Interopérabilité des apps de traçage : bonnet d'âne pour la France et StopCovid

Mickaël Bazoge |

La souveraineté numérique a été un des arguments avancés par Cédric O et le gouvernement pour justifier de l'approche franco-française de StopCovid. Cette vision flatte peut-être l'égo national, mais c'est un vrai problème pour le reste de l'Europe qui a décidé de faire sans l'Hexagone. La France est en effet un des quelques pays européens à avoir choisi un modèle centralisé, contrairement à l'Italie, la Suisse, l'Allemagne, la Pologne et d'autres qui ont préféré l'API d'Apple et de Google1 et une approche décentralisée. Celle-ci autorise un certain niveau d'interopérabilité des applications entre elles, et c'est ce que la Commission européenne entend faciliter.

Bruxelles et les États membres se sont en effet mis d'accord sur un ensemble de spécifications techniques pour garantir la sécurité des échanges d'informations entre les apps de traçage nationales qui utilisent une architecture décentralisée. Concrètement, la Commission va mettre en place dans les trois semaines un « service passerelle » qui recevra et transmettra les données partagées par les apps et les serveurs nationaux de suivi des contacts.

Un test pilote débutera entre l'Allemagne, les Pays-Bas, la Pologne et l'Irlande. En Europe, la France fait quasiment cavalier seul2, ce qui l'exclut automatiquement de cette initiative visant à faciliter la vie des Européens en goguette sur le continent. Magnanime, la Commission précise que les travaux se poursuivent pour étendre l'interopérabilité aux apps de traçage centralisées. Thierry Breton, le commissaire en charge du marché intérieur, explique :

Alors que nous approchons de la saison touristique, il importe de faire en sorte que les Européens puissent utiliser l'application de leur propre pays où qu'ils se rendent dans l'UE. Les applications de traçage des contacts peuvent être utiles pour limiter la propagation du coronavirus, en particulier dans le cadre des stratégies nationales de levée des mesures de confinement.

L'absence de la France est d'autant plus dommageable que c'est la première destination touristique au monde. Cédric O, le secrétaire d'État au Numérique, avait proposé une solution assez peu satisfaisante à ce problème : télécharger les applications de traçage des autres pays…


  1. La Commission européenne dénombre 17 pays qui vont s'appuyer sur l'API Exposure Notification.  ↩

  2. Le Royaume-Uni a choisi un modèle centralisé, mais il pourrait tourner casaque et choisir finalement l'API commune. Rappelons aussi que le pays ne fait plus partie de l'Union européenne.  ↩

avatar raf30 | 

Imaginez ce qu’on aurait entendu comme betises si l’app française reposait sur l’api de Google/Apple....

avatar raoolito | 

@raf30

et oui.. la réponse est là, il ne restait qu'à trouve sur quelle question la placer.

avatar raoolito | 

dommage, dommage...
Après on peut espérer un volte-face.

Au fait, vous savez que la suède aussi fait cavalier seul ? la république tcheque aussi, la norvege ou l'islande (pas partie de l'europe ok)..
https://www.lemonde.fr/pixels/article/2020/05/14/coronavirus-en-europe-l...

et c pas l'api d'apple/google qui est utilisée..! mon dieu, la france n'est pas seule (à être un peu couillone çà c'est vrai, meme si on ne doit jamais se fier aux apparences. Demandez-vous pourquoi? - non pas pour nous tracer, c'est heureusement dans un but plus avouable, une démonstration technologique)

avatar Mickaël Bazoge | 
La Norvège a arrêté les frais : https://www.igen.fr/app-store/2020/06/grandeur-et-misere-des-apps-de-tracage-des-contacts-dans-le-monde-115639
avatar raoolito | 

@MickaëlBazoge

Oui mais ce n'etait pas l'api google apple d'apres mes souvenirs

avatar Mickaël Bazoge | 

@raoolito

Pas du tout effectivement.

avatar c0by | 

@raoolito

>Au fait, vous savez que la suède aussi fait cavalier seul ? la république tcheque aussi, la norvege ou l'islande (pas partie de l'europe ok).. et c pas l'api d'apple/google qui est utilisée..!

Très intéressant tes exemples :
- Suède: stratégie de l'immunité collective, pas de confinement avec amplification de l’épidémie. Comparé à ses voisins c’est un échec en terme de mortalité record.
Point de détail pas d’application, logique vu la stratégie mis en place face au covid dans ce pays.
https://www.lasuedeenkit.se/le-covid-19-en-suede/
- Tchèques : géolocalisation, suivi utilisation carte bancaire, ...
- Norvège : centralisée dont l’utilisation de l’application vient d’être abandonnée suite à un nombre d'utilisateurs trop faible pour rendre cet outil efficace et surtout une protection des données qui n'était pas assurée.
https://www.lesechos.fr/tech-medias/hightech/coronavirus-la-norvege-susp...
- Islande : Malgré un déploiement précoce et une utilisation massive (40%) l’application ne convainc pas : « La technologie est plus ou moins… je ne dirais pas inutile , cela n’a pas changé la donne pour nous»

Plus sérieusement la France est la première destination européenne pour les vacances avec principalement et dans l’ordre :
1- Anglais : appel d’offre en cours pour basculer sur API G/A
2- Allemand : appli sur API G/A
3- Belge : pas d’appli
4- Italiens : appli sur API G/A
5- Suisses : appli sur API G/A
L’interoperabilité enjeux essentiel pour le tourisme à été sacrifié pour, vous le dite bien, une démonstration technologique... no comment, suis sur que le secteur du tourisme apprécie pleinement ce choix.

>Demandez-vous pourquoi? - non pas pour nous tracer, c'est heureusement dans un but plus avouable, une démonstration technologique
Démonstration qui commence à tourner au fiasco vu l’adhésion anémique et la réalité sur son fonctionnement un peu en décalage avec les assurances données.
StopCovid est bien partie pour suivre le même chemin de la précédente démonstration technologique franco française « SAIP ». Que de souvenirs.

avatar raoolito | 

@c0by

Alors si la suede (a eu, j'ignore si c encore le cas) son app fin avril
Sinon je pluessoie sur le mauvais choix de la france, l'avenir nous dira si ca a ete une bonne idee ou un bon rattage ou un truc entre les deux.

avatar scanmb | 

@raoolito

Et ?..

avatar Frodon | 

@raoolito

Parce que c’est louable de faire cavalier seul pour « démonstration technologique » ?

On a pas la même vision de ce qu’est un but louable alors ;) Car pour moi c’est la plus mauvaise justification qui puisse exister.

avatar raoolito | 

@Frodon

D'abord c'est au moins une explication et puis surtout c'est a posteriori qu'on saura.
Je ne blame ni n'encense mais un petit regret pour l'idée europeenne certainement

avatar Florent Morin | 

Sans surprise : ça fait depuis le 17 avril que les Européens se sont mis d'accord. (paragraphe 52)

https://www.europarl.europa.eu/doceo/document/TA-9-2020-0054_FR.html

avatar allphi | 

Nous sommes ridicules une fois de plus .....avec une application soit disant franco-française centralisée sur des serveurs.....Microsoft !!!!!!!??????😂😂🤪🤪

avatar r e m y | 

@allphi

C'est une filiale de Dassault System qui héberge le serveur, pas Microsoft!

avatar J'en_crois Pas_mes yeux | 

@r e m y
Microsoft, c'est l'hébergement de toutes les datas santé des français, pas juste du covid.
:-(

avatar BleuRooster | 

Pour une fois que la France essai d’être indépendante! Arrêter de vouloir vous soumettre au puissance étrangère! Un peut de patriotisme & fierté serais bien venu! la France à les moyens de RE devenir une puissance la Russie, la Chine, les États-Unis, ont toujours était plus grand géographiquement/en population! pourtant ont connais la grande histoire de France!

avatar iPop | 

@BleuRooster

On a beaucoup (le mot est léger) de doutes à ce sujet.

avatar fousfous | 

@BleuRooster

Le problème c'est de vouloir être indépendant pour le plaisir d'être indépendant...
Ça n'a pas de sens de vouloir réinventer la roue.
Si un veux faire un truc dans notre coin il faut que la volonté principale ce soit de faire mieux, pas juste flatter l'ego des nationalistes.

avatar kantandane | 

@fousfous

Ça n’a rien à voir avec l’Ego, la France voulait la main sur la techno et ne pas dépendre du bon vouloir d’Apple et Google.. chose tout à fait louable.
Je ne dis pas que c’est mieux ou moins bien, mais la volonté était claire, et c’était pas de briller ou de vouloir être différent, juste de rester autonome...

avatar Caliguvara | 

@kantandane

J'irais même plus loin en disant qu'on a, au gouvernement, encore une dent contre Apple depuis l'histoire des impôts. Et que peu importe les outils offerts, il s'agissait surtout de ne PAS utiliser quelque chose qui venait pas directement de la main du gouvernement - au détriment de la qualité finale. Rien que le nombre de téléchargements de StopCovid (FR) et de la Corona-Warn-App (ALL) en dit long.

avatar fousfous | 

@kantandane

Mais justement, ne pas vouloir utiliser pour vouloir faire nous même ça ne donne pas quelque chose de bien.
Les motivations n'étaient pas bonne, si on a fait le TGV c'était pour faire quelque chose de mieux et ça a du coup été un succès. Là on a juste voulu faire les choses nous même pour faire les choses nous même et évidement ça a été un échec.

avatar marenostrum | 

succès en quoi le TVG, et échec en quoi cette application ?

avatar fousfous | 

@marenostrum

Succès parce que ça permet de traverser la France rapidement, en polluant très peu, dans un bon confort et à un prix raisonnable (enfin ça dépend des périodes surtout).
Et échec de l'application parce que pas beaucoup de monde l'ont téléchargé et que le manque d'interoperabilité va la rendre inefficace.

avatar warmac33 | 

@fousfous

Je peux difficilement te laisser dire à un prix raisonnable. Les billets ne sont pas si chers c'est vrai, mais c'est un peu vite oublié le gouffre financier qu'est la SNCF et ce que ça coûte chaque année au contribuable, et ça il faudrait pas oublier de le rajouter au prix du billet...

avatar occam | 

@fousfous

Le TGV est un bon exemple du problème.

À l’origine, c’était du franco-français pur. Quand il a commencé à desservir les lignes transfrontalières, il a fallu l’adapter, ou demander aux pays limitrophes comme l’Allemagne ou la Suisse d’adapter les voies de transit et les perrons de gare qui lui étaient destinées.
Ça a fini par marcher, mais au prix d’un sérieux effort d’adaptation des deux parties.

On voit ici à l’oeuvre le syndrome SECAM, ou le syndrome Minitel.

Quand on développe une technologie indépendante et qu’on veut l’imposer au plan international, il faut assurer la compatibilité, l’interopérabilité, l’évolutivité, et avoir des moyens crédibles d’en garantir le suivi. Ceci, quels que soient les mérites intrinsèques de la dite technologie (bien réels dans l’exemple SECAM).

C’est ainsi qu’Airbus a réussi à damer le pion à Boeing, alors que la Caravelle restait un one-off, caractéristique de la « splendid isolation of French technology » (noté dans un rapport de l’OCDE sur les perspectives de croissance en Europe après les chocs pétroliers des années '70).

avatar max351 | 

@occam

Je ne sais pas si c'est vraiment comparable. Il me semble que 1) les évolutions qui ont mené au TGV, au SECAM ou au Minitel répondaient à des besoins nationaux (la géographie dans les 2 premiers cas, et l'information dans le 3e) et 2) il y avait moins une nécessité d'être international à l'époque. Si on a exporté le TGV ou le SECAM, c'est que d'autres pays ont eu les mêmes besoins que nous. Dans ces deux cas précis, ils répondent à des problématiques réelles (comment rejoindre A et B rapidement, ou comment envoyer un signal de qualité sur de longues distances).

Ici, il n'y a pas vraiment de besoin national auquel l'API G/A ne répondrait pas. C'est un choix qui parait plutôt politique (sans le critiquer).

avatar Florent Morin | 

Concevoir une app qui va s'installer sur des appareils Apple / Google implique une dépendance de fait. On ne profite pas du savoir faire des autres en matières de conception de smartphones sans en payer le prix.

Si on veut être indépendant, on fournit à la population des bracelets électroniques.

C'est comme si un éditeur de jeu vidéo sur Switch ne voulait pas dépendre de Nintendo.

avatar kantandane | 

@FloMo

Oui enfin y’a dépendance et dépendance .. entre baser une app pour ta population sur du code 100% géré par une boite, et dev ton app et la mettre sur une plateforme y’a un monde...
C’est utopique d’imaginer développer, produire et délivrer un bracelet à tout le monde dans le temps dont ils disposaient.

Quand à dire que c’est un échec, 2 millions de téléchargement c’est pas assez pour l’efficacité du truc, mais c’est bien loin d’être un échec.

Comme d’hab quand le gouvernement suit les autres ça râle, quand il tente un changement ça râle. Parfois faut peut être se remettre un peu en question (cette dernière partie s’adresse à tous, pas a toi @flomo)

avatar Florent Morin | 

@kantandane

Un échec ou un succès, on en jugera dans quelques mois.

avatar Frodon | 

"Oui enfin y’a dépendance et dépendance .. entre baser une app pour ta population sur du code 100% géré par une boite, et dev ton app et la mettre sur une plateforme y’a un monde..."

Oui et l'API Apple/Google est au juste milieu de ces deux cas extrême que tu indiques.

En effet, l'API Apple/Google ne fournit qu'une API et non une solution complète, qui se charge de gérer les éléments suivants:

- Gestion de la problématique du bluetooth en background
- Génération des clés anonymes directement dans le téléphone
- Stockage des clés anonymes des contacts directement dans le téléphone
- Envoi de tes clés anonymes au serveur de l'autorité de santé locale si tu te signale comme testé Covid+
- Récupération des clés testés Covid+ depuis le serveur de l'autorité de santé
- Affichage de la notification si tu as été en contact avec une clé testé Covid+

Il reste donc à la charge de l'équipe de développement de l'app:

- L'UI et l'UX de l'app
- La partie serveur qui stocke les clés testés Covid+ (qui est libre d'être implémenté comme bon leur semble, centralisé, décentralisé (blockchain (publique/privée)), open source, closed source)
- La programmation en utilisant l'API Apple/Google

Comme on voit, quasiment tout est fait dans le téléphone avec cette API, seul les testés Covid+ sont externalisés mais de façon indépendante de Apple/Google.

Après on peut être complotiste et penser qu'Apple/Google mentent peut être et qu'ils collectent peut être des données sans l'avoir dit. Mais on peut l'être tout autant de la part d'un gouvernement.

Mais si on met de côté toute théories complotistes, sur le papier la solution d'Apple/Google est bien plus respectueuse de la vie privée que le protocole ROBERT, comme l'explique très bien Nadim Kobeissi, docteur en cryptographie et sécurité : https://nadim.computer/posts/2020-05-27-stopcovid.html?fbclid=IwAR3pRRjz...

avatar J'en_crois Pas_mes yeux | 

@frodon
J'ai bien du mal à comprendre tout ce "bruit" autour de l'indépendance national :

"Centraliser les données de santé sur une plate-forme unique gérée par Microsoft génère un risque accru de piratage ainsi qu’une perte d’efficacité, estime, dans une tribune au « Monde », le haut fonctionnaire Christian Babusiaux."

https://www.lemonde.fr/idees/article/2020/06/04/la-politique-publique-de...

avatar J'en_crois Pas_mes yeux | 

Si cela intéresse : l'article du Monde dans son entier :
http://cerclereformeetat.eu/uploads/attachments/2dcb43b14474eebdf16b4650...

avatar Florent Morin | 

@Frodon

Précision technique concernant l’API Apple / Google.

Les données échangées en Bluetooth, les fameux pseudonymes, sont chiffrées via des clés.

Les pseudonymes permettent le diagnostic. (Une fois déchiffrés)
Les clés permettent le chiffrement.

Ce qui est échangé via serveur, ce sont uniquement les clés et leur périodes de validité. Et uniquement celles utilisées pour des contacts à risque.

Aucune information réellement sensible ne transite.

Dans l’échange Bluetooth, il y a :
- le pseudonyme généré à partir d’une clé
- des données chiffrées avec une autre clé (version du protocole, puissance du signal)

Dans la clé de diagnostic envoyée sur le serveur :
- la clé temporaire utilisée pour générer d’autres clés (celle du pseudonyme et celle des données chiffrées)
- la période de validité de la clé.

En gros, l’information envoyée est : « entre telle heure et telle heure, j’ai utilisé telle clé pour chiffrer des données »

Quelle donnée ai-je fourni ? Quel était la puissance du signal ? À quelle fréquence ai-je croisé des personnes ? À quelle distance étions nous ? Tout ça est stocké sur les appareils.

Et c’est suffisant pour un diagnostic. 😁

https://www.apple.com/covid19/contacttracing/

avatar byte_order | 

@FloMo
> C'est comme si un éditeur de jeu vidéo sur Switch ne voulait pas dépendre de Nintendo.

Interessante remarque, vu que beaucoup d'éditeur de jeux vidéo font justement en sorte d'avoir un code le plus portable possible afin de réduire leur dépendance à une seule plateforme, pour ne pas mettre tous leurs oeufs dans un meme panier.

Y'a très peu d'éditeur qui ne font qu'une plateforme de jeu, sauf celles qui sont des succursales des fabricants de console.

avatar iPop | 

@kantandane

Ça dépend du point de vue. Comme l’information n’est plus partagée, la France pourra dire des chiffres ce qu’elle veut, un peu comme au Brésil.

avatar occam | 

@iPop

"un peu comme au Brésil"

Joli 😆.
Mais pour parvenir au même niveau d’intransparence, il faudra redoubler d’efforts.
Même si je ne doute pas que l’O'Cedric soit doué pour.

avatar J'en_crois Pas_mes yeux | 

@ kantandane
Indépendance : Bullshit.
Si Cédric 0 est intéressé par l'indépendance des datas françaises (j'applaudis) qu'il ait la cohérence de combattre le projet du gouvernement d'héberger chez Microsoft l'ensemble des datas santé des français.
"article journal Le Monde : La politique publique des données de santé est à réinventer"
le gouvernement a fait le choix d'héberger sur les serveurs(...) "Microsoft disposerait des clés de chiffrement des don­nées" le nouveau système, le Health Data Hub (HDH)"

avatar byte_order | 

@J'en_crois Pas_mes yeux

D'une, je rappelerais que cela n'est pas le cas de StopCovid : les serveurs sont chez une succursale de Dassault.

D'autre part, l'un des bonus inattendu de cette polémique sur StopCovid c'est justement qu'elle va lever un peu plus de contestation de cette décision de choisir, sans appel d'offre je crois, un hébergeur étranger pour des données de santé des français. L'incohérence aura le mérite de relancer le débat sur le besoin d'un hébergement souverain, au moins au niveau de l'UE. C'est pas comme si on n'avait pas les compétences en Europe pour faire ça, en plus...

avatar byte_order | 

@iPop

Euh, le compteur de téléchargement du PlayStore est toujours accessible, et n'est pas sous le contrôle de la France.
Côté iOS, c'est Apple qui a retiré depuis très longtemps ce compteur, la France n'y est pour rien.

avatar aspartame | 

on peut avoir quelques doutes sur la question.

en ce qui me concerne , je pense qu'il s'agit avant tout d'un problème dégo , mais pas forcément national. ...

.... je ne vise personne bien sur

avatar raoolito | 

@aspartame

Si si les deux sont souvent lies je trouve :)
L'ego national peut être flatté a peu de frais parfois

avatar yoyo3d | 

@BleuRooster

L indépendance de la France on l attendait sur les masques par par rapport à une application qui n est pas compatible avec les apps de nos voisins. 6 millions de téléchargement pour l application allemande moins de 2 millions pour stopcovid. Belle réussite franco française et une belle gabegie à la française.

avatar Inconnu-Soldat | 

La grande différence avec l’Allemagne c’est que là-bas il n’y a pas une cohorte d’hommes politiques, de journalistes, de MacG pour taper sur l’application jour et nuit. Car en fait ce n’est certainement pas, sinon à l’extrême marge, le choix API ou non qui aura fait la différence de téléchargements. C’est la discipline plus marquée en Allemagne, mais surtout la cohésion politique où tous ont poussé dans le même sens alors qu’en France les Le Pen, Mélenchon, LR, PS, PC additionnés des journalistes « engagés » et de tous les complotistes et autres Raoultiens on tiré pendant deux mois à boulets rouges sur StopCovid. Et comme tous les voyous qui frappent une victime l’accusent ensuite d’avoir été frappée.

avatar scanmb | 

@Inconnu-Soldat

À vous lire: tous les autres sont ignares, intolérants et ne connaissent rien ? En résumé, très léger.
J’allais omettre: et font du french bashing ( peut-on traduire par : rabaissent les français ou les « dégomment «  ?)
C’est bien ça ?

avatar Inconnu-Soldat | 

@ scanmb
Ah bon. Vous êtes madame Irma ? Vous lisez ce qui n'est pas écrit ?
Tout est faussé dans cette histoire contre StopCovid.
Tous les articles de MacG sont de mauvaise foi et orientés. Ils ne tiennent pas compte de réalités incontournables qui sont que :
- pour cette interopérabilité hypothétique, il n'y a ici que quatre pays et pour le futur et pour une interopérabilité potentielle mineure, 4 sur une trentaine !
- sur les 30 pays de la zone européenne y compris la Suisse et le RU, les applications avec l'API sont extrêmement minoritaires. Il n'y a que 20 pays dans le monde qui l'ont téléchargée et on n'a même pas la liste. La majorité est donc ailleurs. comment ignorer ce fait ?
- il y a l'Espagne, le Portugal, la Grèce et la France quatre pays qui couvrent sans doute plus de 70 % du tourisme de l'été et cet article n'en fait pas mention et tape sur la seule France. Commente est-ce intellectuellement et ethniquement possible ?
- les contempteurs de StopCovid, ceux surtout qui trouvent l'application inutile, trouvent le moyen de gueuler contre la non interopérabilité de StopCovid (alors que c'est aussi le cas pour l'application suisse) ce qui est un non sens puisque c'est inutile
- StopCovid pourra être mis à jour et il y a des protocoles en cours de développement qui permettraient justement l'interopérabilité. Pourquoi n'en parle-t-on pas ?

avatar Christophe Laporte | 

@Inconnu-Soldat

Il y a eu une pétition de plusieurs centaines de chercheurs et des associations de défense de liberté pour que l’app n’utilise pas une architecture centralisée. Le sujet au contraire a été beaucoup plus pris au sérieux que chez nous

avatar Florent Morin | 

@Inconnu-Soldat

Il ne faut pas oublier que l’Allemagne a fait le choix d’une approche décentralisée parce que le peuple n’avait aucune confiance en l’approche centralisée.

D’où l’acceptation aujourd’hui. Mais c’était loin d’être gagné avec ROBERT.

avatar byte_order | 

@FloMo
> parce que le peuple n’avait aucune confiance en l’approche centralisée.

Et parce que l'Allemagne est une *fédération*.
Alors que la France et les français sont encore très jacobins. Il suffit de voir à quelle vitesse ils râlent quand rien ne vient de Paris, même pour des sujets purement régionaux...

Merci de ne pas oublier ce détail.

avatar occam | 

@Inconnu-Soldat

« C’est la discipline plus marquée en Allemagne, mais surtout la cohésion politique où tous ont poussé dans le même sens »

Certainement pas.

Si différences il y a à ce niveau entre la France et l’Allemagne, elles concernent deux aspects : la responsabilité civique, et le partage des responsabilités politiques.

Les citoyens étant appelés à exercer leurs prérogatives régulièrement, à plusieurs niveaux, du local au national en passant par des niveaux intermédiaires, ils ont intériorisé le principe de la subsidiarité, en entreprise comme en politique comme dans la société civile. (Sauf en ex-RDA. 60 ans de dictatures y ont pourri les structures sociales.)

La où un consensus se forme, il émerge pour ces raisons.

De même parmi les politiques. À tous les niveaux, tous les partis, sauf l’extrême-droite imprégnée de néo-nazisme, ont dû apprendre à travailler ensemble. À leur corps politique défendant.
Là encore, si un consensus se forme, il émerge par « la force des choses », comme dirait Saint-Just.

Alor même que la fameuse cohésion de l’après-guerre s’est effritée.

C’est dingue comme le principe de responsabilité confronté aux réalités force à estomper les parti-pris idéologiques.

Pages

CONNEXION UTILISATEUR