bas de page
 

Le traçage anonyme, dangereux oxymore

Analyse de risques à destination des non-spécialistes

Xavier Bonnetain, Anne Canteaut, Véronique Cortier, Pierrick Gaudry, Lucca Hirschi, Steve Kremer, Stéphanie Lacour, Matthieu Lequesne, Gaëtan Leurent, Léo Perrin, André Schrottenloher, Emmanuel Thomé, Serge Vaudenay, Christophe Vuillot
 

Un exemple de scénario d'attaque

L'entreprise RIPOUE souhaite recruter une personne pour un CDD. Elle veut s'assurer que le candidat ne tombe pas malade entre l'entretien d'embauche et la signature du contrat. Elle utilise donc un téléphone dédié qui est allumé seulement pendant l'entretien, et qui recevra une alerte si le candidat est testé positif plus tard.

Le traçage automatisé des contacts à l'aide d'une application sur smartphone comporte de nombreux risques, indépendamment des détails de fonctionnement de cette application. Nous sommes spécialistes en cryptographie, sécurité ou droit des technologies. Notre expertise réside notamment dans notre capacité à anticiper les multiples abus, détournements et autres comportements malveillants qui pourraient émerger. Nous proposons une analyse des risques d'une telle application, fondée sur l'étude de scénarios concrets, à destination de non-spécialistes.

Résumé

Il n'y a pas de base de données nominative des malades

VRAI

Les données sont anonymes

FAUX

Il est impossible de retrouver qui a contaminé qui

FAUX

Il est impossible de savoir si une personne précise est malade ou non

FAUX

Il est impossible de déclencher une fausse alerte

FAUX

L'utilisation du Bluetooth ne pose pas de problème de sécurité

FAUX

Ce dispositif rend impossible un fichage à grande échelle

FAUX

Contact : https://risques-tracage.fr/

   Dans le but affiché de ralentir la progression de l'épidémie COVID-19, la France envisage de mettre en place un système de traçage des contacts des malades à l'aide d'une application mobile. Les concepteurs de ce type d'applications assurent qu'elles sont respectueuses de la vie privée. Cependant cette notion reste vague. Nous souhaitons donc contribuer au débat public en apportant un éclairage sur ce que pourrait et ne pourrait pas garantir une application de traçage, afin que chacun puisse se forger une opinion sur l'opportunité de son déploiement.

   L'intérêt d'une telle application réside dans sa capacité effective à détecter les contacts à risque et à utiliser cette information de manière pertinente dans les mesures de lutte contre l'épidémie comme l'accès à des tests de dépistage ou la mise en quarantaine. N'ayant pas de compétence en épidémiologie, nous nous gardons de juger de l'impact de ces applications de traçage sur la propagation de l'épidémie. Mais cette évaluation nous semble indispensable pour mettre en balance leurs possibles bénéfices avec leurs risques.

   Notre expertise en tant que spécialistes en cryptographie, sécurité ou droit des technologies réside notamment dans notre capacité à anticiper les multiples abus, détournements et autres comportements malveillants qui pourraient émerger. À l'heure actuelle, un vif débat a lieu entre les spécialistes du domaine sur la sécurité des applications proposées, opposant souvent les applications dites « centralisées » à celles dites « décentralisées ». Indépendamment de ces considérations techniques, nous voulons alerter sur les dangers intrinsèques d'une application de traçage. À l'aide de différents scénarios concrets comme celui ci-dessus, nous présentons les détournements possibles d'une telle technologie, quels que soient les détails de sa mise en œuvre.

Xavier Bonnetain, University of Waterloo, Canada ;
Anne Canteaut, Inria ;
Véronique Cortier, CNRS, Loria ;
Pierrick Gaudry, CNRS, Loria ;
Lucca Hirschi, Inria ;
Steve Kremer, Inria ;
Stéphanie Lacour, CNRS ;
Matthieu Lequesne, Sorbonne Université et Inria ;
Gaëtan Leurent, Inria ;
Léo Perrin, Inria ;
André Schrottenloher, Inria ;
Emmanuel Thomé, Inria ;
Serge Vaudenay, EPFL, Suisse ;
Christophe Vuillot, Inria.

Paru le 21 avril 2020, mise à jour le 27 avril 2020, sur : https://risques-tracage.fr/
Le document complet (13 pages) : https://risques-tracage.fr/docs/risques-tracage.pdf

Cet article est sous licence Creative Commons (selon la juridiction française = Paternité - Pas de Modification). http://creativecommons.org/licenses/by-nd/2.0/fr/

haut de page
Association EPI
mai 2020

Accueil Articles