StopCovid France : installation/pas installation ?

Ces derniers jours, l’Internet français est en ébullition concernant l’application StopCovid France. Entre théories du complot, peurs irrationnelles, articles approximatifs techniquement et tentatives malheureuses de vulgarisation, l’avis majoritaire est globalement négatif quant à cette solution de lutte contre le SARS-CoV-2. Aussi, il nous semblait intéressant de présenter notre vision de spécialistes de la sécurité des systèmes d’information et de la protection des données à caractère personnel, en toute honnêteté intellectuelle, et sans prétention aucune.

Comment fonctionne l’application StopCovid France ? Pour commencer, cette application n’utilise aucune donnée d’identification classique (nom, prénom, adresse électronique, numéro de mobile, etc.), mais un identifiant généré mathématiquement et renouvelé périodiquement, ceci afin d’assurer l’anonymat de ses utilisateurs. De plus, elle utilise le bluetooth, et n’est donc aucunement capable de géolocaliser ses utilisateurs. Elle se contente alors de noter les identifiants anonymes des autres utilisateurs StopCovid France croisés. Enfin, lorsqu’un utilisateur est testé positif au COVID-19, la déclaration de son état sur l’application est à sa seule initiative. Les personnes potentiellement infectées (à moins d’1 m pendant plus de 15 min) les jours précédents peuvent ainsi être prévenues tout en respectant le secret médical. Sans entrer dans le détail technique, StopCovid France a été pensée, dès sa conception, afin de satisfaire aux exigences de sécurité et de protection des données à caractères personnel applicables en la matière.

Très bien, mais quelles sont les preuves de ce fonctionnement, et comment être sûr que l’application StopCovid ne peut pas être piratée ? Le gouvernement s’est imposé une transparence exemplaire avec cette application. Son code source (son « ADN »), est publié, ce qui permet aux experts de l’analyser, ces derniers ne s’en étant pas privés. L’application est / a été la cible de hackers éthiques, dont le but est de détecter ses éventuelles failles de sécurité, ceci afin de les corriger au plus vite, ce qui est une bonne pratique indéniable. StopCovid France est conforme au RGPD (Règlement Général sur la Protection des Données), qui est un texte réglementaire défendant les intérêts des citoyens plus qu’aucun autre avant lui. Enfin, l’installation de cette application est volontaire, et nul n’est contraint de le faire.

Bien sûr, le risque zéro n’existe pas, et l’application StopCovid France pourrait potentiellement être piratée ou utilisée de façon détournée, comme n’importe quel outil. Nous connaissons tous quelqu’un s’étant déjà blessé avec un marteau, un couteau ou une paire de ciseaux. Ces mauvaises expériences ne font pas de ces outils des objets indésirables de notre quotidien pour autant (mis à part dans les aéroports et les avions, bien entendu). Rappelons également qu’il existe de nombreuses autres applications, dont certaines sont probablement en fonction sur votre smartphone en ce moment même, qui collectent de nombreuses informations à caractère personnel vous concernant, parfois de façon illicite.

Alors, finalement, installation / pas installation ? Eh bien, à chacun de juger. Cependant, il est important de rappeler que cette application revêt un caractère d’utilité publique, qu’elle ne sera réellement efficace que si un grand nombre de personnes l’utilise (dans l’idéal, chaque possesseur de smartphone) et qu’un premier retour d’expérience sera utile afin de se préparer à une éventuelle prochaine pandémie (la réponse impressionnante des autorités Taïwanaises à la crise du COVID-19 est le fruit de leur douloureuse expérience du SARS-CoV-1 de 2003).

Tout comme les gestes barrières, les masques et le gel hydroalcoolique, l’application StopCovid France a été conçue afin de lutter contre la crise que nous traversons, dans une démarche de transparence que nous souhaitions saluer chez SRC Solution.

 

Guillaume BANKOWSKI – Consultant SSI