Sécurité de StopCovid : « Tout décider en une semaine, ce n'est pas possible »
À peine 20 jours après l'annonce de son développement, l'app StopCovid, une des briques du plan de déconfinement du gouvernement, devait faire l'objet d'un débat puis d'un vote à l'Assemblée nationale et au Sénat.
Pourtant, il était attendu. Depuis le début du projet le 7 avril, le gouvernement n'a donné que très peu de précisions techniques sur le fonctionnement de l'application dite de contact tracing. Le protocole ROBERT -- qui doit sécuriser les communications entre les appareils -- a été publié la semaine dernière, et tel qu'il est aujourd'hui, il ne fonctionnerait pas sur les iPhone et sur une partie des smartphones Android. Le secrétaire d'État Cédric O a lancé un bras de fer avec Apple pour que l'entreprise américaine désactive un des standards de sécurité de ces smartphones : le blocage de l'utilisation du Bluetooth en tâche de fonds.
Aucune information n'a été rendue publique au sujet du back-end, la couche logicielle responsable du fonctionnement de la base de données de l'application. Grâce à un avis publié dimanche (soit deux jours avant le débat) par la Cnil, nous savons qu'un consortium d'entreprises va se charger de son développement... et c'est tout. La communauté cryptographique, la science de protection des communications, a donc pris les devants, et émis de lourdes mises en garde. Car, quel que soit le détail de son fonctionnement, l'app risque d'être un véritable casse-tête de sécurité. Et surtout, cette prise de risque ne garantit pas un résultat certain.
Des dangers connus...
Lee 21 avril, 14 chercheurs et chercheuses français ont publié un article de vulgarisation scientifique à destination du grand public. Intitulé « le traçage anonyme, dangereux oxymore », il développe pas moins de 15 situations dans lesquelles des entreprises ou des individus abuseraient de l'application : discrimination à l'embauche, identification des malades du Covid 19, mise en quarantaine de concurrents grâce à de fausses déclarations de maladie... En conclusion, un constat sous forme de casse-tête. « Quand on fait de la sécurité, il existe toujours une tension entre anonymat et authentification », nous rappelle Anne Canteaut, cryptographe à l'Inria et co-autrice de l'article. Soit l'app garantit l'anonymat, ce qui pose des problèmes, comme la possibilité d'utiliser plusieurs téléphones, et de déclarer des maladies sans vérification. Soit elle n'offre que le pseudonymat -- on peut alors ré-identifier la personne en croisant des informations -- et les utilisateurs s'exposent alors à d'autres types d'abus (surveillance, discrimination...).
Pour la chercheuse, ce n'est donc pas très dérangeant pour le débat si nous ne sommes pas encore fixés sur certains détails techniques de StopCovid. « Ces applications ont un certain nombre de failles, qui ne sont pas liées aux détails de l’implémentation, mais au fonctionnement même du contact tracing », observe-t-elle.
... pour des bénéfices qui restent à prouver
En revanche, un autre manque d'information la dérange, car il pourrait changer l'analyse de l'app en termes de sécurité. « Nous n’avons pas l’autre élément du débat, qui est : quel est le bénéfice ? Si nos collègues épidémiologistes nous disent qu’avec une application on peut éviter des dizaines de milliers de morts, les problèmes de sécurité ne seront pas considérés de la même manière », envisage-t-elle.
La chercheuse est loin d'être la seule de cet avis. Dimanche 26 avril, plus de 140 chercheurs français ont signé une « mise en garde contre les applications de traçage », aux allures d'avis défavorable. Ils développent succinctement les risques liés à la technologie et insistent : « Il est crucial que le bénéfice sanitaire d'une solution numérique soit analysé en profondeur par des spécialistes, et suffisamment avéré et important pour justifier les dangers encourus. »
Ces doutes sur l'efficacité de l'app sont alimentés par l'exemple de Singapour, un des rares documentés, qui est loin d'avoir convaincu. Moins d'un cinquième de la population a téléchargé l'app, alors qu'il faudrait qu'environ 60 % des citoyens l'adoptent pour qu'elle soit efficace, d'après les premières études sur le sujet. Il faudrait donc pousser plus de personnes à l'adopter, tout en respectant la notion de volontariat, une des garanties avancées par le gouvernement. Est-ce seulement faisable ?
En partant de ce constat, Olivier Blazy, chercheur en cryptographie au CNRS et signataire de la mise en garde, se montre dubitatif. À Numerama, il explique : « Même s'il n'existe pas de risque nul en cybersécurité, quand nous faisons une analyse de sécurité, nous essayons d'être absolutistes. En revanche, nous pouvons faire des concessions dans nos exigences sécuritaires selon la fonctionnalité. Sauf que dans le cas de l'application de contact tracing, nous ne sommes même pas sûrs qu'elle va être accomplie. Faut-il prendre ces risques sans bénéfice assuré ? »
Le débat scientifique bousculé par des délais extrêmement courts
Le chercheur assure qu'il existe pourtant un compromis entre la volonté scientifique « absolutiste » et les « besoins de résultats » du milieu politique. Mais ce délai extrêmement court entre l'annonce et la validation du projet StopCovid lui reste en travers de la gorge : « Nous n'avons pas le temps d'avoir un débat serein. Bien sûr, nous sommes conscients qu’il faut respecter des délais plus courts que dans le milieu académique. Mais tout décider en une semaine, ce n'est pas possible. »
Le monde académique n'a pas été complètement exclu du processus de réflexion. Un laboratoire de l'Inria, Privatics, a été mobilisé pour développer le protocole ROBERT. « Mais cette équipe a été cloisonnée du reste du monde scientifique et même de l'Inria. Nous sommes nombreux à avoir appris l'existence du projet dans la presse », regrette Olivier Blazy.
Que ce soit une coïncidence ou en réaction à cette situation dans son rapport, la Cnil recommande, « afin de maximiser la qualité de la solution, que les commentaires et débats de la communauté scientifique soient pris en compte. » Mais pour l'instant, les premiers retours au sujet de ROBERT -- seule partie technique du projet rendue public -- n'ont pas fait l'objet d'une nouvelle communication, malgré plusieurs failles relevées. Quant au back-end, développé par de nombreuses pointures du secteur privé et l'Anssi, il n'a pas encore été soumis au public. Pour Anne Canteaut, rendre ce code public est pourtant une étape essentielle pour que l'app garantisse un certain niveau de sécurité, car de nombreux chercheurs tenteront de déceler des failles dans le code pour l'améliorer.
Malgré cette situation mal engagée, Olivier Blazy n'a pas encore tiré une croix sur StopCovid, à condition que son développement ne continue pas dans la même voie : « Nous espérons que beaucoup de choses vont changer dans les caractéristiques de l'app. Car en l'état, ce n'est pas possible, et il nous faut plus qu'une demi-journée pour analyser les caractéristiques. »