@Frodon

Plus maintenant. StopCovid fait du pinning SSL. Globalement, c’est solide.

@FloMo

J’ai un peu de mal à comprendre ce que vous voulez dire , mais j’imagine que le sens est le même que votre dernier message un peu au dessus, je vais donc me baser sur celui ci pour vous répondre : 😊

Un serveur pourrait tout à fait faire office de passerelle.
Il recevrait les vrais identifiants sur serveur StopCovid.
> Vous voulez dire façon « man in the middle » ? Avec un faux serveur qui se place entre les applications des téléphones des gens et le serveur réel ? C’est tout à fait possible d’établir un tel faux serveur, mais si la communication est chiffrée (et c’est sûrement le cas) il sera impossible de lire son contenu, donc impossible d’intercepter et de lire une requête envoyée au serveur du gouvernement.
Quand à se faire passer pour le serveur officiel , c’est techniquement possible, mais si l’application mobile est faite correctement, elle n’acceptera que le certificat possédé par le serveur officiel du gouvernement, et refusera donc de discuter avec un serveur pirate.
L’application étant open source, on peut en créer une version qui sera configurée pour dialoguer avec le serveur pirate, mais on ne pourra l’installer que sur ses propres appareils, il sera donc difficile de toucher un large public avec notre fausse application pirate...

Il recevrait les vrais identifiants sur serveur StopCovid
> Que voulez vous dire par là ?
Si vous voulez dire intercepter les identifiants générés par des téléphones lambdas, c’est impossible comme dit ci dessus.
Si vous voulez dire récupérer la liste des identifiants déclarés positifs au Covid directement depuis le serveur, je pense que c’est impossible : si c’est bien fait, le serveur ne vous donnera pas la liste des identifiants contaminés, mais votre téléphone lui envoi la liste des identifiants croisé, et c’est le serveur qui dans son coin regarde s’il y a une correspondance entre les deux listes. Si oui, il cherche à établir si les contacts ont duré un certain temps (15 minutes). Si oui, le serveur renvoie comme message à l’application qu’un contact avec une personne positive au Covid-19 à été détecté, sinon il lui renvoie qu’il y a rien à signaler.

Ensuite, il ferait en sorte que des apps ou des Raspberry Pi distribuent ces vrais identifiants.
En gros, ça ferait comme si un seul utilisateur était allé partout.
> Tout ce que j’ai dis au dessus s’applique à la communication entre l’application et le serveur, et comme dis précédemment, il est quasiment impossible de corrompre cette chaîne.
Cela dit, et je pense que c’est ce dont vous voulez parler (je compte sur vous pour me corriger si je me trompe 😉), il doit être possible d’enregistrer les émissions Bluetooth d’identifiants entre les applications, de téléphones à téléphones, et de les rediffuser à grande échelle sur tout le territoire, en espérant que dans le tas des identifiants captés au moins l’un d’eux se déclare positif au Covid-19, et fasse ainsi de tout le monde des cas contacts.

Puis il envoie les identifiants collectés au serveur central.
Il y a de bonnes chances dans le volume qu’un malade ait été en contact avec le faux utilisateur.
Et donc, tous ceux qui ont été croisés sont considérés cas contact.
> Si l’on parle de communication de téléphone à serveur, on ne pourra pas soumettre de façon pirate des enregistrements positifs sans le qrcode d’un laboratoire d’analyse.
Cependant, si dans la première phrase le « il » désigne un téléphone lambda ayant reçu les enregistrements légitimes enregistrés puis diffusés largement par des rapsberry pi par exemple, alors oui c’est possible.

C’est un risque connu.
> Effectivement, mais je vois plusieurs façon de contourner le problème : le serveur du gouvernement sait combien de fois l’application a été activée. Si une proportion trop grande des téléphones activés se met à dire qu’elle a été en contact avec tel identifiants le même jour au même moment, on peut se douter qu’il y a anguille sous roche.
Autre façon de faire, un enregistrement de personne positive devant être activé par un qrcode délivré par un laboratoire, on peut imaginer que ce qrcode fasse référence au lieux visités par la personne positive. Lors de la vérification par le serveur des potentiels cas contact, si un cas contact est confirmé, le serveur pourrait renvoyer la liste des lieux visités par la personne contaminée, et le propriétaire du téléphone censé être cas contact peut alors vérifier si elle a bien été dans ces lieux ou pas (si l’application me dit que je suis cas contact de quelqu’un vivant à Nantes et que je n’ai jamais quitté Marseille, je suis en droit de me demander s’il n’y a pas une touille dans le potage...)
Aussi, monter un tel parasitage à l’échelle du pays serait extrêmement coûteux, il faudrait une quantité énorme d’appareils pirates pour couvrir un territoire donné, même si l’on peut imaginer ne piéger que quelques endroits partis les plus peuplés, ou brassant beaucoup de monde (supermarchés, lieux de culte, salle de spectacle, ...)
Et dernier argument, quel serait l’intérêt d’un tel sabotage ? Qui aurait intérêt à mettre le bazar dans les capacités de la France à détecter des cas de Covid permis sa population ? Il doit bien y en avoir, mais tirer sur une ficelle comme celle ci serait (je pense) très coûteux en matériel et en organisation, en plus de ne pas être très discret et facilement repérable (mais pas facilement contrable à priori, même si quelque chose peut tout à fait m’avoir échappé 😙)

J’espère avoir bien compris ce que vous vouliez dire 😄