<div dir="ltr"><div class="gmail_extra"><div class="gmail_quote"><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">
The only folks who have to deal with US export controls on crypto these<br>
days, as I understand it, are those who build custom, proprietary<br>
software; or those who build hardware custom designed for<br>
cryptanalysis (like a DES cracker).<br></blockquote><div><br></div><div>I don't think the U.S. Department of Commerce would agree with you.  See<br><br><a href="https://www.bis.doc.gov/index.php/policy-guidance/encryption">https://www.bis.doc.gov/index.php/policy-guidance/encryption</a><br></div></div><br><div class="gmail_extra">AFAIK, the only items that aren't covered by export controls are:<br><br>- Encryption using key length ≤ 56 symmetric / 512 asymmetric / 112 elliptic curve; or<br></div><div class="gmail_extra">- Limited to authentication, digital signature, or execution of copy-protected software only<br><br></div><div class="gmail_extra">See the Commerce Control List, Export Control Classification Number (ECCN) 5A002, item (a) under "List of Items Controlled" which reads: "Systems, equipment and components, for 'information security', as follows...".  The Commerce Control List is contained in Supplement No. 1 to Part 774 of Title 15 of the Code of Federal Regulations which can be found at <a href="http://www.ecfr.gov/">http://www.ecfr.gov/</a><br></div><br></div><div class="gmail_extra">If neither of the above apply, then US persons either have to register or find a registration exemption and comply with the terms of the exemption, which might include notification.  That to me qualifies as "dealing with US export controls".<br><br></div> </div>