciel exécutable. En décembre 1995, le Département d’État n’avait toujours pas répondu. Un mémoire du ministère de la Justice signalait que le statut à l’exportation du code cryptographique imprimé faisait encore l’objet d’un examen. Zimmermann rapporte aussi des avis divergents reçus de façon informelle; il ne les présente pas comme une décision officielle.

L’enquête visant Zimmermann et la demande de MIT Press n’étaient pas la même procédure. Zimmermann écrira plus tard que le gouvernement a abandonné l’enquête au début de 1996. Le 15 novembre suivant, un mémorandum de la Maison-Blanche sur les exportations de produits de chiffrement demande de traiter le code source selon sa fonction: il peut être transformé mécaniquement en code objet. Le texte prévoit aussi qu’un dépôt FTP accessible depuis l’étranger peut constituer une exportation sans précautions suffisantes. Le transfert des contrôles vers le Commerce ne devait prendre effet qu’à la publication de règlements définitifs; jusque-là, le Département d’État conservait son autorité.

Un livre et un serveur FTP transportaient le même problème juridique par deux supports distincts. La réponse finale de l’administration à la demande de MIT Press manque au dossier; elle établirait le classement officiel du livre.