https://medias.liberation.fr/photo/1315395-prodlibe-2020-0623-checknews-contacts-tel.jpg?modified_at=1590499451&width=960 — Paris, le 6 mai 2020. Reportage autour des transports à Paris pendant l'épidémie dû au coronavirus (Covid-19). Ambiance dans les rames du métro.
Photo Cyril Zannettacci. Vu pour

L’application StopCovid va-t-elle «pister tous les contacts» de nos téléphones ?

Des messages Facebook alertent sur le danger d’être «sous surveillance» si des proches utilisent l'application anti-Covid. Cette dernière n'aura pourtant aucun accès au répertoire du téléphone et la détection d'un contact prolongé ne fonctionnera qu'entre les appareils où elle est installée.

27 May 2020, 12:02 by Vincent Coquaz

Question posée par Anne le 13/05/2020

Bonjour,

Votre question fait référence à plusieurs publications Facebook qui circulent depuis début mai concernant l’application StopCovid, en cours de développement par le gouvernement français, et qui doit permettre de signaler à ses utilisateurs s’ils ont été en contact avec une personne touchée par le Covid-19. Le projet doit être soumis ce mercredi à l’Assemblée nationale, et l’application pourrait être disponible dès le week-end prochain si les parlementaires l’approuvent, selon le secrétaire d’Etat au Numérique, Cédric O.

De nombreux internautes publient ainsi ces messages pour prévenir leurs amis sur le réseau social : «Si vous installez l’application Covid-19 sur votre portable, je vous demande de me retirer de votre liste de contacts parce que cette application va rechercher tous les contacts enregistrés (et les contacts des contacts, etc.) afin de "pister" et enregistrer tout le monde et de nous mettre "sous surveillance".»

Dans un autre message, certains internautes vont jusqu’à demander à ceux qui «veulent utiliser cette application» de «bien vouloir [les] supprimer» de «toutes les plateformes de médias sociaux» et ce «avant d’installer l’application» : «Vous n’avez pas mon consentement pour utiliser mon numéro de téléphone en connexion avec votre application pour l’identification, le suivi ou la localisation de ma personne. […] Vous n’avez pas mon consentement pour m’inclure dans votre choix personnel d’utiliser ladite application et je retire tout consentement pour que vous m’impliquiez ou conserviez mes coordonnées», précise la publication en question.

En réponse à ces publications, plusieurs internautes s’inquiètent : «Mais comment puis-je savoir si une personne l’a installée et donc me protéger ?»

Une alerte venue de Suisse

L’inquiétude n’est en fait pas née en France : on trouve la trace du second message dès le 6 mai, en Suisse, alertant sur une application similaire (mais reposant sur un protocole légèrement différent du projet français) SwissCovid, qui est depuis testée à grande échelle dans le pays.

Quelques heures plus tard, on retrouve ces messages d’alerte sur des comptes français, repris mot pour mot. Dès le lendemain, ils sont partagés plusieurs centaines de fois.

Dans un cas comme dans l’autre, ces publications reposent sur une mauvaise compréhension du fonctionnement des applications de recherche de contacts Covid-19. Leur principe est en effet le même, et ne fonctionne qu’avec deux téléphones où l’application est installée. Pour faire simple, lorsque l’application sur votre téléphone détectera un contact prolongé avec un autre appareil doté de l’application, il enregistrera un identifiant (sorte de pseudonyme temporaire, généré aléatoirement) qui correspond à l’autre appareil, pour garder la trace de ce contact, et pouvoir vous notifier en cas de contamination de l’autre personne (ou notifier l’autre personne si c’est vous qui êtes contaminé).

Vous ne saurez donc en principe pas qui vous a potentiellement contaminé, ou qui vous avez pu contaminer, dans un souci de protection de la vie privée des utilisateurs. La détection du contact prolongé se fait par ailleurs grâce à la technologie Bluetooth, qui ne fonctionne qu’à très courte distance. Elle n’utilise donc ni les techniques de géolocalisation (GPS par exemple), ni le répertoire du téléphone et encore moins les contacts sur les réseaux sociaux d’une personne. Surtout, il n’y a rien à «craindre» si vous choisissez de ne pas l’installer mais que des proches font le choix inverse : votre téléphone ne communiquera pas avec le leur (et si vous n’êtes toujours pas convaincu, il vous suffit de désactiver la fonctionnalité Bluetooth de votre appareil).

A la source

Pour ceux qui veulent s’en assurer, le code source de l’application StopCovid (soit le langage informatique derrière le programme, qui permet de savoir précisément comment il fonctionne et ce qu’il peut faire ou ne pas faire) est «accessible à tous ceux qui souhaitent le consulter» depuis quelques heures, comme l’avait promis l’Institut national de recherche en sciences et technologies du numérique (Inria), qui coordonne le projet.

Il est dès lors très facile de contrôler que l’application fait bien ce qu’elle prétend faire. C’est ce qu’a fait par exemple Baptiste Robert, hacker et chercheur en cybersécurité : «La réponse est franche et définitive : l’application n’accède ni au GPS ni au répertoire téléphonique. Elle ne demande en fait que deux permissions quand on l’installe : celle d’utiliser la caméra du téléphone pour scanner des QR codes, et celle d’accéder à la localisation, qui lui permet en fait d’utiliser le Bluetooth. Cela ne veut pas dire que l’application accédera à la géolocalisation. En regardant de près le code source, on voit d’ailleurs très bien que StopCovid ne cherche pas à accéder au GPS.»

Le fait que le code source soit public garantit donc que l’application ne va pas «rechercher tous les contacts enregistrés […] afin de pister et enregistrer tout le monde» comme le craignait un des posts Facebook en question.

L’Inria a par ailleurs annoncé que le code source de l’application sera examiné par «une vingtaine d’experts répartis dans toute l’Europe» qui vont «tester la sécurité de l’application» à partir de ce mercredi. Il s’agit d’un bug bounty (soit littéralement une «chasse aux bugs»), où les hackers qui trouvent des vulnérabilités seront récompensés, pour qu’elles soient ensuite corrigées.

Enfin, l’application française repose sur le protocole dit «Robert» (Robust and Privacy-Preserving Proximity Tracing), conçu avec les Allemands de l’Institut Fraunhofer au sein d’un projet européen (PEPP-PT), censé garantir l’anonymat de ses utilisateurs.

Risque de banalisation des technologies de traçage

Reste que le projet StopCovid suscite les craintes de plusieurs associations de défense des libertés, comme le relevait Libération. La Quadrature du Net s’inquiète par exemple du risque de banalisation des technologies de traçage que permettrait l’application ou de l’ajout de «fonctions coercitives» une fois l’application déployée (comme des pénalités pour ceux qui ne l’utiliseraient pas).

La Ligue des droits de l’homme a de son côté demandé aux parlementaires français de voter contre le projet, s’inquiétant du fait qu’on puisse potentiellement retrouver l’identité d’une personne grâce au pseudonyme généré par l’application. Des détournements concrets de l’application ont également été envisagés par des chercheurs en cryptographie : une entreprise pourrait par exemple utiliser l’application pour s’assurer qu’un candidat à un poste ne tombe pas malade entre l’entretien et la signature de son contrat, en cachant un téléphone différent à proximité de chaque postulant.

Pour les opposants au projet, ces dangers sont d’autant plus regrettables que l’utilité réelle de l’application n’est pas établie. Tout d’abord, le taux d’équipement en smartphone n’est que de 77% en France. Ensuite et surtout, des limitations techniques entravent le fonctionnement de l’application sur certains appareils. Comme l’expliquait CheckNews, le système d’exploitation des iPhone bloque par exemple l’utilisation du Bluetooth pour les applications qui fonctionnent en arrière-plan sur le téléphone. En d’autres termes, sur ces appareils, l’application ne fonctionne que lorsque l’utilisateur la garde ouverte et active sur son appareil, ce qui limite énormément son potentiel.

La Cnil formule plusieurs recommandations

De son côté, la Cnil avait donné fin avril un avis favorable sur le principe d’une telle application, tout en estimant qu’elle «pose des questions inédites en termes de protection de la vie privée» et peut «créer dans la population un phénomène d’accoutumance» au traçage. La commission s’est depuis prononcée le 25 mai sur le projet de décret relatif à StopCovid. Elle constate que «l’application utilisera des données pseudonymisées, sans recours à la géolocalisation, et ne conduira pas à créer un fichier des personnes contaminées» et que «ce dispositif temporaire, basé sur le volontariat, peut légalement être mis en œuvre». Elle formulait plusieurs recommandations au passage, comme la confirmation «d’un droit à l’effacement des données pseudonymisées enregistrées» ainsi que «le libre accès à l’intégralité du code source de l’application mobile et du serveur» où sera centralisé l’historique des contacts (anonymisés).

A noter au passage qu’à l’inverse de StopCovid, le code source d’une application mobile comme Facebook, où les messages d’alertes ont été publiés, n’est pas librement consultable. Et le réseau social est régulièrement pointé du doigt pour ses pratiques douteuses en termes de protection des données personnelles.

Affirmation à vérifier

Des messages Facebook alertent sur le danger d’être «sous surveillance» si des proches utilisent StopCovid

Conclusion

L'appli ne fonctionne qu'entre deux téléphones où elle est installée

Recherchez

— ou —

Posez une nouvelle question