Le traçage des contacts avec une application ? « Ce n’est pas dans la culture française » assurait Christophe Castaner le 26 mars. Le ministre de l’Intérieur ignorait-il que deux jours plus tôt, le Conseil scientifique Covid-19 se donnait une nouvelle mission, l’étude d’une stratégie numérique permettant « l’identification des personnes ayant été au contact de personnes infectées par le virus du Covid-19 » ?

Deux semaines plus tard, le 8 avril, le ministre de la Santé et le secrétaire d’État au Numérique levaient le voile sur l’application StopCovid. Après la controverse sur le choix d’un système centralisé, le refus d’utiliser les API proposées par Apple et Google, et l’absence de collaboration à l’échelle européenne, le Premier ministre avait préparé les esprits à un enterrement de première classe.

Aujourd’hui 2 juin pourtant, l’application française de traçage des contacts est disponible. Avec un système centralisé, avec un fonctionnement erratique faute d’exploiter les mesures intégrées aux systèmes d’exploitation mobiles, et sans la moindre interopérabilité avec les applications des pays voisins. Ce qui pose une question : faut-il télécharger et installer StopCovid ?

Poser la question, et y répondre de manière négative, ne revient pas à « accepter les contaminations supplémentaires, les malades supplémentaires, les morts supplémentaires », pour reprendre les mots prononcés par Cédric O à la tribune de l’Assemblée nationale. Ce débat mérite mieux que les fausses équivalences et les arguments d’autorité enfilés comme des perles par le secrétaire d’État au Numérique.

Le temps venu, il faudra disséquer la conception du projet StopCovid, depuis les réticences du couple exécutif jusqu’au vote des parlementaires. Il faudra s’interroger sur le rôle joué par Aymeril Hoang, conseiller en stratégie et ardent promoteur du contact tracing passé par le cabinet de Mounir Mahjoubi, nommé au Conseil scientifique dans un mélange des genres plutôt baroque, en remplacement du non moins controversé Didier Raoult.

Il faudra comprendre la disqualification de la Direction interministérielle du numérique et du protocole décentralisé DP-3T, qui a été adopté par plusieurs pays européens et a inspiré le système présenté par Apple et Google, au profit de l’Inria et du protocole centralisé Robert. Il faudra critiquer le mantra de la « souveraineté numérique » quand l’État s’est dépossédé du projet au profit d’un consortium d’acteurs privés, soutenu par des entreprises infusées de capitaux étrangers.

Dès aujourd’hui, il faut surtout remettre en cause la métaphore guerrière.N’en déplaise à Cédric O, StopCovid est bien « un projet pour temps de paix ». Nous ne sommes pas dans une situation exceptionnelle qui mériterait des réponses exceptionnelles, jusqu’à l’abandon de la logique discursive, mais dans une situation désespérément normale, bien que nous l’ayons oublié. La rhétorique guerrière ne fait que masquer les carences de l’État stratège, surpris la fleur au fusil.

Ces prolégomènes posés, les choses sont relativement simples. D’abord, avec son approche centralisée et nationale, StopCovid n’est pas à la hauteur des enjeux. La France fait cavalier seul avec un système centralisé, quand la plupart de ses voisins utilisent le même système décentralisé1. Alors que le gouvernement veut relancer l’activité de la première destination touristique mondiale, cette situation est proprement ubuesque.

Les touristes allemands pourraient être alertés de l’infection d’un touriste italien, tout en ignorant qu’ils ont croisé un Français malade ! Plusieurs pays discutent d’un système paneuropéen PEPP-PT, mais les positions semblent irréconciliables. Quand l’Inria présente son projet de « protocole interopérable » Desire comme « une évolution décentralisée » de Robert, certains chercheurs notent surtout la présence… d’un serveur central.

Or le protocole Robert et l’application StopCovid n’offrent pas suffisamment de garanties de sécurité et de confidentialité. Alors que la société de cybersécurité Pradeo décerne un satisfecit à StopCovid, les spécialistes sont moins affirmatifs. Après les déclarations absurdes de Stéphane Richard, les hackers s’en sont donné à cœur joie, et ont révélé des dizaines de failles, heureusement pas toutes graves.

Nadim Kobeissi, spécialiste de cryptographie appliquée passé par l’Inria, s’est quant à lui attaché à montrer les faiblesses de l’approche centralisée. Qu’un seul serveur soit compromis, et l’ensemble des données peuvent être désanonymisées. Julien Dubois, qui a travaillé sur plusieurs projets gouvernementaux, s’étonne d’ailleurs que les données soient stockées d’une manière très naïve dans une base MongoDB.

Sont-elles correctement chiffrées ? Où sont-elles sauvegardées ? Comment les serveurs sont-ils configurés ? Si le code de l’application est disponible, certains détails cruciaux restent secrets. La réponse précise à ces questions fait pourtant la différence entre une architecture critiquable mais contenue, et une véritable passoire qui laisserait filer des IP dans des outils de logging et des données mal pseudonymisées sur des serveurs annexes.

À ces critiques propres aux systèmes centralisés s’ajoutent celles qui touchent toutes les applications de contact tracing. Il n’est pas difficile d’imaginer comment ces applications peuvent mener à des indiscrétions involontaires2 ou des attaques volontaires3, sans parler des mésusages institutionnels des données collectées. Des dizaines de spécialistes en cryptologie et sécurité informatique soulèvent ces problèmes.

Quels risques, alors que les applications de traçage des contacts n’ont pas fait la preuve de leur utilité ! Le taux d’usage de 60 %, souvent avancé comme le minimum pour assurer la viabilité du système de contact tracing, n’est pas solidement démontré par la recherche. Avec une pénétration record de 40 %, l’application Rakning C-19 « n’a pas changé la donne » selon les autorités sanitaires islandaises.

Un peu plus d’un quart des Singapouriens ont installé TraceTogether, que le gouvernement autoritaire a remplacé par un nouveau « passeport sanitaire numérique » officiellement facultatif… mais de facto obligatoire. Avec une approche assez similaire à celle de la France, l’Australie a dû attendre un mois avant que le premier cas positif soit déclaré dans son application Covidsafe, utilisée par le quart de la population.

Un quart, c’est précisément la proportion de la population française qui ne possède pas de smartphone, un chiffre qui monte à 56 % chez les plus de 70 ans, c’est-à-dire les personnes qui devraient bénéficier en premier lieu des mesures de protection. Loin, très loin de ces chiffres, Cédric O assure que StopCovid « est pertinent […] avec 10 % environ d’utilisateurs », mais sur un bassin de peuplement plutôt que la population nationale.

Installé sur moins de 20 % des téléphones norvégiens, Smittestopp n’est d’aucune utilité dans le traçage des contacts, mais l’Institut norvégien de santé publique recueille désormais ses données pour modéliser la dynamique de la propagation du virus. De l’aveu même de Philippe Latombe, député MoDem de la 1re circonscription de Vendée, les données de StopCovid seront utilisées de la même manière.

Comment, dans ces conditions, recommander l’installation de StopCovid ? Le danger, c’est l’effet de cliquet, l’exception qui devient la règle. Les vérités d’aujourd’hui ne sont pas celles de demain : le volontariat pourrait devenir une obligation après une seconde vague épidémique, des mesures de contrôle individuel pourraient être ajoutées à l’occasion d’un deuxième confinement, on entend déjà des députés monnayer des libertés contre l’installation de StopCovid.

Et les vérités d’aujourd’hui sont bien faibles. Le consentement est-il vraiment libre, lorsqu’un secrétaire d’État accuse à la mise en danger de la vie d’autrui par manquement, et éclairé, quand les fake news sont disséminées par les députés et les sénateurs eux-mêmes ? Lorsque l’on sait que tout cela coute « quelques centaines de milliers d’euros par mois », qui pourraient financer des distributions de masques et des campagnes de dépistage, il y a de quoi fulminer.

Au final, le rapport risque/bénéfice de StopCovid, à court terme plus encore à long terme, nous semble fort défavorable. Parce que c’est une solution locale à un problème mondial, parce qu’elle risque de renforcer le sentiment de fausse sécurité, parce qu’elle banalise les mécanismes de surveillance numérique, parce que les applications de contact tracing sont inefficaces, nous vous recommandons de ne pas installer StopCovid.