TousAntiCovid : L’application ferait fuiter des données

Depuis que la pandémie nous touche tous, la France a mise en place une application permettant de tracer les cas positifs au Covid et nous signaler si nous en avons croisé une.
Problème, depuis le mois de Juin, l’application collecte des statistiques d’utilisation qui permet de recouper des données transmises au serveur.

Plus les mois passent, et plus l’application s’étoffe de nombreuses fonctionnalités.

Tracage des contacts dans les lieux publics et par bluetooth, gestion du pass sanitaire, alerte en cas de cas contact, gestion des cas positifs… Trois chercheurs se sont penchés sur cette application, et ont analysé le processus de collecte des données transmises au gouvernement depuis ce mois de Juin.

Le résultat est sans appel, car selon ces chercheurs, les dernières fonctionnalités implémentées “cassent le cloisonnement entre les différents usages et met en danger les propriétés de sécurité et de protection de la vie privée offerte par les protocoles de traçage (Bluetooth & code QR).

Cette collecte de données est jugée un peu trop curieuse, car elle est déclenchée à la suite d’une série d’évènements, permettant l’enregistrement de la plupart des actions réalisées par l’utilisateur, dans des logs logiciels.
Par exemple, si un groupe d’amis va souvent au cinéma, il auront des évènements de type “lieux visités” presque en même temps. Ces informations permettent la mise en place d’un “graph social”.

Si on croise les logs du serveur Robert, celui gérant les contacts Bluetooth, avec les données du serveur de statistiques, on peut donc relier le pseudo anonyme avec l’UUID utilisé dans le journal des évènements. Le cloisonnement des données, censé empêcher l’identification d’un utilisateur, est donc totalement nul.

Pire que ça, le journal enregistre l’utilisation du “convertisseur de certificat” contenant des données nominatives.
Si ces données sont croisées avec le convertisseur de certificat, il est tout à fait possible d’identifier un utilisateur.

A propos de l'auteur

adrien

Tiraillé entre le développement, et le « journalisme », j’ai trouvé l’idéal pour allier les deux, en créant LeBlogateur.

See author's posts