L’UE va faire dialoguer les applications de suivi des contacts, sans StopCovid
C’est encore un coup dur pour StopCovid, l’application de suivi des contacts made in France : la Commission européenne a annoncé aujourd’hui entamer des essais portant sur l’interopérabilité des différentes applications nationales de traçage des contacts, sans toutefois inclure StopCovid en raison de son architecture particulière (lire : La difficile compatibilité entre les apps de traçage de contacts européennes et StopCovid).
Pour les autres pays européens qui se sont appuyés sur l’API des notifications d’exposition développée par Apple et Google, ce dialogue inter-applications permettra de mieux suivre la COVID-19 à travers les frontières nationales. En pratique, un voyageur quittant l’Allemagne pour aller en Italie pourra par exemple continuer à recevoir des alertes ou même signaler un test positif depuis son app nationale sans avoir à télécharger celle du pays d'accueil.
Jusqu’ici, les pays concernés par cet essai sont la République tchèque, le Danemark, l'Allemagne, l'Irlande, l'Italie et la Lettonie. Si cet essai s'avère concluant, aucune barrière technique ne devrait empêcher des pays supplémentaires de faire dialoguer leurs applications officielles, comme par exemple le Royaume-Uni ou la Suisse.
Elle est belle la souveraineté alors que la solution Google/Apple est ouverte.. 👏🙄
@reborn
Non elle est fermée, très fermée même pour les autorités de santé locales 💁♀️
Bonsoir, il est vrai que la solution française est entièrement en open source...
@Xaruf
Qui a parlé d’open source. La solution de Google n’est pas open source non plus.
Je parlais ouvert dans le sens les informations ou statistiques qu’on peut en tirer de son usage.
Je veux bien vous croire mais il me semble pas que le code de la solution O soit entièrement consultable contrairement à son engagement et aux dires de l’autorité « indépendante » qu’est la CNIL... Le code de l’API Apple/Google (quoi que l’on pense des GAFA) est entièrement publique... comprendra qui pourra !!! Je suis visiblement inapte à la réponse.
Bien cordialement
@Xaruf
> Le code de l’API Apple/Google (quoi que l’on pense des GAFA) est entièrement
> publique...
Au niveau code sur le mobile, c'est pareil côté StopCovid.
Comme il est impossible de vérifier que c'est bien celui qui est embarqué dans les dernières version de iOS et Android distribués et qu'il est également impossible de remplacer ni contourner le code réel embarqué dans ces OS, cela change rien.
Par ailleurs, le code des backends derrières les solutions ne sont pas tous en open source.
Et là, que ce soit celles basées sur l'API de Apple/Google ou pas, StopCovid incluse, il est matériellement impossible de vérifier ce qui est réellement déployé sur les serveurs.
Sur le champ de la transparence du code des solutions, aucune n'est définitivement transparente.
Cela serait le cas si n'importe quel quidam pouvait matériellement vérifier par lui même qu'en utilisant le code open source publié côté mobile comme côté serveur(s) il obtient le même comportement et la même empreinte binaire, sauf les aspects signature de distribution du code. Ce n'est nullement le cas.
Au final, tout repose sur la confiance qu'on accorde ou pas à qui déploie. Soit on lui fait confiance pour déployer réellement ce qui est publique, sans rien ajouter/modifier au comportement publiquement exposé du code, soit on a pas confiance.
Y'a d'autres points nettement plus différents, mais en ce qui concerne la transparence du code, c'est pas franchement un élément différenciant : aucun n'est total.
@byte_order
En d’autres termes, cela veut dire qu’on n’est pas sûr que l’Etat français accède à nos noms lorsqu’on est désigné par l’app comme un cas-contact ? Ou est-ce qu’on est sûr que cela reste anonyme ?
@John McClane
> En d’autres termes, cela veut dire qu’on n’est pas sûr que l’Etat français accède
> à nos noms lorsqu’on est désigné par l’app comme un cas-contact ?
On n'en est pas plus sûr qu'Apple ou Google ne le font pas, non.
Dans tous les cas, ces acteurs ont le contrôle des accès à ce qu'il faut pour pouvoir le faire :
- Apple et Google contrôle l'OS, et le compte associé, ils ont donc vos données personnelles (nom, age, adresse, email, etc) ainsi que le contrôle des données de contacts, celles qui restent locales comme celles échangées via leur API avec d'autres smartphones et les serveurs des solutions des pays.
- Les états, via leur système de santé, savent quel nom est associé à un test covid, négatif ou positif. Et donc peuvent potentiellement tracer l'usage des codes d'auto-déclaration comme positifs via les app.
- Dans tous les cas, les états ont accès à la liste des adresses IP des apps qui consultent régulièrement leurs serveurs de leurs solutions, décentralisées ou pas.
Cela ne signifie pas qu'ils le font.
Cela signifie que s'ils *veulent* le faire, ils le peuvent. Apple et Google inclus.
De mon point de vu, y'a donc pas de raison de faire une différence de confiance sur ce point. Ce qui me semble plus important, c'est qui à le contrôle sur ceux qui ont ces contrôles.
@byte_order
Je pensais justement que la solution décentralisée faisait que les données restaient sur le téléphone, et non sur les serveurs ? Et que du coup seul l’utilisateur du téléphone savait s’il était un cas contact, et que personne d’autre ne pouvait le savoir à part lui ?
@John McClane
> Je pensais justement que la solution décentralisée faisait que les données restaient sur
> le téléphone,
Ca vous n'en avez aucune garantie. Rien n'empêche le code de l'OS d'utiliser ces données et d'envoyer une partie, plus tard, dans le cadre d'une autre activité, vers des serveurs du fabriquant. Les données sont à sa portée.
Ce que vous avez, c'est juste votre confiance que le vendeur de l'OS ne le fera pas, c'est tout. Vous ne pouvez pas facilement contrôler ni vérifier qu'il ne fait que ce qu'il prétend faire.
Attention, je ne dis pas qu'ils le feront. Je dis qu'ils peuvent tout autant (et j'aurai même dit un peu plus, leur contrôle d'accès aux données étant bien plus poussé) le faire s'ils voulaient le faire, et que tout repose en fait sur votre taux de confiance envers tel acteur vs tel acteur.
> Et que du coup seul l’utilisateur du téléphone savait s’il était un cas contact,
> et que personne d’autre ne pouvait le savoir à part lui ?
Le code de l'API reçoit l'information quand l'app qui l'utilise lui demande de vérifier la liste des contacts croisés (suis-je un cas contact ?): si y'a un match, vous etes un cas contact, et l'API est celle qui calcule ce match ! Par définition celui qui contrôle le code le sait.
Donc vous faites juste confiance ou pas dans celui qui est derrière le code déployé.
@byte_order
"si y'a un match, vous etes un cas contact, et l'API est celle qui calcule ce match ! Par définition celui qui contrôle le code le sait. "
Ah zut, et moi qui croyait qu’avec l’API d’Apple tout était calculé en local dans l’iPhone !
@John McClane
> Ah zut, et moi qui croyait qu’avec l’API d’Apple tout était calculé en local dans l’iPhone !
C'est le cas, mais ce calcul est fait, localement, par l'API, l'app ne fait que fournir les paramètres en entrée. Mais ce que fait réellement derrière l'API, on l'ignore, c'est du code binaire embarqué dans un OS sous contrôle exclusif de Apple ou Google. Si derrière il n'y a actuellement ou dans le futur aucun autre usage fait de ces données, on l'ignore, pas moyen d'en être sûr et pas réellement moyen de le vérifier.
Perso j'en doute fortement, mais je tiens à souligner que cette sensation de "garantie" supérieure est factice. On en revient toujours, à un moment donné, à une question de confiance en la promesse de quelqu'un de ne faire que ce qu'il dit qu'il fait de vos données, d'une manière ou d'une autre.
D'où l'importance de qui contrôle ceux qui contrôlent l'accès à vos données, que ce soit des états ou des entreprises privées ne devraient rien changer à cette exigence.
@byte_order
Oui je comprends mieux, merci.
@quentinf33
Perdu. Une partie seulement du code source est disponible mais pas depuis le début. Le reste est inclu dans les binaires du système d’exploitation, c’est une boîte noire. Impossible de vérifier les entrailles 💁♀️
@quentinf33
Donc ce n’est pas open source 💁♀️
@ reborn
Elle est belle l'exception culturelle française... 😂
😂😂🤣 on a ce que l’on mérite...
🍿🍿🍿
Ce n’est qu’une question de temps pour que la France redéveloppe ses outils d’intervention en santé publique. La globalisation l’emportera facilement.
J'aimerai que cela soit vrai... la capacité de la France a se penser meilleure que le reste du monde est notre...
Cette application a été aussi bien conçue qu'on a géré l'épidémie, c'est à dire mal...
Bon et malheureusement on la gère toujours aussi mal, catastrophe en vue.
@fousfous
C’est pas à cause ou grâce aux applications que l’épidémie est en hausse 💁♀️
@Adodane
« C’est pas à cause ou grâce aux applications que l’épidémie est en hausse 💁♀️ » et ce n’est pas grâce à une application qu’une épidémie est en baisse... donc une mauvaise solution à un mauvais problème...
@MGA
Les applis quel qu’elles soient ne servent à rien concernant l’épidémie, au mieux avec lappli française on a des statistiques d’utilisation.
@fousfous
Attention Soldat Inconnu en approche pour la defense inconditionnelle de la technologie française.
@Brice21
"Attention Soldat Inconnu en approche pour la defense inconditionnelle de la technologie française."
J’avoue 😂
Le soldat inconnu devrait rester dans sa tombe et se manifester le 14 juillet comme il se doit (ok pour le 8 mai si tu veux et puis tiens on n’est pas radin on t’accorde le 11 novembre même si y a prescription)
On va finir par ce se retrouver à la marge à tout niveau à ces politiciens qui se pensent plus fort que le reste du monde (stopCovid, arrêt de la 5G) ...
@joff3333
Heuu... avec l’arrêt de la 5G on arrête aussi le virus ! On est les seule à l’avoir compris ! Avec nos médecins français qui sont des aigles, on ne peut pas les comparer avec les vers de terre des autres pays.
@roccoyop
« Heuu... avec l’arrêt de la 5G on arrête aussi le virus ! »
Mais non, l’arrêt de la 5G c’est pour empêcher les nanopuces de Bill Gates (celles dans le vaccin contre le virus) de fonctionner !
@quentinf33
« Ah ouais ? Et pourquoi ils veulent arrêter le fonctionnement des nanopuces ? Ils vont faire comment pour nous contrôler la pensée ? Ils vont développer des puces souveraines ??? »
Parce que Gates n’aime pas l’ENA, dont la concurrence au niveau mondial menace sérieusement Havard, et veux dissoudre l’établissement. L’association des anciens élèves s’est réuni en urgence, pour empêcher l’impérialisme us d’accomplir son sinistre projet, en neutralisant les puces de contrôle mental.
Le jour où on découvrira une faille de sécurité dans le système Apple et Google on va bien rigoler.
N’oubliez jamais que n’importe quel système informatique comporte des failles, celui de stop Covid inclus.
Continuez à tirer sur stop Covid, juste parce qu’ils ont pas fait comme tout le monde.
@lkaritoo
Le jour où on découvrira une faille de sécurité dans le système français Stop-covid on va bien rigoler.
N’oubliez jamais que n’importe quel système informatique comporte des failles, celui de stop D’Apple et Google inclus.
Continuez à tirer sur L’Europe, juste parce qu’ils ont pas fait comme la France.
Tu vois le message inverse marche aussi, donc en soit je vois pas où tu veux en venir enfaite.
Une faille dans Stopcovid ou l’api de Google/Apple serait catastrophique.
Sauf que d’un côté ils ont les meilleurs ingénieurs informatiques/chercheur en sécurité au monde
Bien vrai, et l'entêtement de O au nom de l'indépendance est puérile dans le cadre d'un problème mondial : arrivera-t-il à comprendre que l'interopérabilité est un pré requis dans un tel cas ??? Je suis d'une nature optimiste envers et contre tout ;)
@Xaruf
Quel cas ? A quand l’appli stop grippe lol
@Xaruf
C’est malheureusement très français de considérer que nous sommes le nombril du monde...
Regardez nos amis, qui pourtant nous aiment bien, la plupart de leurs blagues sur tous tournent autour de ce travers...
@DavidFR75
C'est sûrement la nostalgie royaliste la France dominée le monde au temps des rois et le petit sursaut avec notre Général de Gaule. Les américains jalousaient notre Concorde fierté nationale et encore aujourd'hui aucun pays dans le monde n'a réussi à faire aussi bien et je pourrais en cité beaucoup d'autres.
@Lirche
> Sauf que d’un côté ils ont les meilleurs ingénieurs informatiques/chercheur en sécurité
> au monde
Ouais, bien sûr.
D'ailleurs la faille "goto fail" dans l'implémentation de SSL par les ingénieurs d'Apple, cela doit être de la faute d'un français bénévole, hein, forcément ?
Pareil, afficher le mot de passe en clair plutôt que l'indice pour le retrouver dans FileVault, c'est forcément un français, pas un ingénieur expert en sécurité travaillant dans l'entreprise la meilleure au monde ?
Cette présentation "meilleurs ingénieurs au monde" est tout aussi ridicule que d'affirmer que nous français, serions meilleurs que les autres.
@DavidFR75
> Regardez nos amis, qui pourtant nous aiment bien, la plupart de leurs blagues
> sur tous tournent autour de ce travers...
Ouais. Regardez aussi les statistiques d'opinion sur eux même de chaque nation.
Ou le moindre tweet du POTUS pour voir à quel point ce trait de caractère est si spécifique que cela...
@lkaritoo
Le truc, c’est que les frontières ne sont pas fermées. Et le virus ne s’arrête pas aux frontières.. Donc avoir une solution commune permettrait un traçage plus efficace.
@reborn
> Le truc, c’est que les frontières ne sont pas fermées. Et le virus ne s’arrête pas aux frontières.. > Donc avoir une solution commune permettrait un traçage plus efficace.
Plus, oui.
Mais de la à dire que sans cela, la solution actuelle ne sert à rien, c'est abusif.
Je préfèrerais que l'intégralité des gens qui étaient concentrés dans des regroupements ces derniers temps aient StopCovid que rien du tout, par exemple.
Certes, la part minoritaire d'étrangers dedans passerait sous le radar, mais pas le reste.
Même sans aucune interoperabilité des solutions, les étrangers qui (r)amènent le virus seront traçé, au pire, par la solution de leur pays, via les notifs issus du test positif ce ceux qu'ils auront contaminés.
Le premier problème, c'est le respect des gestes barrières.
Ensuite, loin derrière, c'est le taux d'adoption de ce type d'apps.
Ensuite, la facilité *et* rapidité pour obtenir de quoi se déclarer positif dans l'app après un test (et cela à l'air bien minable sur ce point en France, ce qui n'a rien à voir avec l'API utilisée dans l'app, vous en conviendrez j'espère). Devoir attendre plusieurs jours *après* le test pour avoir cette info est rédhibitoire et annihilie tout le gain de temps que ces apps sont censé amener !
Que les apps nationales soient interopérables ou pas arrive encore après tout cela.
Merci de ne pas inverser l'ordre d'importance des choses, sauf à vouloir absolument tuer son chien en disant qu'il a la rage...
@lkaritoo
Et quelle application a selon toi le plus de chance d’avoir une faille de sécurité ? Celle développée par 2 entreprises embauchant des milliers de développeurs ou celle développée par une poignée de bénévoles ?
@DarKOrange
Les meilleurs ingénieurs qui plus est connaissant parfaitement (ou ayant accès) à l’ensemble de l’OS et du hardware (pour Apple).
On va continue à jouer nos Astérix longtemps ou...?
Parce que dans une BD ou avec Chabat c’est drôle mais la... ça me fait plus trop rire.
@DarKOrange
> Et quelle application a selon toi le plus de chance d’avoir une faille de sécurité ?
> Celle développée par 2 entreprises embauchant des milliers de développeurs ou
> celle développée par une poignée de bénévoles ?
Qu'est-ce que le fait d'être un employé ou un bénévole a à voir avec la compétence !?
Par ailleurs, on peut faire un travail bénévolement tout en étant un développeur travaillant pour une grosse entreprise, hein ! (comme c'est le cas pour StopCovid, d'ailleurs).
Pour rappel, y'a quelques développeurs chez Apple qui ont laissé passer un gros fail dans leur implémentation de SSL, ou le fait d'afficher le mot de passe plutôt que l'indice pour le retrouver mentalement dans FileVault.
Cette opposition employé vs bénévole est ridicule.
Ce qui compte c'est la compétence et la rigueur. Le fait d'être payé n'offre pas plus de garantie sur ces points.
@byte_order
Un peu de calme....
Je n’oppose pas bénévole et employé.
Je pars du principe que des gens payés ET dont c’est le métier ET ayant conçu ou ayant toutes les informations sur l’OS et le matériel (suffit d’aller peser une question au collègue du bureau d’a côté si la doc n’est pas claire) ont statistiquement bien plus de chance de faire du meilleur boulot que un bénévole dans son coin obligé de faire du reverse engineering.
C’est tout.
Des mauvais développeurs ou des humains faisant des erreurs humaines il y en a partout. Chez MS, google, les bénévoles du kernel Linux... et même chez Apple.
@julien74
> Je n’oppose pas bénévole et employé.
C'est pour cela que ma réponse est à @DarKOrange
> Je pars du principe que des gens payés ET dont c’est le métier ET ayant conçu ou
> ayant toutes les informations sur l’OS et le matériel (suffit d’aller peser une question
> au collègue du bureau d’a côté si la doc n’est pas claire) ont statistiquement bien
> plus de chance de faire du meilleur boulot que un bénévole dans son coin
Et c'est là où je pense que vous vous trompez.
Plus une entreprise est grosse moins facilement l'information circule ou est facilement accessible. Dans le cas d'Apple, le silotage des équipes est même connu pour être un vrai problème de synergie entre les équipes.
Le collègue "de bureau d'à côté" qui "sait" car c'est lui qui a conçu le truc a statistiquement pas mal de chance de ne plus être dans l'entreprise au moment où vous aurez besoin de l'information, aussi.
Quand à la documentation, je ne compte plus en 25 ans d'activité le nombre de fois où celle disponible n'est pas à jour ou ne correspond pas à la réalité du code derrière.
> obligé de faire du reverse engineering.
Qui vous parle de devoir faire du reverse engineering, quand on parle de projet open source !?
Justement, dans le cas spécifique de l'open source, y'a plus de silotage, plus de besoin de de pouvoir communiquer avec la personne qui a conçu tel truc, n'importe qui qui en à la volonté peut trouver l'information qui, même sans documentation, est dispo à minima dans le code, et son accès ne dépend pas de la connaissance ou pas de la bonne personne à qui demander l'info, non, juste l'accès au code.
> Des mauvais développeurs ou des humains faisant des erreurs humaines il y en a
> partout. Chez MS, google, les bénévoles du kernel Linux... et même chez Apple
Tout à fait.
C'est pour cela que la question orientée de @DarkOrange me semble biaisée et assez naive.
@byte_order
Oui pardon je m’en suis rendu compte après que vous ne me répondiez pas à moi directement.
Je continue de penser que des ingénieurs Apple de l’équipe de l’API contact ont bien plus de facilité pour concevoir leur code quand ils ont accès à la doc interne des équipes iOS, même incomplète et même erronée. De plus ils peuvent leur demander telle ou telle modification dans le code iOS pour tel ou tel besoin.
Versus
Les meilleurs ingénieurs français (et on en a de très bons) qui ont leur (bip) et leur couteau pour savoir comment avoir telle ou telle info Bluetooth, comment réussir à garder le process de l’appli non endormie etc...
Nos ingénieurs sont de bons petits Astérix qui ont fait ce qu’ils ont pu. Mais cela ne peut égaler une API qui est maintenant dans le cœur d’iOS.
Il faut juste que nos politiques arrivent à le comprendre.
@julien74
> Mais cela ne peut égaler une API qui est maintenant dans le cœur d’iOS.
Je ne vois pas pourquoi.
C'est comme de dire qu'aucun développeur ne peut proposer une fonctionnalité mieux réalisée que celle qui est fourni par une API de l'OS.
Les exemples prouvant le contraire sont très nombreux, pourtant.
Après, dans le cas d'une plateforme où le contrôle est si stricte que beaucoup de fonctionnalités ne sont plus réalisables sans l'autorisation express de son vendeur, le passage via des API devient de fait incontournable (parce qu'imposé). Cela ne signifie nullement que l'API imposée est forcément la meilleure possible.
Attention à ne pas confondre qualité de l'API et API incontournable. Cela n'a rien d'automatiquement équivalent. Le fait d'imposer le moteur webkit dans iOS ne garanti en aucun cas que c'est le meilleur moteur web possible de faire fonctionner sur iOS par exemple, juste que c'est le seul.
@byte_order
Je ne dis pas qu’un développeur ne peut pas faire mieux.
Mais c’est bien plus direct et facile, avec moins de bug, mieux optimisé pour une fonctionnalité qui est ancrée dans le cœur de l’OS avec potentiellement des modifs maison de l’OS pour le dialogue avec l’API.
Exemple: rman le soft de backup et restore de Oracle. Y a-t-il mieux? Apparemment non.
Qui mieux que Oracle pour savoir comment son moteur de DB Oracle fonctionne, mettre a disposition des metadonnées dans les redo log, archive log dans le but que rman l’utilise?
Pages