Proposée par un consortium de six entreprises françaises, l’application de contact tracing StopC19 est présentée comme une solution qui « fonctionne », comme l’a dit Stéphane Richard, PDG d’Orange.
L’appli mobile serait même d’ores et déjà testée en Île-de-France. Et pourtant, on ne sait toujours pas grand-chose de ce logiciel, mise à part qu’il s’appuie sur le Bluetooth.
Le hacker Eliott Alderson a tenté d’en savoir plus en partant du seul élément disponible à ce jour : le site stopc19.fr. Ses sous-domaines apportent quelques informations supplémentaires sur la structure éventuelle du service, comme l’existence d’un « dashboard », d’un « front-office », d’un « backoffice » et d’une API « personal ».
Un « pot de confiture » au milieu des sous-domaines
En analysant ces sous-domaines, le hacker voit également apparaître des logos officiels de la République, probablement insérés là dans le cadre d’une réponse à appel à projets. Il tombe également sur une page indiquant simplement « pot de confiture », un terme qui laisse pensif.
Mais au final, le hacker ne découvre rien de concret.
« Nous n’avons pas le code source de l’app, ni du back-end, pas d’information sur le protocole utilisé, pas d’information sur l’architecture du dispositif. Bref on a rien… », explique-t-il sur Twitter. Il reste une crainte néanmoins quant à la présence d’un « dashboard ». « Ca montre une volonté de surveiller l’activité côté backend », souligne-t-il.
Quoi qu’il en soit, on ne peut que s’étonner des propos des acteurs impliqués dans le développement de StopC19. Si l’application est « prête » et qu’elle « fonctionne », elle ne peut donc pas s’appuyer sur les API d’Apple et Google, car ces interfaces ne seront disponibles que la semaine prochaine.
Dès lors, comment fait-elle pour gérer la restriction de l’usage du Bluetooth sur iOS et Android ?
En effet, Apple interdit l’envoi de données via Bluetooth quand l’application est en arrière-plan. « Ces limitations existent également sur Android depuis la version 8 », nous précise Eliott Alderson. Et si StopC19 ne peut fonctionner qu’en premier plan, elle est inutilisable dans la pratique.
Le manque de transparence du projet StopC19 est regrettable, voire inquiétant. Pour la plupart des projets de contact tracing, il est possible de consulter des spécifications techniques, des codes source ou des livres blancs. Pourquoi n’a-t-on aucune information sur StopC19 ? 01net.com a demandé des précisions, sans jamais avoir de réponses. Le mystère reste entier.
