Voudriez-vous savoir pourquoi un ingénieur peut être opposé à #TousAntiCOVID ? Il ne s'agit pas de dogmatisme ou d'idéologie comme le résument souvent ses promoteurs condescendants, mais de problèmes bien identifiés. Un Thread 1/18

Quelques faits pour commencer : - Même avec la meilleure volonté du monde et les intentions les plus louables, le savoir-faire industriel disponible en terme de programmation s'étiole, et le code produit comporte nécessairement des failles. 2/18

Ce n'est pas dû qu'à l'incompétence ou au manque de moyens, mais une conséquence de l'accroissement de la complexité des systèmes informatiques à force d'empilement des couches et d'inflation des bases de code. 3/18

- Un système centralisé par conception est plus simple qu'un système distribué - donc moins cher et plus robuste en théorie - mais concentre alors plus de responsabilités et est une meilleure cible d'attaque (plan économique surtout). 4/18

- Le choix du moyen d'identification des utilisateurs de ce système est une clef importante : il doit permettre de limiter la levée du pseudonymat aux seuls agents légitimes dont les missions le requièrent (contact-tracing) et limiter les risques de détournement. 5/18

Rappel historique : la loi Informatique et Libertés de 1978 a été crée pour empêcher le recoupement des fichiers fiscaux et d'assurance maladie, jugés attentatoire aux libertés individuelles. #FranceConnect a démontré l'oubli de ce point. 6/18

- Utiliser le “Beaconning” bluetooth pour le contact-tracing est un hack : détournement d'une technologie pour en faire autre chose, et comme tout hack, ça ne marche pas à tous les coups ni n'est forcement une bonne idée. Là le résultat est médiocre. 7/18

C'était d'ailleurs totalement prévisible et pose d'autres inconvénients notamment sur l'autonomie des terminaux, leur compatibilité, les problèmes radio usuels, les dispositions de sécurité du Bluetooth… Bref, échec programmé. 8/18

On nous dit “Aucun risque pour la vie privée” car c'est anonymisé. C'est faux : c'est au mieux pseudonymisé, comme sur la plupart des services Internet où l'anonymat n'existe pas. Corolaire : quelqu'un fustigeant l'anonymat en ligne ment ou se trompe toujours. 9/18

Ensuite, le gouvernement ajoute à l'application ajoute un générateur d'attestation, qui stocke donc vos noms, adresses, faits et gestes. Ce n'est pas anonyme, on ne peut pas savoir qui accède à ces données, donc ça devrait avoir provoqué un véto de la @CNIL . 10/18

Mais c'est pratique pour ceux qui n'ont pas d'imprimante, ou pour éviter le gâchis de papier et d'encre, alors c'est passé comme fonctionnalité intégrée plutôt que comme une appli indépendante, façon “cheval de Troie” pour “vendre” l'appli. 11/18

Puis on rajoute une fonction “carnet vaccinal” avec dispositif de contrôle de validité, donc communication avec un serveur faisant autorité. Là, on commence à glisser à cause du caractère privé d'informations médicales. 12/18

Les données médicales sont parmi les plus chères sur le marché car elles intéressent beaucoup les assureurs, dont la probité et l'éthique ne sont plus à démontrer. Il existe donc un marché liquide pour celles-ci, donc un modèle économique pour les voler. 13/18

On a donc trois fonctionnalités bien distinctes dans une application, donc un triplement de la surface d'attaque permettant son détournement. Chaque fonction a sa légitimité et son efficacité propre - ou pas - , mais elles se fragilisent mutuellement 14/18

Cette inflation fonctionnelle était anticipée et dénoncée dès le départ par tous ceux qui savent que l'informatique d'état a presque toujours ce travers, et à quel point il est dangereux. 15/18

Pire, avec plus de données regroupées, le pseudonymat tend à disparaître car il est de plus en plus simple à lever par des agents illégitimes à le faire, donc les “garanties” initiales disparaissent - appelant à nouveau un véto de la @CNIL 16/18

TL;DR : Le contact-tracing est utile, mais pas fait comme ça. Un générateur d'attestation n'a rien à faire dans l'appli initiale, elle la fragilise. Le suivi vaccinal est une bonne idée, mais là encore, uniquement si traité à part. 17/18

Point de vue perso : les intentions sont bonnes, mais l'incurie de nos ministres et de leurs services ont immanquablement conduit à ce qu'il faille se priver de ces outils tant leur mauvaise implémentation est dangereuse. 18/18