Pourquoi je n'installerai pas Coronalert

Coronalert, l'application de traçage COVID-19 en Belgique vient d'être publiée et est installable par le public. Je n'installerai certainement pas cette application et vous explique pourquoi.

Fonctionnement

L'application belge fonctionne avec le protocole DP-3T et est directement inspirée de l'application Allemande Corona-Warn-App. Cette dernière étant publiée sous licence Apache, le code source a pu être réutilisé et il n'a suffit que de 4 mois pour développer la variante belge.

Le respect de la vie privée est une des bases du protocole DP-3T. Les contacts sont enregistrés sur le téléphone de l'utilisateur et non dans une base de données centralisée, ce qui évite beaucoup d'abus (gouvernement trop curieux, piratage,...). Une analyse du code source de l'application Coronalert (également open source) semble indiquer qu'elle n'est pas trop bavarde et se contente de partager le minimum d'information requis. C'est évidemment trop tôt pour faire une analyse en profondeur et un audit de sécurité complet mais c'est prometteur.

Mais alors, où est le problème ?

Inefficacité du Bluetooth

L'application utilise le Bluetooth du téléphone pour déterminer si deux personnes sont à moins d'1,50m pendant au moins 15 minutes. Le Bluetooth est avant tout un protocole de communication et n'a pas été pensé pour déterminer la proximité entre deux utilisateurs. Il n'est pas fiable pour déterminer la distance entre deux appareils. On peut faire des vagues estimations de distance mais rien de précis.

Même en supposant que le signal Bluetooth permette de déterminer la distance entre deux personnes (ce qui n'est pas le cas), cela ne donne finalement que peu d'informations. La distance n'est pas le facteur déterminant pour évaluer si un contact est à risque ou non. Rappelons qu'un contact avec ou sans masque, en intérieur ou en extérieur, impliquent des niveaux de risques totalement différents ! Être assis à coté de quelqu'un dans un bar et attendre le bus dehors n'est pas pareil en matière de risque mais bien pour un signal Bluetooth.

Les autres applications ne fonctionnent pas

Il a été affirmé que si, au moins, 15% de la population installe l'application, cela pourrait sauver des vies. On entend aussi souvent le chiffre de 60% de la population minimum mais il semble exagéré. En Islande, 38% de la population a téléchargé l'application, un des plus grand taux pour une application de traçage de contact, et pourtant, elle n'a pas été très utile (ils ont contrôlé l'épidémie avec des tests massifs). Dans le cas de la France ou de l'Australie, le bilan n'est pas meilleur.

Faux sentiment de sécurité

Il a été montré que le fait de porter un casque de vélo pousse inconsciemment les automobilistes à dépasser de plus près les cyclistes. Comme si la protection supplémentaire excusait un comportement plus risqué. Avec la généralisation des masques (même si le masque est fait dans un vieux poncho troué ou avec le nez qui dépasse), je remarque que les distances de sécurité sont beaucoup moins respectées.

Les exemples de protection augmentant la prise de risque sont nombreux. Inconsciemment, aller dans un bar bondé sera moins grave car je serai mieux protégé avec l'application.

Il y aura des failles

Je ne doute pas que les auteurs de l'application sont des développeurs très compétents. Cependant, il est illusoire de penser que l'application ne comporte pas de bug. Et si un bug peut varier en terme de gravité (du simple pépin à la faille de sécurité), les données traitées sont particulièrement sensibles.

C'est faire preuve d'une grande confiance que de penser qu'une application créée en 4 mois sera infaillible dans le traitement de nos données. Le risque de découvrir une faiblesse dans l'algorithme ou dans l'implémentation est loin d'être négligeable, les deux sont très récents et n'ont pas subi l'épreuve du temps. En informatique, si l'on ne trouve pas de bug, c'est que l'on n'a pas assez cherché...

On introduit un précédent dangereux

L'enfer est pavé de bonnes intentions, etc, etc. Il est évident que l'on veut faire un maximum pour lutter contre la pandémie et sauver des vies mais avec Coronalert, on installe une application de traçage pour des raisons sanitaires. Et ce n'est pas négligeable.

Le fait que cette application soit, ou non, respectueuse de nos données est finalement un détail très technique : rien ne ressemble plus à une application gouvernementale qu'une autre application gouvernementale pour le commun des mortels. Il suffit de regarder ce micro-trottoir pour réaliser la méconnaissance du sujet (et les inquiétudes qui en découlent logiquement).

Il est évident que, si cette expérimentation est un succès (et probablement même si un échec), elle sera retentée dans le futur, à d'autres fins plus ou moins défendables. Si Coronalert met de bons gardes-fous pour éviter tout abus, il sera, par contre, après cette première expérience, plus facile d'accepter une autre application, même si elle est moins consciencieuse. En psychologie sociale, c'est ce qu'on appelle, la "technique du pied dans la porte" . Et si la prochaine est plus efficace mais moins respectueuse de la vie privée ? Et si on l'utilisait pour la prochaine épidémie de grippe saisonnière ? Pour aider la justice dans des enquêtes criminelles ? Pour lutter contre la fraude fiscale ? Où mettez-vous la limite ?

On ne règle pas une crise sanitaire avec une application

Finalement, même si l'on supposait que l'application tenait la route d'un point de vue technique, l'existence de cette application est de la poudre aux yeux. C'est un fantasme trop courant que de penser que l'on peut régler un problème sociétal avec une nouvelle technologie, particulièrement en remettant la responsabilité sur le citoyen. Il est important que chacun participe à l'effort collectif mais si cela a réellement un effet.

Pour contrôler l'épidémie de coronavirus, on a déjà tous les outils nécessaires (mis en place plus ou moins efficacement). On a du contact tracing si l'on est testé positif. On laisse nos coordonnées dans les restaurants. En cas de contamination, on connaît déjà les personnes à prévenir. Si l'on veut contenir l'épidémie, il faut porter des masques, éviter les contacts non-essentiels et surtout tester plus et mieux.

Est-ce grave si c'est inefficace ?

Après avoir donné tous mes arguments pour lesquels une application de traçage ne va pas fonctionner, on me répond souvent :

- Oui, mais ça ne coûte pas grand chose de l'installer

- C'est juste une application de plus

- J'ai fait ma part dans la société

- Au pire, ce n'est pas efficace mais on n'aura pas perdu grand chose

- ...

Dans un monde d'effort, d'attention et d'argent limité, aucun choix n'est anodin.

Je compare cette application au tri des déchets. On bassine les citoyens sur l'importance de jeter leurs canettes dans les bonnes poubelles, aussi inefficace soit l'action. En effet, si le tri sélectif est important et un meilleur comportement que ne pas trier du tout, il donne un faux sentiment que le problème est réglé dès la mise en sac et permet de ne pas s'attaquer aux vraies causes (la production, le modèle du tout jetable,...). C'est exactement pareil avec la pandémie de Covid-19. On dépense de l'argent et des efforts à des choses ayant un impact, au mieux, négligeable.

Je ne cherche nullement à diminuer la gravité de la pandémie ou de dire qu'il ne faut rien faire de plus mais, pour moi, Coronalert n'est pas un mode d'action valable. Il est politiquement intéressant de montrer que l'on agit mais ça reste du gaspillage de temps et d'argent auquel je ne veux pas participer.