StopCovid : Cédric O ne regrette (presque) rien
Avec ses 2,3 millions de téléchargements, StopCovid n'a pas été la réussite espérée par le gouvernement. Au relevé du 25 août, l'application de suivi des contacts comptait 1 514 personnes ayant signalé un diagnostic positif, et 93 notifications de contacts à risque.
Un « crash industriel » selon des membres de l'opposition, que Cédric O, le secrétaire d'État au Numérique, ne regrette pas. « Est-ce que je regrette de l'avoir fait ? Non. Je pense que si nous ne l'avions pas fait, tout le monde nous en aurait fait le reproche », assume-t-il, bravache, au micro de France Culture.
Le lancement d'iOS 13.7, avec la fonction Exposure Notification Express qui facilite le travail des autorités sanitaires, ne sera pas plus l'occasion pour Cédric O — qui a porté le projet à bout de bras — de revoir sa copie. « Est-ce qu'il fallait le faire ? Oui. Est-ce qu'il fallait le faire de la manière dont on l'a faite, c'est à dire indépendamment d'Apple et de Google ? Je le crois profondément », explique le secrétaire d'État.
D'ailleurs, je trouve complètement fou que personne ne trouve rien à redire aujourd'hui qu'Apple et Google généralisent (en dehors de la France) leur système de traçage des contacts à tous les pays. Nous ne savons rien de ce qui se passe dans les couches sous-jacentes.
Cette « boîte noire » décrite par Cédric O n'existe pourtant pas. Apple et Google ont livré une documentation complète dès le départ, et puis n'importe qui peut jeter un œil sur le code l'API Exposure Notification, disponible en open-source… Certes, il faut reconnaitre que l'attente a été longue, le code n'étant réellement disponible que depuis le 23 juillet.
Cédric O en convient : « On peut faire plein de reproches [à StopCovid], mais vous avez la Cnil et vous avez le comité spécial qui ont ouvert le capot et qui peuvent dire si c'est bien ou pas bien. On peut trouver tous les défauts du monde à StopCovid, mais le fait qu'Apple et Google aient imposé leur solution sur un sujet sanitaire à l'ensemble des pays — sauf la France — je pense que ça mérite qu'on le dise ». Sur le plan de la souveraineté numérique de la France, le secrétaire d'État reconduit dans ces fonctions sous le gouvernement de Jean Castex, ne varie donc pas d'un iota.
Il y a bien une chose que Cédric O regrette : « Est-ce que ça marche ? Techniquement, il n'y a pas de problème. Est-ce que les Français l'ont suffisamment adopté ? Insuffisamment » reconnait-il. « Peut-être que nous aurions dû être plus pédagogue, qu'on leur dise que quand on ferme le smartphone l'application continue de fonctionner. Peut-être que nous aurions dû accentuer la communication, car ce qu'on voit dans les études c'est que les gens ne comprennent pas très bien à quoi ça sert ». En d'autres termes, l'insuccès de StopCovid est donc dû… aux gens. Pas sûr que cette défense tienne le choc très longtemps face aux contempteurs de l'application.
Mais il le martèle : « Je ne regrette pas de l'avoir fait indépendamment d'Apple et de Google ». Mais « est-ce que la situation actuelle me satisfait ? Non plus ». Cédric O soulève un point intéressant : le fait que StopCovid ait été un échec — il le reconnait à demi-mots — ne doit pas, selon lui, être un « contre-exemple pour d'autres solutions technologiques dans des situations sanitaires. On aurait tort de se servir de ces outils. Les difficultés de StopCovid ne doivent pas nous empêcher de continuer à innover ». Sous entendu : la France devrait rester maître de ses solutions technologiques.
La taxe GAFA refilée aux consommateurs
Dans cette même interview au long cours, le secrétaire d'État est revenu sur la taxe sur les services numériques, et sur le fait que les premiers concernés, en l'occurrence Apple, Google et Amazon, aient refilé la facture aux développeurs, aux annonceurs, ou vendeurs tiers. Cédric O défend le principe d'une taxation sur les géants du numérique : c'est une question « légitime », il ne faut « pas reculer », et « il est normal d'augmenter la taxation globale des géants du numérique ».
Le nœud central du problème, c'est la position oligopolistique de ces grandes entreprises : « Ces sociétés ont la capacité de répercuter une partie des taxes sur les consommateurs ou sur les entreprises avec lesquelles elles sont en affaires (…) Si en face d'elles, il y avait de la concurrence qui avait décidé de ne pas répercuter cette taxe, elles ne le feraient pas ». Sur le marché du smartphone, il prend l'exemple du Play Store et de l'App Store : il n'y a pas d'autres options.
« Donc vous êtes enfermé dans cette situation de fermeture des marchés. Le vrai sujet des GAFA, ce sont les questions qui sont actuellement sur la table au niveau européen sur leur régulation », explique-t-il. Mais alors, est-ce qu'il revient à la puissance publique de réguler ces acteurs privés ? Il n'y a aucun doute pour Cédric O.
Le gouvernement pense qu'Apple, Google, Facebook et Amazon sont devenus des infrastructures essentielles, et en tant que telles, elles sont incontournables. C'est donc qu'elles doivent être régulées par la puissance publique. On ne peut pas laisser toute une partie de notre infrastructure entre les mains d'acteurs privés.
Les règles de la concurrence ne sont plus adaptées et elles nécessitent « une mise à jour », explique-t-il. Et puisque « les amendes ne suffisent plus », cela doit passer par une régulation au niveau européen.
Ce qu’on appelle un bras cassé ... il a juste 5 à 10 ans de retard technologiquement .
Et la faute des « gens » que je suis sont assurément moins « con » que lui et savent très bien utiliser les technologies si utiles et nécessaires en l’occurrence ce n’est pas le cas.
pourquoi 79% des Islandais ont mis une application de traçage de la Covid sur leurs téléphones et seulement quelques % en France ? ça c'est une bonne question, confiance dans leurs gouvernants ?
@Mickaël Bazoge
> Cette « boîte noire » décrite par Cédric O n'existe pourtant pas.
> Apple et Google ont livré une documentation complète dès le départ,
Une documentation de l'interface de programmation d'un code binaire ne permet pas d'être sûr de ce que fait le code binaire réellement derrière. Cela décrit des contrats d'interface. Ce n'est pas une garantie que cela couvre *toutes* les interfaces ni *tous* les contrats des interfaces documentées.
> et puis n'importe qui peut jeter un œil sur le code l'API Exposure Notification, disponible
> en open-source…
Qui, encore une fois, ne permet pas de vérifier que c'est bien ce code, et uniquement ce code et rien d'autre, qui est distribué par Apple et Google.
@byte_order
> Qui, encore une fois, ne permet pas de vérifier que c'est bien ce code, et uniquement ce code et rien d'autre, qui est distribué par Apple et Google.
Ni vérifier que c’est bien le code de StopCovid qui est utilisé.
Idem pour le serveur.
Au moins, en décentralisé, on est sûr qu’il y a au minimum :
- l’algorithme côté système géré par Apple / Google
- les données gérées par les organisations sanitaires.
Sachant que la recommandation est :
- Apple / Google pour le framework
- un prestataire pour l’app
- un prestataire pour le serveur 1 qui va stocker les données du patient et générer un code d’autorisation
- un prestataire pour le serveur 2 qui va enregistrer les signalements et vérifier les codes auprès du serveur 1 et via l’intermédiaire de l’utilisateur
- un prestataire du serveur 3 qui va recevoir en ordre dispersé et avec des fausses données les clés du serveur 2 afin de les redistribuer
- le serveur 3 distribue les clés aux iPhone après avoir vérifié l’authenticité de l’app auprès d’Apple et, une fois les clés reçues, leur signature est vérifiée par l’intermédiaire de clés supplémentaires fournies à Apple qui les fournira au framework.
En gros, personne ne possède des informations qui peuvent être croisées pour permettre une identification.
Ni Apple, ni les autorités de santé, ni même les différents procédés logiciels intervenant au sein de l’iPhone. (Cloisonnement entre app, framework et système d’autorisations)
Là, on est bien sûr du respect maximum de la vie privée.
@FloMo
> Ni vérifier que c’est bien le code de StopCovid qui est utilisé.
Si, puisqu'on peut builder l'app soit même, et l'utiliser à la place de celle dispo sur les stores.
Ah, certes, le side-loading étant bloqu& par Apple, c'est plus facile à faire pour la version Android de StopCovid, mais encore une fois le blocage n'est pas côté StopCovid.
> Idem pour le serveur.
La je suis d'accord.
Mais ça c'est vrai pour les serveurs derrière les apps utilisant l'API tout autant.
> Au moins, en décentralisé, on est sûr qu’il y a au minimum :
> - l’algorithme côté système géré par Apple / Google
Sauf qu'on ne peut vérifier précisément ce que fait l'algo distribué.
Ni le modifier, en particulier le diagnostique d'exposition.
> - les données gérées par les organisations sanitaires.
Qui sont également côté organisations sanitaires. Vous croyez que le résultat d'un test covid, fait par eux, payés par eux, n'est connu que du testé et de son app !?
> En gros, personne ne possède des informations qui peuvent être croisées
> pour permettre une identification.
> Ni Apple,
Vu que c'est l'API dans son iOS qui 1) génère les clés diffusées par ENS, 2) garde l'historique de quelles clés ont été reçus, quand, avec quel signal, je vois mal comment vous pouvez affirmer qu'Apple n'est pas en mesure de croiser quoi que ce soit. Apple contrôle iOS, contrôle l'implémentation de ENS, ne permet pas d'utiliser autre chose ni même d'utiliser son implémentation open source mais directement embarquée dans une app pour vérifier que c'est bien exactement la même chose.
La réalité, c'est que le cloisonnement n'est pas vérifiable dans l'implémentation de ENS.
Tout repose sur la confiance.
Celle la même qu'on refuse d'emblée à des organismes de santé de pays.
Je ne vois pas au nom de quoi Apple, entreprise privée étrangère, devrait bénéficier d'une confiance supérieure. Vraiment pas.
@byte_order
> Apple contrôle iOS, contrôle l'implémentation de ENS,
Et l’implémentation des API Bluetooth utilisées par StopCovid. Et l’implémentation du SSL utilisé par StopCovid.
C’est leur plateforme : ils la maîtrise de A à Z.
La souveraineté n’est qu’une illusion.
> Tout repose sur la confiance.
C’est bien le sujet.
> Celle la même qu'on refuse d'emblée à des organismes de santé de pays.
> Je ne vois pas au nom de quoi Apple, entreprise privée étrangère, devrait bénéficier d'une confiance supérieure. Vraiment pas.
En tant qu’utilisateur Apple, on a déjà donné notre confiance à Apple.
Tout comme on l’a donnée aux organisations gouvernementales.
Par contre, on ne l’a pas donné aux intermédiaires gérant des données sur les serveurs. D’où l’importance de minimiser les données qu’on leur transmet.
@FloMo
> Et l’implémentation des API Bluetooth utilisées par StopCovid
Qui doit permettre les protocoles prévus par la spec BlueTooth.
Ce n'est pas le BT d'Apple, c'est le BT standardisé.
> Et l’implémentation du SSL utilisé par StopCovid.
Non, une app peut parfaitement embarqué sa propre implémentation SSL au dessus de TCP (ou même un autre protocole, comme QUIC).
> C’est leur plateforme
Non. C'est leur OS, mais les machines qui font tourner leur copie de leur OS ne sont pas les leurs, non. A ce titre, les usages possibles de ces machines, puces BT y compris donc, ne devrait pas être sous le dictat d'un vendeur mais de leurs réels propriétaires.
> ils la maîtrise de A à Z.
Faux. Y'a plein d'éléments dans un iPhone qui sont maitrisé par des tiers, a commencer par bon nombre d'apps sans lesquels beaucoup moins de monde trouverait intéressant cet appareil appellé iPhone. C'est "y'a une app pour ça" qui fait vendre les iphones, pas l'iphone à lui tout seul, et Apple ne maitrise pas de A à Z l'ensemble des "y'a des apps pour ça".
>> Tout repose sur la confiance.
> C’est bien le sujet.
Exactement. Du coup, pourquoi accorder plus de confiance à une boite privée qu'à un gouvernement qui depuis plus 50 ans organise un processus politique qualifiable de démocratie, et donc un minimum de contrôle du peuple sur ceux exerçant le pouvoir !?
> En tant qu’utilisateur Apple, on a déjà donné notre confiance à Apple.
Non, vous avez renoncé à pouvoir contrôler, nuance.
> Par contre, on ne l’a pas donné aux intermédiaires gérant des données
> sur les serveurs. D’où l’importance de minimiser les données qu’on leur transmet.
Mais Apple est tout autant un intermédiaire : c'est juste le fournisseur d'une plateforme.
Vous, utilisateur, et l'organisme de santé êtes les 2 entités finales impliquées ici. Sans l'une ni l'autre, les intermédiaires ne servent à rien.
Pourtant, vous confiez plus de données à Apple qu'à quiconque.
@byte_order
> Qui doit permettre les protocoles prévus par la spec BlueTooth.
Ce n'est pas le BT d'Apple, c'est le BT standardisé.
Il n’empêche que cette histoire de souveraineté ne tiens pas la route.
> Non, une app peut parfaitement embarqué sa propre implémentation SSL au dessus de TCP (ou même un autre protocole, comme QUIC).
En l’occurrence, pas StopCovid.
>> C’est leur plateforme
> Non. C'est leur OS, mais les machines qui font tourner leur copie de leur OS ne sont pas les leurs, non. A ce titre, les usages possibles de ces machines, puces BT y compris donc, ne devrait pas être sous le dictat d'un vendeur mais de leurs réels propriétaires.
Ok. C’est juste pour contredire. 😂
@FloMo
> Il n’empêche que cette histoire de souveraineté ne tiens pas la route.
C'est un argument, ça !?
>> Non, une app peut parfaitement embarqué sa propre implémentation SSL au dessus de
>> TCP (ou même un autre protocole, comme QUIC).
> En l’occurrence, pas StopCovid.
Et ?
Si c'était nécessaire, elle pourrait.
Vous présentez des API comme étant forcément toutes incontournables à devoir utiliser.
Alors que la réalité c'est que dans un certain nombre de cas, ces API sont proposées pour simplifier le boulot, bénéficier d'une meilleure intégration avec le système, mais qu'elles ne sont pas imposées comme la seule manière de faire quelque chose pour autant.
Certes, plus on descend bas, plus on rencontre alors des API, mais de niveau plus bas donc, qui sont alors incontournables car lié directement à des fonctions que seul le noyau implémente.
Apple a choisi - et pas Google - de lier ENS de telle sorte qu'il soit impossible d'utiliser l'API BlueTooth pour faire sa propre implémentation. Rien ne l'imposait, elle pouvait parfaitement utiliser la validation de l'AppStore pour vérifier que seules des apps issues de gouvernement et à but sanitaire implémentaient un usage de BTLE pour tracer les contacts mais à la place elle a décider d'imposer l'usage d'une API de haut niveau qui mèle BTLE *et* protocole DP-3T.
Ce faisant, elle impose *son* choix de protocole à but sanitaire *et* donc le type d'architecture d'un outil informatique de santé publique.
Si vous n'arrivez pas à voir en quoi cela empiète sur la souveraineté, je vous invite à souscrire votre mutuelle de santé auprès de Apple.
> Ok. C’est juste pour contredire.
Non, je dénonce régulièrement la violation de propriété que sont les plateformes fermées à ce point, des consoles jusqu'aux terminaux iOS.
StopCovid est un véritable fiasco à la Française. Cédric O est le digne héritier des politiques qui ne croyaient pas en Internet parce qu’on avait le minitel.
Dans mon entourage, amis, famille, collègues, PERSONNE ne m’en a parlé.
@damien.thg
> Dans mon entourage, amis, famille, collègues, PERSONNE ne m’en a parlé.
Et vous, vous leur en avez parler ? SI oui, qu'est ce que vous leur avez dit ?
C'est bien beau de parler de la responsabilité des autres, mais en terme de pandémie, la responsabilité incombe de facto à chacun d'entre nous.
@byte_order
Je leur ai dit qu’il fallait porter un masque, se laver les mains, respecter les distances physiques 🙂
@damien.thg
Donc vous avez participé à ce que votre entourage, amis, famille, collègues ignorent l'existence de StopCovid dans l'arsenal des outils et méthodes de lutte contre la pandémie.
On peut débattre de l'efficacité de l'outil comparée à d'autres, mais si vous, alors que vous connaissiez son existence, n'avez pas participé à ce que des personnes puissent connaitre l'existence de cet outil et envisagent, en libre arbitre, de l'utiliser ou pas, vous avez participer à votre échelle à son taux d'adoption trop faible et donc ce que vous appelez un échec.
Je trouve assez hypocrite de souligner une faible audience par quelqu'un qui a en toute conscience refusez d'y participer et/ou rien fait pour que son entourage puisse choisir de le faire.
> StopCovid est un véritable fiasco à la Française. Cédric O est le digne héritier des politiques qui ne croyaient pas en Internet parce qu’on avait le minitel.
Le mode de facturation du minitel aurait été différent, l'avenir l'aurait été aussi.
Le problème n'est pas Google.
Le problème est d'utiliser Google.
Si personne ne l'utiliserait, il n'y aurait plus de monopole.
A la maison, plus de GMail ni de Google...
Une application sur un virus qui s’essouffle... mensonge cette 2eme vague
@francoismarty
Mais +1000 !
On sent à macg, et encore plus chez Florent Morin, un acharnement à dézinguer StopCovid semaines après semaines (ça en est presque à se demander s'il n'y a pas une raison personnelle/professionnelle derrière).
Les critiques basées sur des arguments techniques peuvent s'entendre, la question n'est pas là, mais la mauvaise foi est totale quand on arrive à attribuer l'échec de l'appli à ces choix techniques, après avoir soi-même fait une contre-publicité constante à l'application, et en feignant d'ignorer que nulle part dans le monde les applis de suivi du covid n'ont atteint (et de loin) les objectifs d'installations, et que d'autres pays font moins bien ou à peine mieux que la France en ayant pourtant choisi la solution Apple/Google.
Et ne parlons même pas de la soumission servile aux géants de la tech que tout cela exprime.
@pehache
> On sent à macg, et encore plus chez Florent Morin, un acharnement à dézinguer StopCovid semaines après semaines (ça en est presque à se demander s'il n'y a pas une raison personnelle/professionnelle derrière).
Je vulgarise les sujets techniques liés au développement pour MacG.
Je vois pas pourquoi StopCovid ne serait pas aussi expliqué.
- Par exemple, j’ai entendu dire que Apple / Google faisait transiter les diagnostics médicaux entre les appareils suite au communiqué gouvernemental.
Il est normal de dire que c’est faux. Puisque c’est faux.
- Autre exemple : Cédric O dit qu’on ne savait pas comment ça fonctionnait côté Apple. Alors que les spécifications étaient fournies et ont été exploitées pour les implémentations open-source dès le début.
- Encore un exemple : Orange dit que c’est l’app la plus sécurisée possible. Le bug bounty qui a suivi a prouvé le contraire.
- Un autre ? La CNIL a validé l’aspect vie privée de l’app. Puis Mediapart est passé par là, ce qui a forcé la CNIL à demander à StopCovid de revoir sa copie.
Est-ce que ces faits auraient pu être ignorés ?
Assurément. Cela m’aurait évité une pluie d’insultes.
Mais est-ce qu’il fallait ignorer ces faits ?
Je ne crois pas.
On n’a jamais vu une telle mascarade.
@FloMo
Vous ne faites qu’en partie de la vulgarisation. Vous donnez votre avis et critiquez très durement les choix faits, c’est ça qu’on vous reproche.
@francoismarty
> Vous ne faites qu’en partie de la vulgarisation. Vous donnez votre avis et critiquez très durement les choix faits, c’est ça qu’on vous reproche.
Je ne donne pas mon avis dans les articles.
Juste dans les commentaires.
Après, je pense être juste. Par exemple, si je déplore l’attitude politicienne, je répète systématiquement que le code est de qualité. Et j’ai aussi salué le fait que l’app soit accessible.
J’ai été un peu dur sur la vie privée et la sécurité.
Mais le bug bounty et la CNIL (poussée par Mediapart) ont confirmé mes propos.
L’expérimentation européenne aurait dû s’arrêter le jour où le choix européen a été fait. Et ça, j’avoue que j’ai du mal à le comprendre.
On avait l’opportunité de montrer la force de l’action européenne. Le protocole DP-3T, né en Europe, devenait la base de EN.
Il aurait suffit que les français continuent l’action pour améliorer DP-3T et c’était gagné : non seulement, on avait une solution fiable.
Mais en plus, on pouvait montrer au monde entier la capacité de recherche et d’ingénierie européenne.
La France a saboté le projet PEPP-PT en s’isolant du reste de l’Europe.
Cet orgueil nous a nui mais a aussi nui à l’ensemble de l’Europe.
Et le sentiment que j’ai est un sentiment de gâchis considérable et d’une injustice totale vis-à-vis de ceux qui ont travaillé à faire de PEPP-PT un succès.
Pour y gagner quoi ? Rien. Rien du tout. Pour personne.
@FloMo
> - Autre exemple : Cédric O dit qu’on ne savait pas comment ça fonctionnait côté Apple.
> Alors que les spécifications étaient fournies et ont été exploitées pour les
> implémentations open-source dès le début.
Cela ne rend pas pour autant possible de vérifier réellement ce que fait l'implémentation binaire telle qu'elle est distribuée par Apple.
D'autant qu'il est impossible d'embarquer l'implémentation open-sourced dans une app pour comparer, vu qu'elle sera bloqué par iOS...
Vous présentez cet argument comme une preuve qu'il est possible de savoir factuellement ce que fait réellement l'implémentation distribuée par Apple, alors que c'est pas une preuve. La réalité, c'est qu'il faut faire confiance à Apple en espérant que ce qu'elle distribue est bien l'implémentation qu'elle a rendue public, point.
Factuellement, c'est d'ailleurs faux, car la publication est en retard d'une version de iOS...
> - Encore un exemple : Orange dit que c’est l’app la plus sécurisée possible.
> Le bug bounty qui a suivi a prouvé le contraire.
Tout comme Apple (et d'autres) affirment régulièrement qu'elle propose la plateforme mobile la plus sécurisée du monde... et des failles continuent pourtant d'être trouvées.
Au moins, le bug bounty a été ouvert à tous et *avant* la première distribution.
> Mais est-ce qu’il fallait ignorer ces faits ?
> Je ne crois pas.
Non.
> On n’a jamais vu une telle mascarade.
Mais d'en faire des "preuves" que le projet gouvernemental est une mascarade, là par contre, ce n'est plus remonter des faits, mais exprimer votre opinion.
Donnez moi un projet avec zéro faille de sécurité. Juste un. Vous vous servez des défauts connus d'un projet (comme si l'alternative n'en avait aucun, lui) pour jeter le bébé avec l'eau du bain. Comme si les défauts étaient factuellement rédhibitoire comme vous l'affirmez.
Vous n'avez gobé que l'état ose critiquer le vendeur de la plateforme qui vous fait vivre, surtout...
@Florent Morin
Le problème n'est pas d'avoir pointé les défauts de StopCovid, il est comme le dit @byte_order d'être passé du mode critique au mode dénigrement à sens unique, car en parallèle la solution Apple/Google non seulement échappe à vos foudres mais est vantée. Vous faites même passer la volonté de ne pas dépendre totalement des géants privés de la tech pour une attitude ringarde, alors que s'il y avait bien un point positif dans cette histoire c'était ça.
Mediapart au moins n'avait pas cette attitude partisane. Ils n'ont pas critiqué StopCovid pour mieux vanter Apple, et c'est le principe même du traçage qu'ils critiquent sur le fond.
Et au final comme l'a relevé un autre commentateur, jamais, pas une seule fois, vous n'avez contrebalancé vos critiques et dénigrements par un discours genre "Malgré les défauts de l'app StopCovid qu'il nous parait important de relever, installez-la et utilisez-la, vous participerez malgré tout à circonscrire l'épidémie". Alors venir constater l'échec qu'on a soit-même accompagné, comment dire...
@pehache
Et bien soit. 🙄
@Florent Morin
En tant que dev, je comprend et partage en partie votre vision, il faut pas.tenir.comptes des avis de certain commentaires, il ne connaissent rien au dev info, et pige que dalle aux conséquences de la mise en place de ces apprend lié au civil.. Des qu'il s'agit de défendre une création française mal faite, ils crient au cocorico, au lieu de se poser les vrai questions.. J'observe les avis des non expert en informatique est c'est vraiment chaud, le pays est dans la merde..
Et je te remercie de donner ton avis de la manière la plus honnête en ce qui concerne l'informatique, car Dieu sait que les journalistes en ce forcent sont soins d'être objective et impartial à cause des enjeux économiques actuels.
@morpheusz63
Merci. 😊
C’est vrai que c’est pas évident. Mais c’est comme ça.
J’explique. Je donne mes sources. Après, chacun comprend ce qu’il a envie de comprendre.
@scanmb
Juste un p’tit détail, comme vous dites.
L'anglais a-t-il des avantages intrinsèques qui le prédestinent à être la lingua franca mondiale ?
Non. Il a quelques avantages syntaxiques, mais aussi des inconvénients rédhibitoires.
Le monde anglo-saxon est-il à ce point culturellement irrésistible que sa langue s'impose d'elle-même ? Malgré ce que croient certains, et malgré mon anglophilie atavique, je dirais fermement que tel n'est pas le cas.
Reste la longue dominance technologique, économique, idéologique et politique.
Que cette dominance vienne à s'effriter dans l'un de ces domaines, et, à terme, l'hégémonie de l'anglais y serait compromise.
Tant que la France, de et par elle-même, ne touche plus à une queue de cerise dans ces domaines, il est vain d'espérer que des bravades à la Toubon puissent y changer quoi que ce soit. Qu'elle s'impose dans un domaine donné, et la langue suivra. Nous savons que c'est possible, puisqu'elle l'a déjà fait par le passé. Il n'y a pas si longtemps, historiquement, le français tenait une place prépondérante en diplomatie, dans les mathématiques, dans de nombreux métiers, dans certains arts comme dans certaines sciences, parce que les contributions françaises y étaient incontournables.
N’oublions surtout pas que cette appli de daube ne fonctionne pas de manière satisfaisant en tache de fond sur iOS. Chapeau les artistes
@l3chvck
Merci de fournir une source, car jusqu'à preuve du contraire, c'est pourtant bien le cas.
Mais peut-être ne faites vous que répéter ce que d'autres ont prétendus sans avoir vous même vérifier si l'info était correcte ?
@byte_order
Je suis développeur iOS et j’ai été confronté aux restrictions d’Apple concernant le Bluetooth je sais donc de quoi je parle
@l3chvck
A priori les développeurs de StopCovid ont trouvé comment contourner ces restrictions ! Même Florent Morin de MacG le reconnaît (c'est dire!) en donnant même le lien vers la portion de code qui permet cela...
https://gitlab.inria.fr/stopcovid19/stopcovid-ios/-/blob/master/ProximityNotification/ProximityNotification/Bluetooth/BluetoothCentralManager.swift#L263
Moi je suis incapable d'étudier le code en question, mais si vous êtes développeur iOS, ça devrait vous permettre de le vérifier.
Comme tout les fins managers du gouvernement, CO est une pointure de première bourre. Et donc si son machin n'a pas marché, c'est qu'on n'a rien compris.
@macg
@FloMo
Vous avez eu connaissance de cet article relayé par un confrère ?
https://www.developpez.com/actu/308548/Covid-19-une-enorme-faille-decouverte-dans-l-API-de-contact-tracing-concue-par-Apple-et-Google-qui-permettrait-de-suivre-une-personne-a-la-trace
@francoismarty
C’est un problème de synchronisation entre renouvellement des pseudonymes et renouvellement des adresses MAC.
C’est problématique car on a tous les identifiants d’un utilisateur. Précisément, on sait quels pseudonymes viennent d’un même utilisateur.
Alors que normalement, 1 adresse MAC = 1 pseudonyme. Ce qui bloque le suivi catégoriquement.
Conditions à réunir pour rendre la faille exploitable :
- la faille apparaît sur l’appareil (5/8 à ce que j’ai lu)
- la personne se déclare malade
- la personne a été pistée à moins d’un mètre pendant plus de 15 minutes
- des capteurs avec géolocalisation sont installés tous les 100m (portée du Bluetooth) sur le parcours d’une personne.
Puisque iOS bloque l’usage du protocole EN via les API Bluetooth, des iPhone « zombies » ne pourront être exploités. Côté Android, je ne sais pas.
En tout cas, il faudrait une armée de capteurs.
Alors, on pourra suivre le parcours de cette personne sur la zone couverte. Et son activité. Et donc potentiellement l’identifier.
De mémoire, il faut 300 capteurs Bluetooth pour géolocaliser une personne sur 1500 m2 avec une adresse permanente.
Alors qu’avec la rotation, il en faudrait peut-être environ 3 000. Du fait de la proximité nécessaire.
Après, il faut que la personne soit statique au moins 15 minutes à moins d’un mètre de l’un des capteurs Bluetooth. Sinon, ce n’est pas enregistré et donc pas partagé.
Ça rend l’attaque envisageable. Il faut réunir beaucoup de conditions mais pourquoi pas.
Une telle faille forcerait Apple et Google à appuyer sur le bouton STOP le temps de rectifier le problème.
Avis personnel : la faille sera corrigée dans une prochaine mise à jour. Comme la plupart des failles de sécurité similaires qui accompagnent les différentes mises à jour du système. En attendant, le fait d’avoir mis plusieurs remparts protège l’intégrité du système. Façon Vauban : si un mur tombe, il y en a un autre derrière.
Mais je peux me tromper. Peut-être qu’un attaquant est à l’heure actuelle occupé à quadriller un quartier de capteurs Bluetooth reliés en un énorme réseau.
A suivre. Si un type est assez dingue pour mettre en place une telle infrastructure, ce serait énorme !
@ FloMo
Sur le fond je suis assez d'accord sur la dangerosité relative de cette erreur d'implémentation, mais vous faites preuve une fois de plus d'un discours étonnant.
Quelle aurait-été votre réaction si ce "bug" avait été trouvé sur StopCovid ? Certainement pas celle là. Vous auriez crié au complot, au mensonge, à l'incompétence et là rien, juste un petit: "ce sera corrigé".
Contrairement à ce que vous disiez dans un autre commentaire, vous n'êtes pas juste, c'est tout le contraire, il faudrait que vous ouvriez les yeux.
Ce bug m'amène à plusieurs réflexions:
- le gouvernement aurait du prendre une décision au mois d'avril, basé sur les promesses d'Apple et Google, sans savoir ce que donnerait ces promesses sur le long terme ?
- les spécifications c'est important, mais on est pas à l'abri de bugs, de trous de sécurité même si on s'appelle Apple ou Google. Et là vous êtes très indulgent envers une société qui maitrise pourtant le matériel et le logiciel.
- pour une question de santé Apple ne fait même pas l'effort de déployer sa solution sur des versions antérieures d'ios, disons au moins ios 12, ce serait le minimum, et à titre personnel, j'aurais souhaité remonter un peu plus pour toucher le maximum de personnes. Ca vous n'en parlez jamais car il ne faut rien dire de négatif contre Apple, ils agissent toujours pour le bien de leurs utilisateurs.
@francoismarty
> Quelle aurait-été votre réaction si ce "bug" avait été trouvé sur StopCovid ?
On pourrait intégrer le protocole de StopCovid dans un framework via XSSET par exemple et monter une armée d’iPhone et d’Android zombies.
Puisque le protocole ROBERT n’est pas bloqué côté OS, il n’y a pas de contrôle sur la couche Bluetooth.
Et il n’y a pas non plus de vrai contrôle sur la partie client puisque ça s’appuie sur des Captcha dont la résolution peut être automatisée. Dans le pire des cas, c’est résolution peut même être déclenchée par la victime car ça se passe dans une app de confiance.
Et après ? On espionne au maximum 2 millions d’utilisateurs. Et pour quoi faire ? Le risque réel reste limité à ce niveau.
Ce n’est pas comme si on attaquait directement ce qui se passe sur la stack réseau. Ou si on attaquait le serveur StopCovid. Ou si une seule entreprise pouvait avoir accès à l’ensemble de l’infrastructure.
Si on voulait « chouiner », on dirait que la sécurité du certificat SSL est de niveau B sur SSL Labs.
Mais en réalité, si on y regarde de plus près, on voit qu’ils utilisent TLS 1.3. Ce qui est un bon point.
https://www.ssllabs.com/ssltest/analyze.html?d=api.stopcovid.gouv.fr
Ils utilisent aussi HTTP/2, ce qui est un bon point.
Aujourd’hui, le plus gros risque de StopCovid est que toute l’information est centralisée. Et donc il suffit d’un prestataire un peu véreux qui pourrait accéder à toutes les données.
C’est un danger évitable.
Qui amènerait au même résultat.
Je le dit et je le répète : dans une architecture décentralisée façon DP-3T, StopCovid surpasserait les autres apps.
Même sans Apple / Google. Ce serait dommage de se priver d’une partie de leurs services (on reste dépendant d’eux pour toutes les autres API utilisées dans l’app) mais pourquoi pas.
Une solution est toujours parfaite sur le papier, dans la réalité c’est autre chose.
Microsoft a bien réussi à se faire oublier, ou volontairement omettre, des politiques à ce que je vois 🙃
O... mon bateau... qui coule !
Cette application est symptomatique de l’arrogance française et de l’ incompétence marketing généralisée de nos élites.
Il est évident qu’il est difficile de faire télécharger une application aux gens, et qu’il est extrêmement difficile d’atteindre une pénétration mass market, par exemple supérieure à 30 %
Deuxio, l’application fonctionne sur un effet réseau, donc le taux de pénétration joue au carré.
Pour garder le chiffre de 30 %, avec ce taux, vous ne tracez que 9 % des contacts. 91% passe sous les radars.
Et je parle même pas de la vraie vie, avec les incompatibilités sur l’iPhone, les gens qui coupent le Bluetooth, les terminaux obsolètes, etc
Bref, c’était ÉVIDENT dès le départ que la SEULE SOLUTION POSSIBLE était une fonctionnalité liée à un update de l’OS.
Venir dire qu’il y a eu un problème de communication pour pousser au téléchargement, c’est comme dire qu’on a du mal à se déplacer dans l’eau parce qu’on coule, c’est prouver qu’on a RIEN compris au numérique.
En réalité, c’est une décision politique prise sans doute à un plus haut niveau que Cédric O et c’est pas du tout rassurant.
Pages