Journal GnuPG devient économiquement viable et n’a plus besoin de dons

Sommaire

• • L’annonce
  • Certification de GnuPG pour le chiffrement de données classifiées outre-Rhin
  • La fin de Chiasmus

Note : Ceci est la suite du lien posté il y a quelques jours, GnuPG n’a plus besoin de vos dons.

L’annonce

À la mi-décembre, le projet GnuPG a publié la dernière version de sa branche de développement, GnuPG 2.3.4. S’il n’y a pas grand’chose de neuf à signaler dans cette version précise (on pourra se rapporter à cette dépêche de l’année dernière pour les principales nouveautés de la branche 2.3), sa publication était accompagnée d’un message pour le moins inattendu, surtout pour quiconque se souvient des difficultés financières qu’a connu le projet il y a quelques années : les développeurs ont annoncé qu’ils étaient finalement en mesure d’assurer le financement du projet et n’avaient plus besoin de dons de la part des utilisateurs.

Et comme pour bien signifier qu’il ne s’agissait pas de paroles en l’air, ils ont aussi annoncé avoir unilatéralement annulé tous les dons récurrents mis en place via Stripe ou PayPal, et demandé aux donateurs utilisant des virements bancaires d’annuler les ordres de virement. Tous les donateurs étant invités à soutenir à la place d’autres projets libres.

Comme on peut l’imaginer, cette annonce a fait l’effet d’une bombe parmi les utilisateurs de GnuPG¹. Et les spéculations d’aller bon train² sur ce qui a pu changer au cours des derniers mois pour permettre au projet d’atteindre la viabilité économique, les quelques mots sur l’ancienne page des dons n’apportant guère d’explications.

Finalement, le 2 janvier 2022 Werner Koch, développeur principal de GnuPG et fondateur de g10Code GmbH (la société derrière GnuPG) s’est fendu d’un billet de blog expliquant la nouvelle situation du projet.

Certification de GnuPG pour le chiffrement de données classifiées outre-Rhin

Une première étape a été franchie en 2019, lorsque GnuPG a été certifié par le BSI³ (Bundesamt für Sicherheit in der Informationstechnik, office fédéral pour la sécurité des technologies de l’information, l’équivalent allemand de l’ANSSI) pour le chiffrement de données classifiées au niveau Vs-NfD (Verschlusssache-Nur für Dienstgebrauch, équivalent au niveau français Diffusion restreinte et au niveau OTAN Restricted).

Détail important, si le BSI a certifié un variant particulier de GnuPG (sous le nom Gpg4VS-NfD), tous les changements apportés à GnuPG pour le rendre certifiable sont disponibles dans la version publique, libre, de GnuPG. En fait, la version certifiée Gpg4VS-NfD n’est rien d’autre que la version standard de GnuPG telle qu’on peut la trouver sur gnupg.org, qui est simplement pré-configurée pour être par défaut conforme aux exigences du BSI (option --compliance de-vs).

Une fois la certification obtenue, les développeurs ont entrepris de « faire de Gpg4VS-NfD un véritable produit [commercial] » (et non plus un simple build seulement destiné à être présenté aux évaluateurs du BSI), renommé pour l’occasion en GnuPG VS-Desktop et vendu via le site gnupg.com.

Comme le Gpg4VS-NfD dont il est dérivé, GnuPG VS-Desktop est construit depuis exactement le même code source que celui diffusé sur gnupg.org sous licence Gnu GPL. Il n’est pas question ici d’un modèle open core ou assimilé, où la version payante GnuPG VS-Desktop fournirait des fonctionnalités qui feraient défaut à la version « communautaire » GnuPG.

Le modèle économique derrière GnuPG VS-Desktop (ou la réponse à la question « pourquoi diable des gens voudraient-ils payer pour un logiciel librement et gratuitement disponible par ailleurs ?) repose, de manière somme toute assez prévisible dans le monde du libre, sur la vente de contrats de support et de développements sur-mesure.

La certification du BSI est aussi un avantage non-négligeable de GnuPG VS-Desktop par rapport à GnuPG, du moins pour certains clients allemands. Et justement, c’est là qu’intervient le petit coup de pouce du destin qui assure aujourd’hui à GnuPG sa viabilité économique.

La fin de Chiasmus

Depuis des années, le logiciel utilisé en Allemagne pour le chiffrement au niveau VS-NfD était Chiasmus, produit et distribué par le BSI (pas sous licence libre ; son utilisation n’était autorisée que si elle était « dans l’intérêt de la République fédérale d’Allemagne »). Il utilise un algorithme de chiffrement maison, appelé lui aussi CHIASMUS, jamais publiquement documenté par le BSI mais dont les détails ont été obtenus par rétro-ingénierie.

Or dernièrement, il est apparu que le BSI n’avait plus vraiment confiance dans son propre logiciel. Sa certification VS-NfD n’est valable que jusqu’au 30 juin 2022, et ne sera pas renouvelée. Il n’est déjà plus possible d’en demander une copie auprès du BSI.

Le retrait de Chiasmus signifie que tous ses utilisateurs (tous ceux qui manipulent des données au niveau VS-NfD) doivent maintenant chercher une alternative. Et ils n’ont le choix qu’entre deux options, deux logiciels ayant la certification VS-NfD : GreenShield de CryptoVision (propriétaire), et… GnuPG VS-Desktop de g10Code (libre).

Or, les utilisateurs de Chiasmus, ce sont non seulement la quasi-totalité des institutions et agences gouvernementales allemandes, mais aussi toutes les sociétés privées et acteurs libéraux qui doivent interagir avec ces institutions et agences. Même si une partie d’entre eux choisiront sans doute la solution propriétaire de CryptoVision, les commerciaux de g10Code estiment aujourd’hui qu’environ 250 000 lieux de travail utiliseront GnuPG VS-Desktop.

Voilà donc d’où provient la manne financière qui assure aujourd’hui à GnuPG sa pérennité. Un modèle économique somme toute classique pour du logiciel libre, mais facilité par le besoin impérieux de certains utilisateurs institutionnels (ou des utilisateurs en relation avec des utilisateurs institutionnels) pour un logiciel certifié.