Des spécialistes en cybersécurité conseillent de désactiver directement l’option qui permet le prélèvement des statistiques. L’application intègre en effet un petit module télémétrique qui permet de générer des statistiques, de par votre utilisation de TousAntiCovid.
Désactiver la collecte des statistiques, sans garantie qu’elles le seront bien
Dans la partie « Paramètres » de l’application, il existe un onglet « Statistiques et mesure d’audience ». « Sachez enfin que ces données sont conservées sur le serveur». S’il est donc possible de désactiver cette option, et qu’un bouton « Supprimer mes données » existe juste en dessous, le premier problème réside dans le fait que l’activation de la collecte de données est activée par défaut. « L’analyse du code publié ne nous permet pas de vérifier que la suppression est pleinement effective », nous disent-ils.
Et un événement applicatif est envoyé au moment où l’on clique sur le fameux bouton « Supprimer mes données », ce qui, pour les spécialistes cyber, « n’a pas de sens ».
Une collecte de statistiques qui « met en danger les propriétés de sécurité et de protection de la vie privée »
Pour les trois chercheurs, « malheureusement, la collecte de statistiques contredit le principe de minimisation ». Un discours relayé dans la spécification de ROBERT, puis dans celle de Cléa, qui promet qu’aucune donnée n’est envoyée à un serveur tant que l’utilisateur ne s’est pas déclaré positif à la COVID-19 via l’application TousAntiCovid. D’après les dires des spécialistes en cybersécurité, recueillis par Guide entreprise, la collecte de statistiques viole purement et simplement ces garanties de sécurité. « TousAntiCovid offre maintenant une sécurité très faible contre un serveur qui essaye d’identifier les utilisateurs », affirment-ils.
Des statistiques touchant à l’utilisation et à la santé peuvent être transmises…
Toutes les 12 heures, des données issues d’un journal d’événements sont envoyées. Pour le journal d’événements, donc, cela va encore plus loin. Après avoir analysé le code source et le comportement des versions Android et iOS de TousAntiCovid, les chercheurs ont déniché 21 types d’événements applicatifs possibles, tous transmis avec un horodatage précis à la milliseconde .
L’architecture de collecte de statistiques visée par la CNIL et son avis de décembre 2020 est d’ailleurs différente de celle déployée en avril 2021. « Il semblerait donc que la collecte des statistiques ait été activée sans informer les utilisateurs existants de la nouvelle finalité », indiquent-ils.
Des fonctionnalités qui entrent en conflit
Elle a été modifiée entre le 20 avril 2021 et le 29 avril 2021 pour pouvoir justement prendre en compte la collecte des nouvelles statistiques. La version précédente se contentait de procéder à une collecte dans le but d’« améliorer l’efficacité du modèle de santé utilisé par l’application ». La nouvelle a, elle, élargi la production de statistiques « à des fins de diagnostics, d’amélioration de performance et de l’expérience utilisateur ». En intégrant dans la même application à la fois le traçage de contact Bluetooth, le traçage de contact par QR-Codes des lieux, le convertisseur de certificats et surtout le wallet pour le pass sanitaire , censé être, lui, nominatif, les attaques deviennent possibles.
Commentaires récents