38 réflexions sur « QR codes et pass sanitaire »

1. Bonjour, les QR codes des certificats de vaccination covid suivent le standard français 2d-doc et sont signés avec un algorithme asymétrique et des clés publiques connues. Il n’est donc pas facile de les falsifier. Nota: le standard sert aussi pour signer les factures EDF ou autres permettant de justifier son domicile auprès d’administrations.

   • Je n’ai pas écrit qu’il était facile de créer un faux certificat numérique de vaccination, j’indique qu’il est d’une part facile de générer un QR code (de façon générale et quelque soit l’information qu’il contient), et d’autre part qu’il est facile de récupérer un QR code officiel de vaccination sur des photos partagées de manière insouciante sur les réseaux, pour fabriquer un faux et falsifier un document officiel (par exemple avec une paire de ciseaux).

   • Pour le moment il me semble qu’on parle surtout du passe sanitaire pour voyager et pour les évènements de plus de 1000 personnes type tournoi de Rolland Garos où il ne me paraît pas du tout aberrant d’obliger les organisateurs à vérifier que le qr-code correspond bien à la carte d’identité.
     En plus le simple fait de pouvoir vérifier facilement qu’un document est un faux augmente nécessairement les risques de ceux qui voudraient en forgé un, donc même si on l’utilisait pour par exemple entré en boîte de nuit, ça resterait un facteur limitant même si bien sûr je doute que les vérifications seraient assez strictes.

2. Si TousAntiCovid n’est pas compatible avec les autres applications de contact-tracing pour des raisons de protocole, la partie servant de wallet pour abriter le QRcode ne pose pas de problème. Elle se contente d’afficher le QR à l’écran pour qu’il puisse être scanné (donc comme si vous montriez le document papier ou hébergiez un scan dudit papier sur votre téléphone (mais lui ne sera pas sécurisé dans la partie wallet de votre téléphone))

   En ce qui concerne la falsification, le QR code ne fait que fournir du code (en gros, des données permettant de vous identifier (nom, prénom, DDN, adresse) à déchiffrer à l’autorité qui contrôlera et disposera de la clef, donc pas évident de le falsifier (c’est un euphémisme).
   Utiliser le QR code d’un autre peut fonctionner si la personne qui contrôle ne vous demande pas vos papiers d’identité (la présence d’un code valide lui semblant suffisante)

   Je ne m’étenderai pas sur votre description du contact-tracing mais disons que c’est très loin du protocole Robert mis en œuvre et documenté publiquement 😉

   • J’ai relu mon billet, et je ne vois nul part un descriptif du contact-tracing (ce n’était pas l’objet du billet). Je comprends que vous ne vous étendiez pas dessus…

   • « Utiliser le QR code d’un autre peut fonctionner si la personne qui contrôle ne vous demande pas vos papiers d’identité »
     Ca devrait être utilisé pour les restaurants. Combien s’ennuieront à demander la pièce d’identité du client? Et si le client dit qu’il a égaré ses papiers?
     Pendant la première vague, des gens ont signé « Maryline Monroe » sans que ça fasse de vague… 😀

   • @Youpi : la présentation des documents sanitaires n’est pas prévu pour les restaurants.
     Pour les restaurants, c’est une autre processus (lui aussi à base de QRcode ; la communication a multiples effets d’annonces et fuites organisées n’aide pas à comprendre, c’est clair) ou le principe des cahiers papiers comme l’année dernière, libre à celui qui inscrit ses coordonnées (réelles ou non) de vouloir être prévenu ou non d’une quelconque infection dans le lieu où il a déjeuné ; c’est sa responsabilité.

   • @Zithom : quand vous écrivez « elle collecte des données personnelles sensibles (les personnes que l’on rencontre) », vous parlez bien du contact-tracing, non ?

3. Ah, enfin un avis intéressant sur le sujet. 🙂

   Les QR codes…
   J’avais un pote qui s’amusait à « cocher des cases supplémentaires » (noircir des blancs) sur les QR codes affichés sur les affiches :D.
   Tous anti Verole…
   Tout le monde en parle sur les chaînes publiques (radio/télé) disant que c’est génial, nécessaire, que ça lave plus blanc que blanc, que ça va tous nous sauver. L’impression d’avoir affaire à des pubs plus qu’à du journalisme. Ca ne me donne pas confiance.
   Et les deux critiques de vos propos plus haut me donnent encore moins confiance. On dirait des extraits du « petit manuel pour flinguer une opinion contraire ».
   Courageux de votre part de vous être attaqué au sujet, donc.

4. > et d’autre part qu’il est facile de récupérer un QR code officiel de vaccination sur des photos partagées de manière insouciante sur les réseaux, pour fabriquer un faux et falsifier un document officiel

   désolé mais non, ou alors il faut le prouver

5. Merci pour ce post et surtout son avant dernier paragraphe.

6. Bonjour Zythom, merci pour vos articles.
   J’ai l’impression qu’on était habitué à un peu plus de prudence épistémique et d’explication des limites des informations que vous donnez dans vos analyse pour les procès, là vos réponses me semble un peu à charge, mais cela reste intéressant de vous lire, rien ne vous oblige à être expert ou neutre sur tous les sujets et c’est chouette d’avoir la transparence d’exposé vos réponses.

   • Merci pour ce commentaire. Mais il faudrait expliquer ce que vous entendez par « un peu à charge » pour que je puisse répondre et échanger avec vous. J’ai rarement été neutre sur les sujets d’expertise que j’ai abordés et partagés, ce qui m’a valu un certain nombre d’inimitiés de la part des experts les moins enclins au libre partage…

   • Vous avez raison j’aurais du être plus précis.
     Par « prudence épistémique » j’entends que j’aurais aimé voir indiqué qu’être un expert judiciaire ne fait pas de vous un expert sur tous les sujets et toutes les technologies et que vous ne pouvez répondre qu’à partir la compréhension que vous en avez. Mais sans doute l’avez vous préciser dans vos échanges préalables avec le journalistes.
     Par réponses à charge, j’entends que vous n’indiquer qu’une partie des éléments de réponses et visiblement que ceux qui vont dans le sens de votre opinion.
     Une attestation de vaccination est composée d’un QR-code pour anticovid mais également d’un 2D-DOC pour certifier l’authentification. Une signature électronique est par définition invérifiable directement par un humain sans équipement, ca n’aurait aucun sens de l’écrire avec des caractères à recopier manuellement.
     Le 2D-DOC et le QR-Code contienne les mêmes informations que ce qui est écrit sur la feuille, à la signature d’authenticité prêt.
     On peut copier un le 2D-DOC mais on ne peut pas changer les informations coder dedans sans quoi la signature ne sera plus valide.
     Tous les informaticiens n’ont pas indiqué que TousAntiCovid serait forcément inefficace, et sont inefficacité tiens bien plus sur le fait qu’elle est peut adoptée par les français que par le fait que ça ne soit pas compatible avec les systèmes étrangers. Les sociologues auraient donc sans doute été au moins aussi compétent pour prédire sont efficacités que des informaticiens. Il y a pleins d’autres applications qui collectent des données sensibles, tous anticovid ayant été une des plus épiées et étant activable que quand vous le souhaiter, ce n’est peut être pas l’application pour laquelle il y a le plus à craindre.

   • Je rajouterais pour le coup des QR-Code qu’on scanne n’importe où.
     Je pense que la plus part des applications afficheront le lien où en tout cas le nom de domaine du lien avant de vous lancer le navigateur ou d’ouvrir une autre application.
     Effectivement si c’est automatique c’est pas terrible mais ça me parait pas courant.
     Oui il y a un risque mais c’est quasiment le même que celui de recopier une URL raccourcie à la main ou de cliquer sur un lien d’une URL raccourcie quand on surf sur le web, ou d’aller sur un site qu’on ne connait pas, ce qui arrive tout le temps en fait (qui nous prouve par exemple qu’il n’y a pas de malware sur votre site, à votre insu ou non).

   • Si vous êtes vraiment lecteur de ce blog, il ne vous aura pas échappé que je ne suis plus expert judiciaire. Par ailleurs, j’ai toujours écrit et défendu l’idée qu’être expert judiciaire ne fait pas de vous un expert dans tous les domaines. Je trouve curieux que vous veniez me reprocher de ne pas systématiquement le rappeler.

     Je ne vois pas trop le rapport entre les informations que vous mentionnez sur les certificats et mon billet : je ne parle pas de modifier le contenu d’un certificat, mais de la facilité qu’il y a de générer un faux (par exemple en dupliquant un QR code trouvé sur les réseaux sociaux).

     Je n’ai pas écrit « tous les informaticiens » mais « les informaticiens », vous me prêtez des écrits que je n’ai pas tenu. Mais s’il s’agissait d’un rapport d’expertise, j’aurais plutôt écrit « des informaticiens compétents ». Je vous renvoie aux articles de la Quadrature du Net sur StopCovid. Y figure également des sociologues, mais je me suis contenté de mon champ d’expertise, à savoir l’informatique. Et dire qu’il y a d’autres applications plus dangereuses n’est pas pour moi un argument décisif ni pertinent.

     J’attendais beaucoup mieux d’un gouvernement que de choisir de faire développer gratuitement une application franco-française qui coûte d’après mes sources environ 3 millions d’euros par an à maintenir. Une enquête a d’ailleurs été ouverte il y a quelques jours par le parquet national financier sur les conditions d’attribution du marché de la maintenance payante.

     Un an après les avertissements d’informaticiens compétents, le triste résultat est là : cette application n’a pas joué le rôle qu’elle prétendait jouer, et elle sert maintenant simplement de support pour les attestations de déplacement et le futur pass sanitaire numérique. Quel gâchis !

   • Quand un journaliste interroge sur un sujet technique, il me semble raisonnable de préciser que l’on est pas forcément expert des questions que l’on nous pose et donc que l’on répondra simplement au mieux de nos connaissances. Mais c’est mon opinion, vous êtes libre d’avoir le votre.
     Dupliquer un document officiel ce n’est pas faire un faux il me semble. Faire un faux c’est le modifier. Et le but d’une signature c’est justement de détecter quand on modifie les informations couvertes par la signature. Le journaliste vous interroge sur le QR-Code « dans le cadre du pass sanitaire ».
     Il me semble que votre réponse à la question « Peut-on forger un QR Code, par exemple pour s’attribuer un faux test négatif ou une preuve d’immunité ? » est simplement fausse.
     Oui on peut copier un QR Code pour que visuellement le document ressemble à un vrai, mais soit on n’aura pas modifier les informations qu’il contient donc le nom ne sera pas le notre, soit on ne pourra pas signer les informations que l’on a modifiées, parce que l’on ne possède pas la clef privée pour le faire.
     Le QR-Code sert justement à signer les informations pour ne pas qu’elles soient altérées et éviter que l’on ne puisse détecter qu’un certificat est un faux de manière simple, sans passer par une autorité centrale que l’on pourrait interroger pour n’importe quel nom pour savoir si cette personne est vaccinée ou non.
     Après je ne peux vous en vouloir d’un peu de mauvaise fois, ca nous arrive à tous.

   • Modifier un document officiel en remplaçant son QR code par un QR code recopié sur internet, c’est indubitablement faire un faux.

     A la question « Peut-on forger un QR Code, par exemple pour s’attribuer un faux test négatif ou une preuve d’immunité ? », j’ai répondu en deux temps, ce qui entraîne une confusion dans votre esprit : oui il est facile de forger un QR code (c’est une évidence), et oui il est facile de s’attribuer un faux test négatif en récupérant un QR code recopié sur internet pour faire un faux.

     Il ne s’agit pas de mauvaise foi de ma part, mais d’une réponse en deux temps que je reconnais pouvant prêter à confusion (mais ce n’était pas volontaire de ma part). A aucun moment je n’ai voulu aborder les certificats électroniques. Accordez moi cette maladresse.

   • Est-ce que vous voulez dire que vous ne saviez pas que les QR-Code utilisés pour les attestations contenait une signature par clef asymétrique donc difficilement falsifiable, ou bien que vous saviez qu’il y en avait une mais que cela ne vous paraissait pas pertinent à expliquer pour répondre à la question « Peut-on forger un QR Code, par exemple pour s’attribuer un faux test négatif ou une preuve d’immunité ? ».
     (pour ceux qui voudrait plus d’informations sur les 2D-Doc : https://ants.gouv.fr/Les-solutions/2D-Doc)
     Mais peut être que votre intention n’était pas d’informer le journaliste d’un point de vue technique sur les technos mais plutôt de le convaincre d’une opinion. Et après tout ça me semble tout à fait respectable, c’est au journaliste (ou au lecteur) de confronter différents avis pour se faire le sien, vous n’avez aucune obligation de neutralité on d’objectivité dans les informations que vous donnez.

   • Je pense avoir été clair : je connais parfaitement les mécanismes liés aux certificats, mais il ne m’est pas apparu intéressant de noyer le lecteur dans ces détails techniques, puisqu’il est facile de créer un faux document papier en récupérant un QR code valide sur les réseaux sociaux. C’est un point de vue neutre, objectif et simple à comprendre. Vous semblez vouloir absolument me prêter des intentions que je n’ai pas eues.

   • Je n’arrive pas à comprendre comment vous pouvez trouver que cela est juste un détail technique qui va noyer le lecteur, et j’essayais donc de comprendre d’où venait notre différence de point de vue.
     Non on ne peut pas récupérer un QR-Code valide et à notre nom facilement sur les réseaux sociaux.
     Une compagnie aérienne ou tout autre organisme capable de lire le 2D-Doc et de vérifier que la signature correspond à une clef publique officielle et qui vérifie que le nom correspond à la carte d’identité détectera un faux. Et ce sans que cet organisme est accès à une base de donnée listant les personnes vaccinées ou non.
     C’est le but de ce 2D-Doc qui vient signer les informations (que l’on peut par ailleurs lire directement sur le document papier qui le contient).
     Si le but du QR-Code avait juste été de pouvoir charger le document sur le téléphone mais sans rien garantir d’autre j’aurais compris votre point de vue.
     Là je vais me contenter de ne pas le comprendre, mais c’est pas grave on ne peut pas tout comprendre dans la vie, vous avez le droit d’avoir votre façon de voir les choses bien sûr.

   • Encore une fois vous me prêtez des propos que je n’ai pas tenu : je n’ai jamais dit qu’on pouvait « récupérer un QR code valide – et à notre nom – facilement sur les réseaux sociaux ». J’ai dit qu’il était facile de récupérer un QR code valide, point. Vous pensez réellement qu’à l’entrée d’un bar ou d’une salle de concert il y aura une vérification d’identité ? Non, bien sur.
     Il est donc facile de fabriquer un faux parce que les gens publient des QR codes comme des « images » sans vraiment comprendre ce qu’ils font, ce qui est le point central de mes réponses aux questions du journaliste.

   • Bravo Zythom, j’admire le calme de tes réponses dans une discussion avec un Troll !

   • @Plip : Quand j’étais expert judiciaire, j’étais plutôt bon dans les réponses aux dires des avocats, en particulier quand mon rapport d’expertise n’allait pas dans le sens qu’ils souhaitaient. Je reste ouvert, factuel, et si les arguments de l’avocat sont pertinents, je sais le reconnaître et modifier mon rapport d’expertise. Ce qui est intéressant, c’est que la discussion est annexée au rapport… et donc que le juge s’en régale parfois, en cas de mauvaise foi évidente.

   • @Plip Est-ce que la discussion est si inutile que ca ? Perso cela m’a permis de comprendre que notre différence de point de vue n’avait rien de lier à la technique mais simplement de savoir si l’on estime que les endroits où le pass sera nécessaire seront capables de vérifier si celui-ci correspond à une carte d’identité ou non.
     Moi je pense que les compagnies aériennes et les grands évènements n’auront probablement pas trop de mal avec ça. Évidemment si on le demande pour faire ces courses ça ne fonctionnera pas.
     J’ai fait de mon mieux pour éviter de sortir du sujet principal et comprendre le point de vue de zythom sans m’écarter dans des débats inutiles ou des attaques personnelles.
     Donc merci Zythom d’avoir pris le temps de l’échange, sans celui-ci je n’aurais toujours pas compris d’où venait ton point de vue.

7. Merci Zythom de vous êtes prêté à cet exercice.
   Tout à fait en accord avec vous.
   Bonne continuation à vous

8. Au vu de certains échanges ci dessus, j’aimerais mettre mon grain de sel/troll.
   Si Zythom n’est peut être pas l’excellence absolue en informatique, il y a quelque chose que j’ai appris sur ce blog (dans son activité d’expert judiciaire), c’est l’importance du facteur humain.
   Vous pouvez concevoir le système le plus sécurisé du monde, si les gens qui l’utilisent ne comprennent pas les enjeux, son degré de sécurité avancé n’aura qu’un intérêt relatif.
   J’ai un exemple en tête.
   La puce d’une carte bancaire est un outil plutôt bien sécurisé et le citoyen de base a fini par comprendre qu’il ne faut jamais confier son code à 4 chiffres. Pourtant une connaissance s’est fait voler sa carte (vol dans un centre commercial) mais aussi son mot de passe: le voleur avait des complices qui se postaient à proximité des DAB et tentaient le voir les chiffres tapés sur les claviers. Même pas eu besoin d’un faux clavier.
   Pas besoin d’attaquer la technologie sous-jacente à la carte bancaire: elle a simplement été contournée.

   On pourrait citer le cas classique des vols d’identité… grâce à des administrations qui demandent d’envoyer des scan de pièce d’identité par email non sécurisé, etc. Les mots de passe qui traînent à droite à gauche. C’est des fois difficile de sensibiliser des informaticiens alors le citoyen de base…

   Je me souviens aussi de la note de ce blog où un code d’accès à un ordinateur avait été volé grâce à une caméra de surveillance qui n’était pas verrouillée correctement. Là aussi contournement et faiblesse humaine.

   Je n’ai pas personnellement les compétences pour analyser stopcovid mais je suis soupçonneux à son égard parce qu’il a plusieurs caractéristiques que j’ai souvent vu attribuer à des produits qui ont été sources d’ennuis:
   – projet avec un fort impératif politique, d’où le risque que la priorité ait été l’agenda politique et non la sécurité
   – projet centralisé donc risque que des personnes bien ou mal intentionnées aient accès aux données. Ou que des personnes bien intentionnées récupèrent des données sur un appareil non sécurisé qui se fera pirater, etc.
   – projet présenté comme « formidable et sans inconvénient » au grand public. Ca n’existe pas. Je suis rassuré quand je vois la liste des effets secondaire d’un médicament: ça prouve:1- que ce n’est pas un placebo 2-que le labo respecte la loi 3- que je sais ce dont il faut que je me méfie.
   – plusieurs ajouts de fonctionnalités sur l’appli initiale: ce devait être un logiciel mesurant la distance de proximité grâce à une fonction dérivée du bluetooth, c’est bien parti pour devenir la panacée anticovid. Les usines à gaz ont tendance à planter.
   – contrats de sous-traitances: encore plus de personnes susceptibles d’avoir le nez dans les données!
   -code source qui a traîné à être publié. Habitudes du secret défense?
   Ah, et il faut un smartphone, moderne si possible. Et ayant le bluetooth allumé. Pas mon cas.

   J’ai plus confiance dans le vaccin que dans cette application.

   • Bonjour Youpi.
     Je pense que les échanges portaient plus sur les QRCode que sur stopcovid, qui sont deux choses bien différentes, il n’y a pas besoin de stopcovid pour utiliser les QRCode certifiant qu’une personne est vaccinée, il faut juste garder le papier avec le QRCode imprimé dessus.
     Dans ce cadre là, l’appli StopCovid est juste un outil pour l’avoir toujours sur soit et que ce soit plus pratique, comme pour les attestations en fait.
     Pour stopcovid, je suis pas là pour le défendre mais on peut quand même aussi nuancer les choses.
     D’abord au moment où ça a été développé il n’y avait pas de vaccin, et d’ailleurs si trois solution distinctes A, B, C ont des chances de réduire les chances de propagations de façon indépendante ou complémentaires, ca sert à rien d’opposer A, B, et C, il faut faire les trois.
     A mes yeux au début du confinement personne ne pouvait dire combien de vie exactement l’application permettrait de sauver, c’est un biais de résultat de croire le contraire.
     Oui l’application à couter cher, mais c’est relatif. Si on divise le prix au nombre de cas contact signalé par rapport au prix des tests PCR par exemple, ce n’est pas du tout le même ordre de grandeur.
     Et je doute qu’on puisse dire que l’énergie dépenser pour faire l’appli à empêcher de déployer de l’énergie dans d’autres secteurs qui n’ont rien à voir. Sauf pour la communication à la rigueur, mais ça ce n’est pas vraiment le problème de l’appli elle même.
     Un consortium d’entreprise ca ne veut pas dire que tout le monde accès aux données. Et l’inria est un organisme publique, si on était partie sur une solution google je suppose que les gens s’en seraient pleins aussi.
     Je ne suis probablement pas les médias classiques, mais dans ce que j’ai vu l’application n’était vraiment pas présenter comme la solution miracle sans aucun inconvénient.
     Il est logique de mettre le plus de fonctionnalité utile possible dans une application de lutte contre le covid. S’il avait été choisi de faire une application pour les attestations de déplacement, une pour stocker les certificats de vaccination, une pour informer, une pour le contact tracing, cela aurait sans doute été plus couteux et surtout les gens se seraient pleins à raison que c’est incompréhensible.
     Il ne faut pas croire qu’un projet décentralisé ne présente pas de risque puisque le code source du projet (ou sa mise à disposition) est bien centralisé lui. Oui il y a des risques, la question c’est juste de savoir si ça vaut le coup ou pas. Aujourd’hui on accepte presque tous d’avoir un téléphone qui s’il est corrompu peut nous localiser en permanence, on utilise des moyens de paiement qui permette de tracer tous nos achats, on échange des photos et des informations sur des plateformes étrangères.
     Chacun est libre de juger ce qui vaut le coup où pas. Tenter de réduire la propagation du virus me semblait un objectif pouvant justifier de prendre quelques risques assez minime.
     L’application n’est pas obligatoire et même quand on l’installe on est pas obligé de lancer la partie contact tracing (c’est d’ailleurs en grande partie ce qui fait son manque d’efficacité).
     Tout ca pour dire, il n’y a pas que des arguments contre l’application. Ce n’est pas parce que l’on est soit même contre l’application que l’on ne peut pas présenter ces arguments et ensuite expliquer pourquoi ils ne nous semblent pas suffisant.

   • @plop
     « Oui l’application à couter cher, mais c’est relatif. »
     Je n’ai pas mentionné le coût de l’application.
     « Si on divise le prix au nombre de cas contact signalé par rapport au prix des tests PCR par exemple, ce n’est pas du tout le même ordre de grandeur. »
     L’application indique que vous avez été dans un rayon de moins de 5m (si ma mémoire est bonne)(distance variant suivant la propagation des ondes radios!) d’une personne qui a été signalée comme contaminée et possédant un téléphone portable avec l’application. L’application n’indique au mieux qu’une probabilité de proximité avec un contaminé.
     Un test PCR positif indique qu’il y a de l’ADN de virus dans votre corps. Un test antigénique positif indique qu’il y a des protéines du virus dans votre corps. Un test sérologique positif indique que votre corps a été en contact avec le virus et a produit des anticorps.
     Vous comparez une application de détection de proximité à un moyen de savoir si une personne est/a été contaminée ou non.

     « si trois solution distinctes A, B, C ont des chances de réduire les chances de propagations de façon indépendante ou complémentaires, ca sert à rien d’opposer A, B, et C, il faut faire les trois. »
     La multiplication de solutions complémentaires non efficaces est une dispersion de moyens financiers. Ex: chloroquine.
     Face à une épidémie sans traitement disponible, il existe plusieurs méthodes ayant fait leur preuves dont certaines datent de la Peste Noire du Moyen Âge.: confinement, réduction des moyens de propagation, détection des malades et mise en quarantaine.
     – confinement: en absence de preuve du contraire, tout individu est considéré comme porteur donc doit limiter au maximum la rencontre d’autres individus. Seules les activités vitales à la survie de l’individu et du pays doivent être autorisées.
     – réduction des moyens de propagation: nous avions (avons) affaire à un virus apparenté au rhume, transmis par des gouttelettes contaminées. D’où nécessité dans les contacts avec autrui obligatoire d’avoir des masques. D’où la nécessité de désinfecter les surfaces susceptibles d’avoir été contaminées. D’où la nécessité d’apprendre de nouveaux réflexes comme de ne pas se touche le visage.
     – Détection des malades: tests en masse dès qu’ils étaient disponibles, mais aussi utilisation du personnel médical formé pour détecter les symptômes.

     En attendant un hypothétique vaccin, la priorité était de fabriquer des moyens permettant le blocage de la propagation du virus (masques, désinfectant) et de tests. Une éducation en masse et en urgence de la population aurait aussi été nécessaire. Quand je vois le nombre de personnes qui ne portent pas le masque/ le portent mal/ ne respectent pas des distances de sécurité, je trouve que ce dernier aspect a été sacrément négligés.
     En attendant d’avoir des moyens de protection efficace les attestations auraient du signaler les lieux et personnes devant être rencontrées et toute personne en infraction aurait du être considérée comme contaminée donc soumise à quarantaine.

     Nous avons eu une sacré chance d’avoir une épidémie qui tue relativement peu (la Peste Noire a tué environ 50% de la population) et qui au début ne se transmettait pas trop facilement. Je n’ose pas imaginer ce que ça aurait pu donner sur une épidémie plus dure.

     Je pense que l’éducation de la population pour la préparer à une éventuelle future épidémie dangereuse reste à faire car si je me base sur les écrits des virologistes, la question n’est pas si mais quand nous y auront droit.

     L’application stopcovid m’a beaucoup fait penser à la légende du nuage de Tchernobyl s’arrêtant aux frontières et autres âneries nous expliquant que la France ne risquait rien en cas d’attaque nucléaire ou d’incident nucléaire. De la communication.

      » Aujourd’hui on accepte presque tous d’avoir un téléphone qui s’il est corrompu »
     (aparté: moi non)
     Argument rebattu et à réponse simple:
     Ce n’est pas parce que faute de choix je suis obligé de vivre dans une ville polluée qu’en plus je vais aller respirer directement aux pots d’échappements et que je ne vais pas protester si on installe une usine Seveso dans mon quartier. Il y a déjà une balle dans le revolver qui me sert à jouer à la roulette russe, je n’ai pas envie d’en ajouter d’autres.

9. Bonjour
   Pour répondre à Plop
   « Oui l’application à couter cher, mais c’est relatif. Si on divise le prix au nombre de cas contact signalé par rapport au prix des tests PCR par exemple, ce n’est pas du tout le même ordre de grandeur. » Je crois que vous avez oublié l’âge du capitaine dans votre équation. Il n’y a rien de relatif, beaucoup d’entreprises compétentes auraient pu réaliser cette application pour un montant bien moindre.
   Je vous rappelle quelques chiffres :
   – StopCovid, sa maintenance et son hébergement ont été facturés, entre 200 000 et 300 000 euros par mois
   – TousAntiCovid, le coût de développement, de fonctionnement et de promotion a dépassé 7 millions d’euros fin 2020 (Ce montant ne tient cependant pas compte des dépenses liées au programme engagées de janvier à mars 2021)
   – 250 000 cas positifs recensés

   « Aujourd’hui on accepte presque tous d’avoir un téléphone qui s’il est corrompu peut nous localiser en permanence, on utilise des moyens de paiement qui permette de tracer tous nos achats, on échange des photos et des informations sur des plateformes étrangères.
   Chacun est libre de juger ce qui vaut le coup où pas. Tenter de réduire la propagation du virus me semblait un objectif pouvant justifier de prendre quelques risques assez minime. »
   Notre téléphone n’a pas besoin d’être « corrompu » (d’ailleurs que voulez-vous dire en utilisant ce terme ? Dans votre phrase e le comprends comme infecté) pour que nous soyons suivi à la trace. Je considère que les données qui sont stockées sur mon téléphone (celles que je veux bien y mettre) et dans les applis (sélectionnées avec prudence) m’appartiennent jusqu’à preuve du contraire ou consentement de ma part.
   Ce n’est pas de savoir si cela vaut le coup ou pas c’est juste la liberté de mes données.

   Quand vous mentionnez « Tenter de réduire la propagation du virus me semblait un objectif pouvant justifier de prendre quelques risques assez minime. » je trouve cela très réducteur et facile. Les risques sont à prendre à titre individuel concernant les données que je souhaite fournir et montrer et non pas imposé par une tiers personne. Avec de tels résonnements il ne faut pas s’étonner que Monsieur et Madame Michu continuent d’ouvrir en grand les portes sur leurs données et que la sensibilisation sur les données de la vie privée soit si difficile.
   Je vous laisse écrire vos différentes adresses emails, vos mots de passe, vos numéros de cartes bancaires avec les codes qui vont avec, vos numéros de téléphones, votre adresse, votre carnet d’adresse sur cette discussion nous verrons si vous pouvez prendre quelques risques minimes.

   À partir du moment où tu fermes la porte quand tu vas aux toilettes c’est que forcément tu as quelque chose à cacher.

   PS : merci Zythom pour se droit d’expression que vous nous laissez

   • Bonjour @Loremipsum,
     Comme je l’ai dit, je ne suis pas là pour défendre stopcovid.
     Bien sûr qu’il y a des choses qui auraient pu être mieux faites même développée si rapidement, bien sûr, je suis d’accord avec vous.
     J’essaie juste de rajouter un peu de contexte pour qu’un lecteur est un portrait qui me semble plus honnête de la réalité.
     Pour les prix, ma phrase n’était sans doute pas très claire vous avez raison. Je répondais aux arguments du type « c’est inutile » ou « ça ne valait pas le coup d’essayer, c’était mobiliser des ressources qu’il fallait mieux mettre ailleurs ».
     Prenons vos chiffres. Dans l’absolu, on parle de 7 millions sur 2020. Pour les tests PCR, j’ai vu passé le chiffre de 250 millions par mois.
     Bien sûr que ce n’est pas la même chose, mais alors même que le contact tracing a été un échec, on est d’accord la dessus, si l’on prend vos chiffres 7000000/250000 ça fait 28 euros par cas positifs. Ca fait moins d’argent qu’un test PCR pour un résultat qu’on pouvait espérer supérieur en prévenant les gens plus tôt avant qu’ils ne contaminent d’autres. Après bien sûr que ce genre de division ne veut pas dire grand chose, bien sûr que pas mal de cas qu’a du signalé l’application aurait été signalé même sans l’appli voir qu’il y avait des faux positifs.
     Mais honnêtement, je pense que pour une personne devant prendre la décision si on essayait de développer ou non ce genre d’appli qui pouvait potentiellement réduire l’épidémie a un moment où on n’avait pas d’autres solutions, j’aurais aussi choisi de tenter le coup.
     Je n’ai pas compris ce que vous vouliez dire sur les données. Je répondais à un commentaire expliquant que l’application était « risquée ». Il y a deux choses différentes. Les données que l’on accepte de confier à des entreprises pour un certain usage (en étant ou non suffisamment bien informer…). Les données qui sont utilisées sans notre consentement. Dans le cas du covid tracing, le but et l’utilisation des données étaient clair je crois (j’avoue n’avoir pas lu les conditions d’utilisation), prévenir les personnes qu’elles ont été cas contact. A ma connaissance il n’y a pas eu d’autre usage de ces données. Bien sûr ce n’est pas une donnée négligeable, mais admettons qu’est-ce qui vous dérange exactement dans le fait que les personnes qui le souhaitent puissent accepter de confier cette donnée quand l’objectif était d’enrayer l’épidémie, sachant qu’on peut activer/désactiver ce contact tracing a tout moment ? A mes yeux il semble par exemple plus intéressant d’éviter que les gens accepte de partager leur contact du téléphone sur je ne sais quelle appli à la con qu’ils auront peut être supprimer 10min après.
     Je ne comprends pas votre raisonnement. Stop covid n’était pas une application qui partage vos données publiquement en les rendant accessible à tous. Google, ma banque, whatsapp, et je ne sais combien d’autre boîte privée on déjà accès à des données personnelles sensibles. Je sais que c’est un risque je l’ai accepté bon gré/mal gré pour des raisons pas très bonnes.
     Alors faire confiance à un organisme publique pour une cause qui aurait pu être utile, ça ne me semble pas déconnant.
     Et le risque est bien choisi a titre individuel puisque l’on ait pas obligé d’installer l’application. On peut même activer le contact tracing quand on va faire l’activité X mais pas l’activité Y.
     D’ailleurs d’une certaine manière mes informations d’identité, de santé, de revenus sont déjà au main d’organismes publiques. Est-ce que ça serait mieux si on pouvait éviter ? Oui. Est-ce que ça veut dire que c’est inutile ? Non je ne crois pas, payer des impôts est utile, les casiers judiciaires, les infos de la sécu, etc le sont aussi.
     Pour revenir au covid, même sans application le problème ce posait du moment que l’on cherche a faire du contact tracing. A un moment certains restaurants laissaient des registres où l’on voyait la liste de toutes les personnes qui y sont passées accessibles. Pour une personne qui a apporté le virus a une réunion de famille, ca peut réellement être pesant de leur signaler qu’ils sont cas contact sachant que si certains meurent ce sera plus ou moins lui qui a amené le virus. Et pour autant le faire peut sauver des vies. Alors on a essayer de pouvoir le faire de manière anonyme, notamment en passant par l’autorité de santé pour signaler que l’on ait cas contact sans dire qui nous a contaminé. Dans la plus part des cas ça ne changera rien et je suis sûr que ça a déjà créé des tensions.
     Pour être plus léger, je ne suis pas sûr que la porte des toilettes soit le meilleur exemple, j’ai l’impression de plus le faire par respect pour les autres et pour limiter la dispersion des odeurs. Mais oui bien sûr on a tous des choses qu’on ne voudrait pas que tel autre personne sache, je suis tout a fait d’accord avec ça.

   • Merci d’avoir répondu à plop, je suis ce blog de manière aléatoire. Votre réponse est proche de ce que je pense. Je vais essayer de répondre à plop sous ma propre réponse…

   • Hello @plop,
     Vous avez encore oublié l’âge du Capitaine dans vos équations !!!
     Que vient faire le coût des tests PCR sur le sujet principal énoncé par Zythom « QR code et pass sanitaire ». Surtout quand vous dites « Bien sûr que ce n’est pas la même chose » et que vous sortez une division de votre chapeau. Certains pays ont décidé de le faire payer, la France non. Une stratégie qui vise à ne mettre aucune barrière à la détection du coronavirus et ce quel que soit le niveau social/de revenu des personnes. Stratégie que j’approuve.
     Mais 7 millions pour une application qui stocke un QR code et un pass sanitaire et demain des recettes de cuisine c’est un peu fort de café vous ne trouvez pas ? Qui plus est avec une qualité plus que douteuse sur la sécurité.

     L’application est peu être utile, et encore cela est relatif car rien ne l’a encore prouvé (en tout cas je n’ai rien lu de tel), mais quand on voit les trous dans la raquette sur son développement on peut se poser moultes questions.
     Concernant les données qui sont captées et envoyées par cette application contrairement à ce que vous dites cela n’était pas clair du tout. On en voit les dérives désormais. Je vous invite à lire les 2 articles que j’ai partagés dans la conversation. Il manquerait plus que Doctissimo soit dans la boucle et la boucle serait bouclée !!!
     De plus si personnellement je ne prête pas d’importance à ce que mes données soient collectées, rien ne m’assure que parmi mon entourage, tous seront du même avis.
     Je vous invite à lire également ce livre d’olivier Tesquet https://www.premierparallele.fr/livre/etat-durgence-technologique

     Si la porte de vos toilettes ne vous parle pas, allez voir du côté de votre poubelle 😉
     « Imaginez qu’en sortant de votre maison, un jour, vous trouviez quelqu’un en train de fouiller votre poubelle, de recoller laborieusement les notes déchirées et de rassembler les documents qu’il y trouve. En réponse à votre silence stupéfait, il proclame : « Vous n’avez aucune raison de vous inquiéter — il n’y a rien à cacher, n’est-ce pas ? » » (Adam D. Moore)

   • On me dit dans l’oreillette que Doctissimo est déjà dans la place https://www.bastamag.net/Rendez-vous-vaccination-Doctolib-protection-des-donnees-personnelles-health-data-RGPD-Amazon
     Merde alors !!!

10. News du week-end sur le QRCode et la pass sanitaire
    Fin du pseudonymat dans TousAntiCovid et passe sanitaire trop bavard
    2 articles supers intéressants :
    – https://cq94.medium.com/la-fin-du-pseudonymat-dans-tousanticovid-932d50de11ee
    – https://www.broken-by-design.fr/posts/pass-sanitaire/

11. En complément de mon billet, je vous engage à lire cet article de NextInpact intitulé : « Pass sanitaire : la poudre aux yeux du pseudonymat, des données médicales en clair » https://www.nextinpact.com/article/46153/pass-sanitaire-poudre-aux-yeux-pseudonymat-donnees-medicales-en-clair

    • Je viens de recevoir ma deuxième dose qui m’a permis de recevoir mon certificat vaccinal Européen (pour les moteurs de recherche en anglais « green pass »). Bonne nouvelle, ce n’est plus autant en clair.

      Le document est divisé en 4 parties.
      Haut Gauche: « EU digital covid certificate » et autres infos genre couverture de passeport.
      Haut droit: un QRcode appelé « certificat covid numérique UE ». Sous celui-ci sont indiqués mes noms, prénoms et date de naissance. Avec la précision: « Par soucis de confidentialité de vos données de santé, nous vous recommandons de ne présenter que le seul QR code de preuve en pliant cette attestation » (en 4 je suppose).
      Bas gauche: La législation afférente (En résumé: ce n’est pas un passeport, la loi sur la protection des données s’applique, ce doc est personnel et si vous fraudez ça va barder!) suivi d’un deuxième QR code « Flashez pour ajouter dans TousAntiCovid »
      Bas droite: « Certificat de vaccination » suivi des détails sur la vaccination en question (vaccin, version, date, état membre, etc.).

      Un petit coup d’un logiciel de lecture de QR code sur le premier (« certificat covid numérique UE ») et je tombe alors sur un charmant gloubiboulga pas du tout en clair. Amélioration notable!

      Ca sent la base64. Pas loin: c’est du base45:
      https://gir.st/blog/greenpass.html
      https://www.reddit.com/r/programming/comments/o5m51u/whats_inside_the_eu_green_pass_qr_code/
      Traduction si j’ai bien compris:
      les données sont mises dans en json, puis signées, puis compressées en zlib, puis encodées en base 45.

      Par contre, si je me fie au propos du blogueur, les propos en haut à droite « Par soucis de confidentialité de vos données de santé, nous vous recommandons de ne présenter que le seul QR code de preuve en pliant cette attestation » sont absurdes: toutes les données sont présentes pour une application capable de lire le QR code.
      Mais c’est tout de même moins accessible qu’un QR code en clair :D. Reste à savoir à quelle vitesse les applis non officielles pour lire le QR code vont se diffuser. Et quel intérêt ces données auront pour le lecteur comme pour la personne vaccinée.

12. L’actualité sur ce sujet continue
    https://www.youtube.com/watch?v=0qNf71I2_UY

Les commentaires sont fermés.