Allemagne : l'API Exposure Notification d'Apple et de Google est kaputt 🆕
Oups. L'API Exposure Notification est confrontée à de sérieux problèmes sur iOS en Allemagne. Le Tagesschau rapporte le cas d'utilisateurs d'iPhone chez qui l'application Coronava-Warn-App n'a pas réalisé de vérification des contacts pendant dix jours. Autrement dit, si ces personnes ont rencontré des personnes s'étant déclarées positives au coronavirus durant cette période, elles n'ont pas été prévenues et elles n'ont donc pas pris les précautions sanitaires qui s'imposaient dans ce cas (test et quarantaine).
L'application est censée télécharger régulièrement (au moins toutes les 24 heures) et en tâche de fond les clés anonymisées des personnes testées positives dans sa région. En cas de contact de plus de 15 mn, l'utilisateur reçoit une notification lui indiquant la marche à suivre. Sauf que dans le cas de Coronava-Warn-App — mais des cas similaires se sont produits en Suisse, Italie et en Autriche —, il y a comme un os avec le téléchargement des clés en arrière-plan.
Selon les développeurs, en l'absence de mise à jour en tâche de fond, l'utilisateur n'est informé d'un risque de contamination que s'il ouvre l'application. Or, le principe d'une telle app est de la laisser faire son petit bazar sans avoir à la lancer régulièrement.
Le problème a été repéré il y a une semaine environ. Apple a été prévenu et, selon la publication, le constructeur a admis l'erreur. Il y a donc bel et bien un bug dans iOS. Le ministère de la Santé allemande explique que « les développeurs travaillent d'arrache-pied pour contourner les restrictions liées au système », mais ils sont pieds et poings liés à Apple, qui doit mettre à jour iOS. SAP, co-éditeur de l'application avec l'institut Robert-Koch, est convaincu que « d'ici la semaine prochaine » une solution « temporaire » sera trouvée. Ce bogue toucherait également des apps dans d'autres pays utilisant l'architecture d'Apple.
Sur Android, les développeurs se sont rendus compte que l'application cessait tout simplement de fonctionner en tâche de fond… Plutôt embêtant pour une app censée suivre les contacts en tout temps ! Fort heureusement, une mise à jour disponible depuis ce mercredi règle le problème.
Au passage, l'application a fait son apparition sur l'App Store français, ce qui ne sera pas inutile pour les frontaliers ou ceux qui comptent passer quelques jours de vacances outre-Rhin. En espérant que le gros bug iOS soit corrigé d'ici là…
Selon Bild, le problème sur Android concernait essentiellement des appareils Samsung et Huawei, les deux constructeurs s'arrogeant près de 60% du marché allemand. SAP, ne sait pas quantifier exactement le nombre de terminaux qui sont restés sur la touche pendant des semaines.
Android dispose d’un mécanisme permettant de bloquer les applications qui sont trop gourmandes en tâche de fond. C’est apparemment le même problème auquel avaient fait face les développeurs d’Orange lorsqu’ils travaillaient sur un prototype, avant le lancement du chantier StopCovid (lire : Le succès de StopCovid est aussi compromis par les protections d’Android).
Si l'application allemande s’offre actuellement une mauvaise campagne de publicité, ce problème était pourtant listé depuis des semaines sur la FAQ du site de l’application avec une série de manipulations à opérer dans les réglages d’Android pour contourner le problème… Ce qui est étonnant, c’est que d’une part, il a fallu des semaines à l'éditeur pour régler le problème, et d’autre part, que ce souci ait lieu alors que l'application utilise la technologie mise au point par Apple et Google. Or, celle-ci vise justement à éviter ce genre de tracas !
Mise à jour — Une solution « provisoire » a été mise au point au travers de la mise à jour 1.1.2. Elle contourne les restrictions liées à iOS, jusqu'à ce qu'Apple résolve le problème. Le ministère de la Santé conseille aussi de lancer l'app régulièrement pour éviter le problème d'absence de mise à jour en arrière plan.
@FloMo
Je dirais, pouvoir facilement affiner l’algorithme et pas seulement les paramètres choisis par Apple et Google, pouvoir faire des stats. Et plus globalement ne pas confier ce genre de sujet à des mastodontes étrangers. Ce n’est pas parce que on ne peut avoir la main que sur une petite partie du système qu’il faut du coup tout abandonner.
@francoismarty
Objectivement, c’est de la pure idéologie là où on a plutôt besoin d’efficacité.
Mais on verra bien où ça nous mène de se fermer au reste du monde.
@FloMo
Depuis le début on ne peut pas vraiment dire que vous fassiez dans l’objectif.
Oui, mais pour l’instant on ne peut pas dire que les résultats soient probants quel que soit le choix.
@francoismarty
> Depuis le début on ne peut pas vraiment dire que vous fassiez dans l’objectif.
C’est sans doute pour cela que je suis quasiment le seul à répondre à l’ensemble des questions posées. Le tout appuyé par des sources, qui sont en général les documents d’origines et non des propos rapportés.
@FloMo
Ne montrer que les avantages d’un solution et tout faire pour railler l’autre solution sans aucun discernement, on ne pas dire que ce soit objectif, c’est ce qu’on vous reproche à vous et à la rédaction depuis le début. D’autres sites ont su le faire pas Macg. C’est surtout un problème de forme.
@francoismarty
> Ne montrer que les avantages d’un solution et tout faire pour railler l’autre solution sans aucun discernement, on ne pas dire que ce soit objectif, c’est ce qu’on vous reproche à vous et à la rédaction depuis le début. D’autres sites ont su le faire pas Macg. C’est surtout un problème de forme.
Beaucoup de sites ont en effet pris pour argent comptant le contenu des communiqués du gouvernement.
MacG a préféré vérifier l’information, notamment cette histoire de diagnostic qui se promenait d’appareil en appareil avec la solution G/A.
Et tout l’argumentaire lié à la vie privée qui ne semblait pas tenir la route par rapport aux spécifications fournies par Apple.
Ainsi que la notion de souveraineté nationale qui semblait en opposition avec le vote parlementaire au niveau européen privilégiant une solution décentralisée.
C’est un parti pris.
Et, après les révélations de Mediapart qui ont amené à une réévaluation de la solution par la CNIL (sic!), les différentes alertes des chercheurs en sécurité, les résultats du bug bounty (Orange venait de déclarer que l’app était la plus sécurisée possible), et en parallèle l’adoption de G/A en Europe et la publication en open-source de la solution... et bien je pense que côté MacG il n’y a pas à regretter d’avoir vérifié les informations avant de les publier.
Contrairement aux sites qui ont repris notamment que G/A faisait passer les diagnostics médicaux entre appareils, que StopCovid était quasiment impossible à pirater (avant le bug bounty), etc.
Tout le contenu de MacG a été vérifié. S’il y a eu des inexactitudes, elles ont comme à l’habitude été rectifiées.
D’ailleurs, le présent article montre que MacG a un œil critique sur le sujet. Sinon, cet article ne serait pas paru.
@FloMo
Je continue à penser que tout a été exagéré évidemment toujours dans le même sens, décridibiliser le gouvernement. Mais c’est l’époque qui veut ça, les développeurs au sens large se pensent les stars de notre temps. Heureusement ils ne dirigent pas le pays.
Quant à Macg, je saurais à quoi m’en tenir à l’avenir.
@francoismarty
> Je continue à penser que tout a été exagéré évidemment toujours dans le même sens
Exagéré par MacG seulement, ou aussi Mediapart, les chercheurs, les experts en sécurité, la CNIL, les états membres du parlement européen (qui ont aussi expliqué pourquoi ils préféraient la solution décentralisée) ?
@FloMo
Il y a une différence entre expliquer et préférer une solution à démolir exagérément l’autre solution sans même expliquer pourquoi les choix ont été faits. Il vaut mieux parler de complot et de mensonge comme vous le faites c’est bien plus pro.
@francoismarty
> Il y a une différence entre expliquer et préférer une solution à démolir exagérément l’autre solution sans même expliquer pourquoi les choix ont été faits.
On n’a jamais vraiment compris le choix de ROBERT.
L’histoire de la souveraineté n’a objectivement aucun sens dans le contexte d’une app mobile.
À la limite, le cloud souverain : OK, ça peut quasiment être construit de A à Z en s’appuyant sur du 100 % open-source.
Mais une app mobile s’appuie sur les API du système et fonctionne dans un environnement « sandbox » (bac à sable). Donc l’aspect souverain est ridicule.
Il y a aussi la souveraineté au sens politique : mais le parlement européen avait déjà voté pour une solution décentralisée. Donc l’argument « l’Europe d’abord » tombe à l’eau.
Je pense qu’on s’est obstiné en se disant que toutes les solutions se valent.
Et beaucoup d’orgueil car, lorsque le monde entier abandonne l’idée des solutions centralisées, en France on se dit qu’on est bien meilleurs que le reste du monde !
@francoismarty
> Il vaut mieux parler de complot et de mensonge comme vous le faites c’est bien plus pro.
Le mensonge, oui, je l’ai dit. Car ce sont des mensonges qui ont été avancés pour expliquer le refus de G/A : l’équivalent d’un diagnostic médical qui circule, les failles qui existeraient déjà sur Internet, etc. Quand on ne dit pas la vérité, c’est soit une erreur, soit un mensonge. Vu qu’a priori ils sont entourés d’experts, ça ne peut être qu’un mensonge. Ou alors leurs experts n’en sont pas. Soit l’un, soit l’autre.
Mais ça, c’est moi à titre perso.
Pour le complot, je ne vois pas le rapport. Complot contre qui ? La population ? L’Europe ? Les GAFAM ? Le bon sens ?
Non. Je n’ai pas le souvenir d’un complot évoqué dans les lignes de MacG.
@FloMo
J’en terminerai là cette discussion sans fin. Présenter uniquement les éléments qui vont dans notre sens, c’est de la désinformation et pas du journalisme.
Il y a pourtant quantités d’articles qui auraient équilibré vos propos.
@francoismarty
C’est du parti pris éventuellement, pas de la désinformation. Car, contrairement aux communiqués officiels, il n’y a pas de fausses informations dedans.
@FloMo
Ce n’est pas « éventuellement ».
Cacher une partie de l’information revient à mentir par omission.
Vous ne donnez pas au lecteur la possibilité de se faire sa propre opinion puisqu’il n’a pas tous les éléments.
C’est d’autant plus grave que vous êtes associé à la rédaction. Si je vais sur le site du Monde par exemple, je vais naturellement croire plus facilement un journaliste qu’un commentateur lambda.
Ce que j’aimerais comprendre c’est pourquoi ce sujet de StopCovid vous tient à vous et à d’autres geeks (sans connotation péjorative) autant à coeur.
Pourquoi cracher autant dans la soupe ? Pourquoi ne pas relayer les informations de personnes comme Symich qui ont participé au développement de l’application ? Pourquoi ne pas proposer son aide silencieusement pour faire avancer le projet sans que tout le monde le sache ? Vous avez essayé, vos remarques n’ont pas été prises en compte et ça vous a vexé ?
J’espère que vous déploierez à l’avenir autant d’énergie pour vérifier la sécurité des systèmes bancaires, assurances et autres systèmes de santé qui contiennent bien plus de données sensibles que cette petite application StopCovid.
@francoismarty
> Pourquoi cracher autant dans la soupe ? Pourquoi ne pas relayer les informations de personnes comme Symich qui ont participé au développement de l’application ? Pourquoi ne pas proposer son aide silencieusement pour faire avancer le projet sans que tout le monde le sache ? Vous avez essayé, vos remarques n’ont pas été prises en compte et ça vous a vexé ?
J’espère que vous déploierez à l’avenir autant d’énergie pour vérifier la sécurité des systèmes bancaires, assurances et autres systèmes de santé qui contiennent bien plus de données sensibles que cette petite application StopCovid.
Pour l’histoire de la soupe, je crois que c’est un peu StopCovid qui crache dedans quand on lui offre une solution clés en main qui correspond aux exigences européennes. (Contrairement à StopCovid d’ailleurs...)
Pour le reste des questions :
- pour SyMich, ce n’est pas à moi qu’il faut poser la question
- qui dit que je n’ai pas aidé le projet avant qu’il ne soit en open-source ? (Après, évidemment, j’ai utilisé les issues prévues à cet effet)
- mes remarques ont été ignorées (presque moquées) avant le bug bounty puis intégrées après : ça c’est du classique, donc ça me fatigue plus que ça me vexe.
Et, bien entendu, considérer que StopCovid est peu risqué en matière de vie privée est une énorme erreur. D’ailleurs, la CNIL l’a rappelé : on est dans le cadre RGPD.
Ceci étant, dans certaines assurances, j’ai entendu le même discours plusieurs fois.
Même sur de la santé : « Nan, mais tu ne comprends pas : ce n’est pas vraiment une information confidentielle. ».
Ce n’est pas une position de « geek », c’est juste que la vie privée est un sujet sérieux. Et en France, on s’en soucie après avoir subi les conséquences.
Comme les multiples attaques informatiques encore ignorées en ce moment. (Boursorama est un des derniers en date sur une courte période)
Mais ça aussi, c’est un truc de « geek ».
@FloMo
Comment peut-on affirmer que le sujet de la vie privée n’est pas pris au sérieux par l’équipe en charge du projet ?
Pour Symich, facile de rejeter la faute sur Macg, alors que dès qu’il intervenait, vous essayiez de le discréditer, parce que vous savez tout sur tout.
Vous êtes un simple développeur, vous n’avez pas à gérer une crise sanitaire et à prendre des décisions difficiles en la matière. Merci de rester à votre place.
@francoismarty
> Comment peut-on affirmer que le sujet de la vie privée n’est pas pris au sérieux par l’équipe en charge du projet ?
Je ne parle pas des développeurs mais des décideurs. Le fait de privilégier une solution souveraine plutôt que respectueuse de la vie privée en dit long.
Sinon, je pense que SyMich est trop occupé à travailler sur la compatibilité. Selon ses derniers commentaires, les travaux étaient en cours.(11/06)
On devrait bientôt en savoir plus.
Je suis assez impatient d’ailleurs car le challenge technique est un vrai tour de force.
Espérons que G/A soit intégré avant le retour de la pandémie ou, a minima, qu’une version alternative est prête.
Sinon, ça va devoir être géré dans l’urgence.
@francoismarty
J'imagine qu'on peut affirmer que le sujet de la vie privée n'est pas pris au sérieux par l'équipe en charge du projet de la même manière qu'on afirme que l'application "fonctionne très mal" (sans aucune preuve), que Cédric O a "reconnu que l'application fonctionne très mal" (ce qui est faux), que des "données médicales ont été piratées" (sans aucune preuve) ou qu'on ignore/minimise les problèmes de l'API d'Apple et de Google : en abandonnant toute objectivité du fait d'une rancoeur personnelle suite à une mauvaise expérience avec les personnes impliquées dans le développement de StopCovid.
Pour ce qui est de SyMich, j'ai bien peur qu'elle ne revienne plus sur le sujet, la dernière fois elle semblait bien dégoûtée par le traitement totalement partial de MacG. :-(
@webHAL1
Vous avez bien résumé 😀
Oui dommage pour Symich elle aurait eu des choses intéressantes à dire mais elle aurait contrarié monsieur je sais tout.
@francoismarty
Et donc, côté G/A :
- compatibilité renforcée entre États
- compatibilité matérielle renforcée
- améliorations de l’algorithme suite aux demandes des organisations de santé.
https://www.igen.fr/app-store/2020/07/lapi-dapple-et-de-google-facilite-linteroperabilite-des-apps-de-tracage-des
Une mise à jour ne devrait pas tarder côté StopCovid. 😁
@FloMo
C’est positif mais tout cela n’était, il me semble, pas prévisible à l’époque.
@francoismarty
La compatibilité entre serveurs est là depuis la première version. Cf. Historique du code serveur de démo proposé par Google.
Par contre, un peu galère à mettre en place, notamment car G/A sont tiers de confiance pour la distribution des clés permettant de vérifier la signature des clés de diagnostic.
La partie G/A a du être actualisée pour simplifier la collaboration. Ça ne doit rien changer côté app.
Pour la compatibilité matérielle, côté Android surtout, ça doit être une collaboration avec les constructeurs pour améliorer les choses.
Le Bluetooth est peu précis et nécessite des ajustements du signal pour gagner en précision à ce que j’ai compris.
@francoismarty
Et voilà pourquoi on ne s’est pas emballé suite aux propos de SyMich qui assurait que la compatibilité était prévue.
https://www.bfmtv.com/economie/coronavirus-l-ue-va-rendre-compatibles-18-applis-nationales-de-tracage-a-l-exception-de-stop-covid_AD-202008030027.html
Et donc, @SyMich le 17/06/2020 à 21:41
> C'est ainsi qu'on l'a conçu. Peu importe d'ailleurs que ce soit l'app italienne ou l'app allemande. C'est la totale compatibilité avec l'API Google/Apple l'important.
https://www.igen.fr/app-store/2020/06/interoperabilite-des-apps-de-traca...
Actualité ce matin :
https://www.bfmtv.com/economie/coronavirus-l-ue-va-rendre-compatibles-18-applis-nationales-de-tracage-a-l-exception-de-stop-covid_AD-202008030027.html
Et donc, @SyMich le 17/06/2020 à 21:41
> C'est ainsi qu'on l'a conçu. Peu importe d'ailleurs que ce soit l'app italienne ou l'app allemande. C'est la totale compatibilité avec l'API Google/Apple l'important.
https://www.igen.fr/app-store/2020/06/interoperabilite-des-apps-de-traca...
Actualité ce matin :
https://www.bfmtv.com/economie/coronavirus-l-ue-va-rendre-compatibles-18-applis-nationales-de-tracage-a-l-exception-de-stop-covid_AD-202008030027.html
@francoismarty
MacG présente en effet depuis le début les informations concernant StopCovid de manière biaisée, en teintant de nombreux articles d'aspects politiques qui ne devraient rien à voir à faire sur un site d'actualité technologique, et en s'assurant de toujours choisir un angle négatif.
Il est très regrettable que ce site ait choisi d'agir de la sorte et de faire de la désinformation sur un sujet aussi important. Ça remet en outre en question leur objectivité sur tous les autres sujets.
@FloMo
J'ai beau essayer, je n'arrive vraiment pas à comprendre pourquoi c'est à quel point une question d'égo pour vous. Depuis le début vous ramenez tout au fait que vous avez raison, que MacG a raison, que votre expérience professionnelle vous donne raison, que des projets que vous avez fait pour des clients vous donnent raison, que de soit-disant piratages de données médicales vous donnent raison. Ça semble obsessionnel pour vous de pouvoir le plus rapidement possible tirer une conclusion définitive et claironner haut et fort "j'ai raison, j'ai raison !". Sauf que la réalité est bien évidemment bien plus complexe que ça, et absolument personne ne peut dire à ce stade si la France a eu raison ou non de partir sur une solution souveraine plutôt que d'adopter l'API conçue par des sociétés étrangères sur laquelle elle n'a aucun contrôle. Et il est même fort probable qu'on ne puisse jamais trancher dans un sens ou dans l'autre, puisque, contrairement à ce que vous voulez faire croire, il n'y a pas de solution parfaite par rapport à l'autre et il a de nombreux paramètres à considérer, ce que vous ne semblez pas capable de faire.
Ce qui est extrêmement révélateur en revanche, c'est la manière dont vous ignorez ou minimisez les éléments négatifs des applications de traçage qui reposent sur l'API d'Apple et de Google, comme par exemple :
- Des utilisateurs chez qui l'application de traçage n'a pas réalisé de vérification des contacts pendant une longue durée.
- L'impossibilité de savoir combien de personnes sont alertées lorsqu'une personne annonce être infectée, ce qui rend toute évaluation de la fiabilité et de l'utilité de l'application impossible.
- De nombre utilisateurs qui se plaignent de baisse d'autonomie sur leur appareil et certains qui finissent par désinstaller l'application à cause de cela.
Rien que ces trois points sont extrêmement problématiques, pas d'un point de vue technique (même si c'est également le cas pour certains) mais au niveau de la perception du grand public. Mais forcément, il vaut mieux ne pas s'y attarder lorsqu'on veut absolument avoir raison sur la réussite de l'API d'Apple et de Google.
@FloMo
Je cite « Cela revient à dire qu’un diagnostic médical, même sous une forme encryptée », il n’y a pas mensonge, c’est la réalité.
Si c’est incompatible car l’etat ne veut pas dépendre d’une société privée pour l’algorithme ou encore pouvoir faire des statistiques. Là encore pas de mensonge.
Essayez juste de lire sans interpréter les propos à votre sauce.
@francoismarty
« il n’y a pas mensonge, c’est la réalité. »
C’est un mensonge.
Le pseudonyme, utilisé pour le diagnostic, ne circule pas.
C’est la clé de chiffrement, qui est utilisée pour chiffrer le pseudonyme, qui circule. Et donc elle n’est pas chiffrée par définition vu qu’elle sert justement à chiffrer.
J’ai l’ensemble des données pour le diagnostic en clair. Je les chiffre avec une clé. La clé est une suite de données aléatoires.
La donnée chiffrée est appelée pseudonyme car, si par malchance, on trouve la clé de chiffrement, on peut déchiffrer les données.
Mais la clé, elle, n’est qu’une clé. On peut effectuer toutes les transformations du monde sur celle-ci, on n’obtiendra aucune info concernant l’utilisateur.
Et c’est elle et uniquement elle qui transite.
En résumé de cette longue discussion, c’est que l’on ne peut pas faire confiance à FloMo, il ment, il omet des faits, il transforme des informations. Tout ça pour justifier ces choix.
Il m’a tellement fatigué que je l’ai bloqué car une discussion avec lui est impossible.
Mais qu’en est il de ces articles. Est ce que je peux lui faire confiance la prochaine fois que je fais le lire. N’aura t-il pas modifié des informations, ou oublié certaine pour justifier son avis.
@hirtrey
Oui, enfin, ça tourne à l’effet de meute, là.
Cool ;)
J’ai l’impression qu’il s’est enfermé dans son truc et que c’est compliqué d’en sortir.
Sa passion pour l’API Apple/Google qui peut sembler mettre son esprit critique en difficulté n’enlève pas à FloMo ses compétences techniques dont je suis certain qu’elles sont très grandes et qui seront certainement passionnantes à lire lorsqu’il nous les partagera.
Avec un peu de recul, ce serait bien ;)
@Bigdidou
Merci de reconnaître mes compétences techniques. :-)
Je pense que c’est une difficulté de vulgariser le sujet.
Mais, dans l’ensemble, les chercheurs en sécurité confirment mes propos. Seuls les politiques vont dans un autre sens.
Je ne désespère jamais de faire comprendre ce que j’explique.
D’autant que j’ai pas mal potassé le sujet.
@FloMo
“Merci de reconnaître mes compétences techniques. :-)”
J’en dis que je ne les met pas en doute, je n’ai aucune compétence pour les jauger.
Par contre, les compétences purement techniques, ça n’est qu’un élément du puzzle, c’est bien aussi de regarder au delà du moniteur, d’apprendre à écouter les autres qui ne sont à priori ni plus bêtes ni moins compétents que toi dans leurs domaines.
Et d’apprendre la prudence et la nuance : ça t’évitera d’écrire de très grosses bêtises, sans pouvoir ensuite les reconnaître ou simplement admettre que tu n’avais pas voulu dire ce que tu avais écrit.
@Bigdidou
« de très grosses bêtises »
Comme ?
En général, je les reconnais mes erreurs. Je n’ai aucun soucis à les admettre.
Mais aujourd’hui, je vois toujours des énormités.
Ceci étant, quand je lis la teneur des commentaires liés à la sécurité et le RGPD qui viennent de personnes non formées et non professionnelles du sujet, je comprend mieux la logique côté StopCovid.
Et, vu la difficulté que j’ai à expliquer le fonctionnement de G/A, j’ai peur que ce que je considère comme du mensonge soit en réalité de l’incompétence.
Et ça, c’est vrai que c’est une forme de jugement qui n’est pas trop dans ma nature.
C’est vrai qu’à force de travailler sur le sujet, je peux perdre la notion de sa complexité.
D’autant qu’il y a 2 sujets complexes qui se croisent :
- sécurité
- RGPD.
Le tout lié à une certaine connaissance du système iOS et des services web.
Hors, de par mon métier, je baigne là-dedans en permanence. Et j’ai tendance à oublier qu’on n’a pas tous le même niveau d’information.
Mais c’est frustrant car je m’en sors bien pour vulgariser d’autres sujets.
Ma conclusion est qu’on ne peut rien face à l’effet de masse. Si on a décidé de croire en quelque-chose, même face aux évidences, la foi en une parole commune est plus forte.
Ce sera un échec personnel. Parce que je crois en la vérité scientifique, tangible. Et je dois pour cette fois renoncer.
Je vais donc devoir laisser le temps me donner raison. 🙂
@FloMo
“Merci de reconnaître mes compétences techniques. :-)”
Je t’en ai déjà parlé, je ne pense pas que le refaire serve à quelque chose.
Mais comme lorsque tu affirmes que des données médicales personnelles ont été compromises lors de piratages récent.
Tu te contentes de dire que tu n’as pas dis ça avec tes propos sous le nez, c’est assez stupéfiant.
@Bigdidou
Ha oui. Ça.
Je me suis mal exprimé. Je me suis expliqué. Et je confirme que je ne peux pas savoir si des données de santé ont été volées. Mais elles auraient pu.
Et cette négligence vis-à-vis du risque vient, au sens large et pas spécifiquement à ces entreprises, d’un mauvais conseil. Les sociétés qui font les audits minimisent le risque pour satisfaire le client. J’ai pu l’observer dans plusieurs entreprises où je suis passé.
Sources :
https://bfmbusiness.bfmtv.com/hightech/mma-maaf-et-gmf-vises-par-une-vaste-cyber-attaque-1952015.html
https://m.lanouvellerepublique.fr/deux-sevres%252Fcommune%252Fchauray%252Fdeux-sevres-deux-interpellations-apres-le-braquage-d-une-epicerie-et-des-cyberattaques
@FloMo
“Les sociétés qui font les audits minimisent le risque pour satisfaire le client”
C’est beaucoup plus compliqué que ça, et, encore une fois, c’est bien de regarder au delà du moniteur.
Tu peux avoir la meilleure sécurité théorique de l’univers, si elle n’est pas adaptée à l’usage des utilisateurs finaux, de métiers, de culture, d’âge et d’horizons très différents, elle ne sert à rien.
Le mieux pour les informaticiens (pas tous, ceux bloqués par le moniteur) est parfois le pire à l’échelle d’une structure et de ses utilisateurs finaux.
La sécurité, c’est aussi comprendre pour un responsable que la question n’est pas si on va être attaqué, mais quand et ce qu’on a prévu dans ce cas, en particulier en cas de rançongiciel, qui est de très loin l’attaque à la mode sur notre type de structure.
@Bigdidou
Complètement. Mais le principe de sécurité n’en est pas moins négligé.
Pour l’avoir vécu, on a eu un audit ou plusieurs points de vigilance ont été relevé dans l’app mobile.
Mon client avait un discours vis-à-vis de l’audit du genre « oui, mais ce n’est pas si grave, hein ? ». Ok, on dé-priorise.
L’équipe s’est limite fait enguirlander pour avoir insisté sur les problématiques de sécurité.
Quelques mois plus tard, il y a eu un piratage (je ne sais plus si c’était un concurrent) et là, on nous a reproché de ne pas avoir insisté sur le sujet.
Tu peux ressortir les écrits et tout. C’est ignoré.
Et on est exactement dans la même logique avec StopCovid.
J’ai déclaré des issues complètement ignorées avec le discours « ça ne peut pas arriver ». Sauf que le bug bounty est passé par là.
Mais plusieurs points de vigilance ont été soulevés. Et ignorés malgré le bug bounty.
@hirtrey
J’ai 12 ans d’une solide réputation dans le métier. De mes clients, de mes collègues et de mes partenaires.
Donc ton avis ne pèse pas lourd. Heureusement ! 😁
Mais si je peux apporter des éclaircissements techniques, je le fais. Et c’est clairement ce que j’ai fait sur ce sujet.
Je suis désolé que cela ne corresponde pas à tes idéaux. Mais évite de te faire une idée générale sur les personnes à partir d’une discussion un peu animée.
Et je ne t’en veux pas de me juger ainsi. Soyons clair. Chacun peut se tromper un jour ou l’autre. Les mots peuvent dépasser les pensées.
Tiens, en fait je me demande si FloMo n'est pas du département financier de Macg... Générer un maximum de réponse, un maximum de trafic...
@FloMo
Décidément vous ne comprenez pas le français. Avec le protocole Apple Google, les smartphones récupèrent des identifiants, clés (appelez ça comme vous voulez) de personnes malades. C’est ce que le gouvernement dit, ne pas vouloir faire transiter d’infos concernant les malades. Même si c’est soit disant techniquement impossible de remonter à une personne physique. Donc il n’y a pas de mensonge. C’est bien vouloir vulgariser mais quand c’est pour affirmer des contre vérités il vaut mieux s’abstenir.
@francoismarty
« des identifiants, clés (appelez ça comme vous voulez) de personnes malades »
Ce sont 2 choses différentes.
Si je donne un coffre-fort qui contient des documents sensibles, potentiellement je peux avoir accès aux documents même sans clé. C’est le pseudonyme.
Si je donne la clé sans le coffre, j’ai juste une clé. C’est la clé de chiffrement.
Et donc, une clé seule ne porte pas du tout le même risque que le pseudonyme. Ce n’est pas comparable.
En gros, ce que fait G/A, c’est distribuer un lot de clés correspondant à des pseudonymes à risques.
Et, une fois les clés reçues sur l’appareil, elles sont testées sur les pseudonymes reçus afin d’en extraire les informations.
Si ça se déverrouille, l’information est utilisée pour faire un diagnostic.
Donc on ne peut pas dire qu’un diagnostic médical transite. C’est faux.
Si les clés sont volées,... on ne peut rien en faire.
Beaucoup de « salive gaspillée » par ici … des apps dont personne ne se sert (des clusters pas détectés par les apps dans les différents pays, des malades sans téléphone ou app etc …) bref pas de résultat tangible à part un R0 qui grimpe partout, donc beaucoup d’énergie gaspillée pour rien.
Bref le virus se ri de nos super structures ‘impériales’ pour croître aisément avec nos relâchement bien humains.
@ FloMo
On ne se comprend toujours pas.
L’utilisateur reçoit régulièrement une liste correspondant aux personnes malades. Même si on ne peut à priori rien en faire telle quelle, par recoupement, il semble possible d’en faire quelque chose, cf article de la quadrature du net ou du site risques-tracage.fr
Comme dit plus haut la technique ne fait pas tout. Et même si le protocole d’Apple est un cran au dessus niveau sécurité, il n’est pas parfait comme vous essayez de le faire croire.
PS: pensez également que dans le lectorat de Macg vous n’êtes pas la seule personne à être du métier
@FloMo
Pour les bêtises entre autres:
- que le gouvernement a dit que l’application ne fonctionnait pas
- que si Apple s’occupait de l’implémentation il n’y aurait pas de bugs, car ils connaissent leur OS
Ce sont celles qui me viennent à l’esprit mais il y en a d’autres. Dommage, car certaines de vos explications sont interessantes
Bug d’app stovid ou GA. Et i y en aura...
Après il y a 2 situations :
La france : si elle a la volonté de finaliser l’app, elle en a la possibilité
L’Allemagne : volonté ou non elle dépendra de Google Apple...
La première solution n’est pas parfaite, mais elle a le mérite de laisser la maîtrise
La france a eu raison de prendre son destin en main.
Avec le même raisonnement de certains, on aurait jamais développé le programme nucléaire car les US nous proposait leur parapluie... il y a une bonne génération d’esclaves ici
Selon les autorités suisses, l’app suisse n’a pas eu ce problème, contrairement à ce que prétend l’article. Voici la réponse reçue aujourd’hui seulement :
« Monsieur,
Nous vous remercions pour votre message.
Non, ce n’est pas le cas en Suisse. Ce problème ne concerne que l'application allemande. Avec l'application SwissCovid, nous n'avons pas connaissance d'un cas de ce genre jusqu'à présent.
Sous le lien suivant, vous trouverez des explications sur les problèmes connus les plus courants actuellement: https://www.bag.admin.ch/dam/bag/fr/dokumente/cc/kom/swisscovid-bekannte-probleme.pdf.download.pdf/Application%20SwissCovid_problemes%20connus.pdf
Meilleures salutations
Team SwissCovid App
Département fédéral de l’intérieur DFI
Office fédéral de la santé publique OFSP
Division Transformation numérique
Schwarzenburgstrasse 157, CH-3003 Bern
www.bag.admin.ch »
@Nicoman
C’est possible.
Si l’app suisse envoie une notification push pour déclencher le téléchargement plutôt qu’une récupération régulière des données, il se peut qu’elle ne subisse pas ce bug.
Pages