StopCovid, destinée à « tracer » les cas-contacts, est devenue TousAntiCovid, qui s’est progressivement transformée en guide renfermant les indicateurs sanitaires et les informations sur la campagne de vaccination. L’application du gouvernement peut maintenant enregistrer le statut vaccinal, le résultat d’un test négatif ou le certificat de rétablissement d’une personne, et faire office de « pass sanitaire ». Ce qui pose une question aussi simple que cruciale : quid de la sécurité du code QR et de la protection des données privées ?

Quels risques pour la confidentialité ?

Vous pouvez juger des risques envers la confidentialité de vos données en vous posant trois questions : une information peut-elle permettre de vous identifier personnellement ? La collecte d’informations peut-elle permettre de créer un profil numérique vous correspondant ? Les informations ainsi réunies peuvent-elles avoir un effet négatif sur votre vie quotidienne ? Cette grille de lecture s’applique facilement aux réseaux sociaux, par exemple.

Que vous possédiez un compte Instagram ou pas, vous pouvez être reconnu au second plan d’un selfie diffusé par un « influenceur » à des millions de personnes, mais les conséquences sont rarement graves. Que vous possédiez un compte Facebook ou pas, le pixel Facebook disséminé sur les sites web permet de retracer votre navigation et de créer un profil, avec les conséquences que le scandale Cambridge Analytica a bien montrées.

Nous avons appliqué une grille de lecture similaire pour soulever les questions posées par la première version de StopCovid. La fuite de données aussi personnelles que les lieux fréquentés et une éventuelle contamination pourrait avoir des conséquences graves sur la capacité de trouver un emploi ou signer un contrat d’assurance. L’attention que l’on doit porter à la sécurité de ces données, voire à la pertinence de les collecter, doit être à la mesure des risques encourus.

Le code QR

L’essentiel est donc de faire la part des choses entre ce qui est risqué et ce qui ne l’est pas, et d’établir la balance bénéfices/risques. Prenons l’exemple du code QR désormais utilisé pour « tracer » les contacts dans les lieux publics. Ce code renferme trois informations :

• un code unique ;
• un numéro de version ;
• une date qui doit être inférieure à 14 jours.

Le code unique est la seule information utile pour le traçage, chiffrée et stockée sur le smartphone. Jusqu’ici, aucun risque pour la vie privée.

Alors que le contact tracing de l’application StopCovid utilisait le protocole centralisé ROBERT, le traçage avec les codes QR est décentralisé avec le protocole CLEA. La liste des codes des clusters est régulièrement récupérée, et comparée en local avec les codes des lieux visités. Si on est concerné par un lieu visité, une autre requête est exécutée afin d’avoir les détails du risque en fonction de la date précise de la visite.

Si on se signale comme malade, la liste des codes de lieux visités est envoyée pour ensuite être redistribuée vers les utilisateurs. Au final, les informations transmises sont minimales et la fiabilité du code QR est incomparable à celle du Bluetooth, en particulier sur iPhone. Le risque pour la vie privée est bien plus élevé en saisissant ses coordonnées personnelles dans un carnet de rappel.

Le pass sanitaire

Le sujet du pass sanitaire est plus délicat, car il s’agit de présenter des informations personnelles au travers d’un code QR :

• l’identité de la personne vaccinée ;
• sa date de naissance ;
• le type de preuve sanitaire (statut vaccinal, résultat d’un test négatif, certificat de rétablissement) ;
• les informations liées au type de preuve (dans le cas du statut vaccinal : vaccin administré, nombre de doses, date de la vaccination, émetteur du certificat) ;
• les informations permettant de confirmer l’authenticité de la preuve.

Les informations fournies sont clairement identifiantes, mais après tout, des centaines de milliers de personnes ont annoncé leur vaccination sur les réseaux sociaux. Le risque réside d’abord et avant tout dans la possibilité que ces informations soient exploitées par des personnes malveillantes au moment de scanner le code.

Si on sait que vous êtes allé dans tel restaurant puis dans tel lieu de culture, cela peut en dire long sur votre catégorie socio-professionnelle et autres informations personnelles croisées ensuite avec le reste des informations laissées ici et là. Est-ce que cela apporte réellement une information supplémentaire par rapport à l’usage de la carte bancaire, des réseaux sociaux et autres ? Cela dépend de chacun.

Il y a également un évident risque de discrimination du fait d’être vacciné ou non, testé ou non et malade ou non. Mais on dépasse ici le périmètre du pass sanitaire. Vaut-il mieux garder le certificat sur un papier ou bien l’importer dans l’application TousAntiCovid ? L’enregistrement dans une application installée sur un téléphone protégé par un chiffrement robuste est probablement plus prudente que l’impression d’un morceau de papier qui est toujours visible et peut être égaré. Cela dépend encore une fois des usages de chacun.

Dernier point : la fameuse web app CovidPass qui permet d’ajouter le certificat à l’application Wallet dont nous avons déjà parlé à sa sortie a un peu évolué. Aujourd’hui, on peut générer un certificat depuis son propre serveur via Docker et on peut utiliser son propre compte développeur Apple pour la signature numérique du pass. À l’installation du pass dans Wallet, la signature de ce dernier est vérifiée par mesure de sécurité, comme pour une app.

Ensuite, le tout reste hors ligne. Il faut bien penser à bloquer l’accès à Wallet avec un code ou Touch ID/Face ID comme nous l’avions déjà précisé (Réglages > Face ID et code > Wallet). Par défaut, il n'y a pas de protection, ce qui signifie que quiconque a votre iPhone peut consulter votre pass. Concernant la protection des données dans Wallet, il y a un chiffrement géré par le système comme pour toute application. Mais le niveau de sécurité sera probablement inférieur à celui de TousAntiCovid, car Wallet est initialement prévu pour des usages tels que les billets d’avion qui contiennent des données moins sensibles.

Un choix personnel

Compte-tenu des informations à disposition et des connaissances actuelles sur le sujet, il n’y a pas spécialement lieu de s’inquiéter concernant les codes QR dans les lieux public. Il est bien plus prudent de scanner et garder sur son appareil un code plutôt que de laisser ses coordonnées sur un carnet à la vue de tout le monde.

Pour ce qui est du pass sanitaire, la seule question est de savoir s’il est plus à l’abri dans votre smartphone chiffré et verrouillé ou bien caché dans votre poche. Pour le reste, on n’a pas spécialement le choix si on souhaite se rendre dans un lieu concerné par les obligations de pass sanitaire. Cela semble très bien sécurisé, mais personne n’est à l’abri d’une faille. À partir de ces éléments, la balance bénéfice/risque est propre à chacun et reste un choix personnel.