Read on Twitter
En France (et en Europe), on ne sait même pas faire un captcha 
https://abs.twimg.com/emoji/v2/... draggable="false" alt="🤦" title="Person facepalming" aria-label="Emoji: Person facepalming">. Alors non, ce n& #39;est pas simple, mais quand même, on part de loin côté contrôle du numérique ! https://twitter.com/laquadrature/status/1265574212451946497">https://twitter.com/laquadrat...
Et ça, sans même parler du "niveau de sécurité" offert par un captcha : s& #39;il y a un enjeu (et ici, il s& #39;agit d& #39;empêcher des cybervilains de créer 96 comptes chacun, ce qui détruirait le *seul* intérêt de la solution centralisée française), ça ne protège de rien...
Petit thread : l& #39;approche française a mis en objectif numéro 1 le fait de pouvoir empêcher des voisins de se "reconnaître", lorsqu& #39;un annonce un test positif.C& #39;est l& #39;objectif numéro 1, qui mène à des compromis difficiles, on peut donc penser qu& #39;il y a un enjeu à attaquer ce point
Le compromis pour faire ça, c& #39;est d& #39;augmenter le rôle du serveur, qui distribue les ID éphémères + fait les calculs d& #39;intersection. On lui remonte donc les ID que l& #39;on croise. Le risque de traçage/surveillance de masse est exacerbé par ce serveur.
Un attaquant peut annihiler l& #39;intérêt du serveur, et donc "reconnaître" ses voisins, en créant de nombreux comptes (96 en théorie, en pratique peut-être moins puisqu& #39;on ne sort pas 24h/24, ou peut-être plus si des mécanismes de détection sont mis en place)
Créer plein d& #39;identités, c& #39;est une attaque bien connue dans la littérature scientifique, c& #39;est une sybil attack. Décrite en 2002 par John Douceur ( https://www.microsoft.com/en-us/research/wp-content/uploads/2002/01/IPTPS2002.pdf).">https://www.microsoft.com/en-us/res... Jamais résolue convenablement depuis, c& #39;est intrinsèque à ces systèmes de création libre d& #39;identités.
Une (fausse) solution classique, c& #39;est de mettre un captcha (une preuve de travail humain). Sauf que ça ne marche pas : on peut en résoudre plein, on peut déléguer des micro-tâches pour les résoudre contre quelques centimes, etc. Ça marche *s& #39;il n& #39;y a pas d& #39;enjeu à attaquer*.
