Publié mercredi 10 juin 2020 à 18:44
Modifié mercredi 10 juin 2020 à 22:29

«C’est une application sous le contrôle de Google, Amazon, Apple et Microsoft.» «Elle comporte plusieurs failles de sécurité.» Et «son code source est inaccessible». Voilà, en trois phrases, une synthèse des vives critiques qui s’abattent depuis quelques jours sur SwissCovid, l’application de traçage des contacts destinée à lutter contre la propagation du virus. Avant son lancement officiel, prévu d’ici à la fin du mois de juin, Le Temps s’est intéressé à ces critiques, diffusées principalement via les réseaux sociaux. Avec l’objectif de démêler le vrai du faux, SwissCovid suscitant bien des fantasmes.

1. Quel rôle joue Amazon?

La «suissitude» de l’application avait été présentée comme un atout majeur de l’app par l’EPFL et l’Office fédéral de la santé publique (OFSP). Mais le 3 juin, une petite phrase, prononcée par le conseiller aux Etats (SG/PS) Paul Rechsteiner, a mis le feu aux poudres. «Il y a une coopération avec Amazon Allemagne à Francfort pour l’examen des contacts», a dit le parlementaire en préambule à un débat.

La multinationale américaine examinerait-elle les données des Suisses, qui plus est dans un centre basé à l’étranger? En réalité, aucun de ces deux points n’est correct. La seule chose qui est exacte, c’est qu’un des services d’Amazon est utilisé, plus précisément son réseau de distribution de contenu (Content Delivery Network, ou CDN). Celui-ci permet de diffuser les clés – une suite aléatoire de chiffres et de lettres –, qui sont les identifiants anonymes et générés aléatoirement pour chaque utilisateur de SwissCovid. Le CDN d’Amazon se charge de mettre ces clés à la disposition des téléphones lorsqu’une personne se déclare infectée par le virus.

Comme le précise Edouard Bugnion, vice-président de l’EPFL, «aucun calcul et aucune analyse n’a lieu chez Amazon. Les données diffusées par le CDN sont générées par des serveurs qui se trouvent dans le canton de Berne, dans des centres de calcul de la Confédération, gérés par l’Office fédéral de l’informatique et de la télécommunication. Ces serveurs de la Confédération signent cryptographiquement les données avant leur diffusion.»

Mais pourquoi faire appel à Amazon pour un service qui pourrait, a priori, être effectué par un prestataire suisse? Edouard Bugnion répond que «les CDN sont une composante essentielle d’internet et nécessitent une infrastructure mondiale. La Confédération utilise depuis plusieurs années le service CloudFront d’Amazon, alors que par exemple l’EPFL emploie les services d’un autre CDN et votre journal un troisième. Les trois sont américains.»

Lire aussi: Pourquoi SwissCovid doit utiliser les services d’Amazon en Allemagne

2. L’application est-elle sûre?

Mardi, le préposé valaisan à la protection des données et à la transparence publiait un communiqué concernant SwissCovid. Dans celui-ci Sébastien Fanti recommandait aux collaboratrices et collaborateurs de l’administration cantonale de ne pas télécharger la version pilote SwissCovid. Le préposé cantonal citait un rapport d’experts de l’EPFL indiquant que «l’application SwissCovid qui se trouve au stade de projet présentait des failles importantes en termes de privacité et de sécurité. Ainsi, sur le plan technique, les experts de la même Ecole polytechnique fédérale sont divisés sur des questions fondamentales, ce qui doit engendrer l’application du principe de précaution.»

Ce rapport d’experts a notamment été signé par Serge Vaudenay, professeur en cryptographie de l’EPFL. Dans ce document de 25 pages, il cite tout une série d’attaques que pourrait subir SwissCovid et regrette qu’il n’y ait pas assez de temps pour qu’un audit public soit mis en place pour tester l’application. Edouard Bugnion réplique en affirmant qu’«une liste détaillée des attaques que pourrait subir l’application a été documentée depuis longtemps par nos soins. Cela dit, nous tenons compte de toutes les critiques et remarques et améliorons sans cesse l’app durant la phase pilote.»

Certaines affirmations contenues dans ce rapport sont jugées incorrectes par l’EPFL. Ainsi, il y est écrit que «le serveur est hébergé par Amazon», ce qui est clairement démenti par la vice-présidence de l’école.

Lire aussi: Avant le feu vert officiel, SwissCovid a été téléchargée plus de 50 000 fois

3. Le code source de l’app est-il accessible?

C’est une question importante qui a directement un lien avec le point précédent. Dès le début – et ce point est d’ailleurs clairement stipulé dans le projet de loi en cours d’acceptation par le parlement –, l’EPFL a affirmé que le code source serait accessible à tous. Cela permet un audit public, une pratique habituelle pour améliorer la sécurité d’un programme.

Plusieurs critiques affirment que le code source de SwissCovid n’est pas disponible. C’est totalement faux, affirme Edouard Bugnion. «Le code de l’application est accessible sans aucune restriction contractuelle, et sous une licence open source très communément utilisée.» Le vice-président de l’EPFL précise que «le code source est disponible depuis le début sur Github. Il permet notamment de vérifier que SwissCovid ne contient pas de fonctionnalités non essentielles pour l’exécution de l’app». GitHub est une plateforme de créations de logiciels, acquise en 2018 par Microsoft. Mais aucune interférence entre la firme américaine et le contenu publié sur GitHub n’a été signalée.

4. Une dépendance trop forte à Apple et Google?

Certains estiment que l’app est trop dépendante des systèmes d’exploitation pour mobiles mis à jour par Apple et Google. «Nous avons effectivement tous une dépendance numérique qui démarre lors de l’achat de nos téléphones avec l’un ou l’autre des deux seuls systèmes d’exploitation du marché. Cela dit, il faut nuancer dans le cas de SwissCovid», affirme Edouard Bugnion. Il poursuit: «SwissCovid est responsable de toutes les interactions avec les serveurs de l’OFSP, de la validation des COVIDcode et de l’ensemble des paramètres du modèle épidémiologique choisis par l’OFSP. Par contre, les échanges Bluetooth sont gérés par les systèmes d’exploitation dont nous n’avons pas le code source, mais une documentation précise. Ce support à l’intérieur des systèmes d’exploitation améliore les performances, les calibrations entre différents modèles de téléphones, et l’interopérabilité à l’international. En plus, il impose le modèle décentralisé que nous préconisons depuis le début car il garantit la non-exploitation centralisée (en particulier par un Etat) des données de proximité récoltées par les téléphones.»