StopCovid : une analyse tout ce qu’il y a d’impartial

Dans mes deux précédents articles [1] sur ce sujet, je mentionnais déjà les alertes de certains journaux (Le Monde de fin avril, Libération dans son numéro du 27 avril, la tribune au vitriol sur la Quadrature du Net [2] qui titrait « StopCovid est un projet désastreux piloté par des apprentis sorciers »). Et surtout, le 26 avril, une tribune [3] signée par des dizaines de spécialistes et experts (universitaires, chercheurs, etc.) en crypto alertait encore sur le fait qu’aucune garantie digne de ce nom concernant l’anonymat ne pouvait être apportée, tant on sait les possibilités de corrélations entre des sources de données a priori anonymes mais qui, une fois croisées, dévoilent rapidement l’identité des personnes.

Pour ce qui concerne le volet efficacité, c’est la bouteille à l’encre. Certes, dans le numéro du 26 avril de L’Opinion, certains officiels affirmaient que « les épidémiologistes sont clairs : l’intérêt sanitaire d’un tel dispositif est prouvé quel que soit le niveau d’installation », mais sans citer leurs sources. En dehors du fait qu’il n’y a pas – à ma connaissance – de modèle mathématique qui confirme cette analyse (il semblerait plutôt qu’au-dessous d’un taux d’adoption de 60 % l’appli est inutile, comme en témoigne un article de Reflets [4]), il se trouve que depuis avril nous avons un peu plus de recul sur cette question de l’efficacité. Publié le 30 mai dernier, un très intéressant article sur le site de France Inter [5] revient sur le retour d’expérience d’autres pays. À Singapour – pays pourtant hautement connecté –, seulement 15 % de la population a installé l’application équivalente, un taux bien trop faible pour la rendre efficace. En Islande, Gestur Pálmason, un responsable chargé du traçage, affirme : « La technologie est plus ou moins… je ne dirais pas inutile. Je dirais que [Rakning] s’est avérée utile dans quelques cas, mais n’a pas changé la donne pour nous. » En Australie, avec un taux d’installation de 20 %, l’application n’a permis d’identifier… qu’une seule personne infectée !

Revenons sur les aspects de confidentialité. Le modèle StopCovid est centralisé, et de fait forcément moins « sécure » qu’un modèle décentralisé où les données ne quittent pas le smartphone. C’est en tout cas l’avis de Guillaume Rozier, le créateur de la plateforme CovidTracker [6], et c’est aussi celui des spécialistes de la cyber, qui vous expliquent qu’une application de messagerie sécurisée telle Signal (qui est pourtant un modèle du genre), du fait qu’il existe un serveur central, sera forcément moins sécurisée qu’Olvid (qui repose sur un modèle totalement décentralisé).
Il est d’ailleurs très intéressant de consulter le site https://risques-tracage.fr/, qui déroule quelques cas d’usage très simples, lesquels permettent, avec peu de moyens, de savoir si une personne en particulier est porteuse du Covid-19 (dans l’hypothèse où elle aurait installé StopCovid, mais aussi un équivalent en mode totalement décentralisé). Je conseille fortement la lecture du document publié sur ce site : au travers de 15 scenarii plus ou moins alambiqués, les auteurs démontrent qu’il existe de nombreux cas où il est possible de savoir si un candidat à un entretien d’embauche ou l’un de vos voisins de palier est infecté, voire de pourrir totalement la vie de vos collègues de travail en déclenchant une fausse alerte de contact avec une personne infectée. Et encore, c’est sans parler des malfaisants de tout poil qui voudraient faire un chantage au faux déclenchement ni d’éventuelles dérives étatiques qui conduiraient à y associer la géolocalisation. On est vraiment, vraiment, vraiment sûr que cela ne se produira jamais ? Vraiment ?

L’argument selon lequel le refus d’Apple et Google de se plier aux desiderata des responsables français aurait un impact sur la souveraineté et la confidentialité des données est de plus inexact, les deux éditeurs ayant publié des API sur le modèle décentralisé. Pour Tariq Krim, le créateur de Netvibes et ancien vice-président du Conseil national du numérique, Apple « est dans son rôle en refusant qu’un logiciel, quel que soit son créateur, prenne le contrôle du téléphone sans que l’utilisateur en soit pleinement conscient ». Sur la question de la souveraineté d’ailleurs, chacun pourra juger : les données de StopCovid et de SI-DEP seront déversées dans le Health Data Hub, qui est hébergé… sur les infrastructures de Microsoft (l’entreprise est soumise au Cloud Act, malgré la considérable énergie marketing qu’elle déploie pour convaincre du contraire).

Bon, pour ceux qui restent persuadés que le graphe des contacts anonymes est lui-même sans impact sur la vie privée, je renvoie vers le dernier numéro du Comptoir Sécu [7] : en analysant les données contenues sur la plateforme Untappd Beer App (un site communautaire d’amateurs de bières), des chercheurs [8] ont pu reconstituer une partie de l’organigramme du haut commandement militaire américain. Bref, on espère juste que StopCovid ne suivra pas le même chemin que la Hadopi, qui vient d’être déclarée anticonstitutionnelle… dix ans après[9].

[1] /article/3762/stopcovid-cas-d-ecole-de-la-gestion-de-projet-defaillante.html ;

/article/3771/covid-19-quand-viendra-le-temps-du-bilan-sur-le-volet-si.html 

[2] https://www.laquadrature.net/2020/04/25/stopcovid-est-un-projet-desastreux-pilote-par-des-apprentis-sorciers/

[3] https://attention-stopcovid.fr 

[4] https://reflets.info/articles/stopcovid-une-application-qui-masque-tres-bien-les-vrais-debats 

[5] https://www.franceinter.fr/application-stopcovid-accouchee-dans-la-douleur-et-une-efficacite-deja-remise-en-cause 

[6] https://covidtracker.fr/covidtracker-france/ 

[7] https://www.comptoirsecu.fr/sechebdo/sechebdo-19-mai-2020-r2/ 

[8] https://www.bellingcat.com/news/2020/05/18/military-and-intelligence-personnel-can-be-tracked-with-the-untappd-beer-app/ 

[9] https://www.clubic.com/pro/legislation-loi-internet/hadopi/actualite-1716-clap-de-fin-pour-hadopi-le-conseil-constitutionnel-declare-ses-pouvoirs-contraires-a-la-constitution.html