Les solutions numériques, telles que les applications de traçage des contacts des personnes malades de la Covid, peuvent aider à gérer la pandémie et offrir aux citoyens un retour à la vie normale. Dans toute l'Europe, les gouvernements ont investi des millions d'euros dans des applications de traçage des cas contacts, avec plus ou moins de succès, selon nos recherches. C'est aussi le cas en Allemagne, avec son application Corona Warning. Cependant, comme cet outil n'offrait initialement aucune fonctionnalité de détection des clusters ou d'enregistrement des événements, l'application Luca a été développée. Qu'est-ce que l'application Luca ? Comment fonctionne-t-elle et quelles sont les préoccupations liées à son utilisation ? Cet article vise à répondre à ces questions et à d'autres.

L’application Luca : qui l’a développé et pour quelles raisons ?

L'application Luca a été développée en 2020 pour aider à briser les chaînes de contamination potentielles de la Covid-19, au moyen d’une gestion des données des contacts et du traçage des contacts (des personnes contaminées). Au printemps 2021, lorsque les magasins, les restaurants et les lieux où se tiennent des événements à l'échelle nationale ont été tenus de collecter les données relatives aux contacts de leurs clients, l’application a semblé offrir aux usagers une bonne alternative, efficace et plus respectueuse de la vie privée, aux méthodes de traçage des contacts sur papier qui étaient utilisées jusqu'alors.

Les développeurs de l'application Luca se sont servis de cet argument pour convaincre de nombreux législateurs. En septembre 2021, 13 États allemands, à savoir le Bade-Wurtemberg, la Bavière, Berlin, le Brandebourg, Brême, Hambourg, la Hesse, le Mecklembourg-Poméranie occidentale, la Basse-Saxe, la Rhénanie-Palatinat, la Sarre, la Saxe-Anhalt et le Schleswig-Holstein, avaient acquis leurs licences Luca en échange de contributions s'élevant à plus de 21 millions d'euros. Dans le courant du printemps 2021, la plupart de ces Länder avaient procédé à toutes les ajustements juridiques en matière de contrôle des contaminations afin de pouvoir remplacer la saisie manuelle des données relatives aux cas contact par l’application Luca.

Deux entreprises sont à l'origine de ce projet : neXenio GmbH a développé l'application Luca, et culture4life GmbH est responsable de sa commercialisation. Smudo, membre du groupe de hip-hop "Die Fantastischen Vier", a attiré l'attention des médias. Selon l'équipe de Luca, plus de 40 millions de citoyens se sont inscrits à ce jour et l'application a été utilisée pour un total de plus de 330 millions de check-ins.

Traçage de cas contact pendant la crise sanitaire : comment fonctionne l’application Luca ?

Pour utiliser l'application Luca, les utilisateurs doivent s'inscrire en indiquant leur nom et leurs coordonnées. Lorsqu'ils entrent dans un restaurant ou un lieu public, les utilisateurs doivent scanner un code QR généré par l'organisateur via l'application. Les données des clients sont cryptées lors de l'enregistrement et stockées sur les serveurs centraux du système Luca.

Les données des cas contact sont cryptées deux fois : une fois sur le smartphone de l'utilisateur, à l'aide d'une clé fournie par l'autorité sanitaire, et une deuxième fois lors de l'enregistrement sur le lieu de l'événement, à l'aide de la clé fournie par l'organisateur de l'événement en question. Cette mesure vise à empêcher l’entreprise Luca et les organisateurs d'événements d'obtenir unilatéralement des données non cryptées. Les utilisateurs de Luca qui ont été testés positifs à la Covid-19 peuvent fournir au service de santé une liste de tous les endroits où ils se sont rendus au cours des 14 derniers jours. Le service de santé peut ensuite demander à l'organisateur de l'événement les coordonnées de tous les visiteurs qui étaient présents au même moment. Il peut ensuite publier et décrypter les coordonnées demandées. À ce stade, les données de contact sont toujours cryptées avec la clé du service de santé. Par conséquent, ni l'organisateur ni l'équipe Luca ne peuvent voir les données de contact sous forme non cryptée. Dès réception, les services de santé seront en mesure de décrypter complètement les informations de contact. [Donate title={Soutenir notre travail de protection de vos droits numériques}]

C'est à l'autorité sanitaire d’envoyer une alerte centralisée à tous les utilisateurs concernés. Cette approche diffère de l'approche décentralisée de l'application d'alerte Corona (CWA), où les utilisateurs concernés sont avertis directement lors de la soumission de résultats de tests positifs vérifiés, sans qu'il soit nécessaire de faire appel à une agence gouvernementale centrale.

L’application Luca a -t-elle tenu ses promesses ?

Les services de santé ont déclaré que Luca leur était peu utile. Dans une enquête menée par le site d'information netzpolitik.org, seuls 3 services de santé sur 137 ont affirmé utiliser l’application de manière régulière. Parmi les raisons invoquées pour justifier sa faible utilisation, on trouve : la mauvaise qualité des données, la non-pertinence des données reçues, la médiocrité du service-clients et la surcharge de travail générale. De nombreux services de santé ont expliqué qu'ils travaillaient rarement avec les listes de cas contacts fournies par les restaurants. Par conséquent, la plupart des Länders ont laissé expirer leur contrat avec Culture4Life.

Les problèmes que posent l’application Luca

Depuis sa mise en place, l’application Luca a fait l’objet de nombreux problèmes techniques et de failles en matière de sécurité. Chaque semaine, ont été signalés de nouvelles failles et problèmes, dont voici quelques exemples :

La désanonymisation : Des chercheurs de l'Université EPFL de Lausanne ont déjà signalé des failles de sécurité au printemps 2021. Par exemple, le fait que les utilisateurs n'envoient pas seulement des données de contact cryptées au serveur de Luca lors du ckeck-in, mais aussi d'autres données, telles que l'adresse IP. Les hackers pourraient théoriquement utiliser ces données pour identifier la personne qui se cache derrière l'identifiant de l'utilisateur et savoir où cette personne a été contrôlée (quels lieux elle a fréquentés) au cours des deux dernières semaines. Les chercheurs ont également critiqué le fait qu'une aussi importante quantité de données sensibles soit stockée sur un serveur central. Cela pourrait en effet être dangereux en cas de cyber-attaques.

Le manque de transparence : Lorsque les développeurs de l'application Luca ont finalement publié le code source après une pression intense de la communauté en ligne, ils ont utilisé une licence extrêmement restrictive qui interdisait à quiconque de dupliquer, partager ou reproduire le code sur les réseaux publics. Ce faisant, il était pratiquement impossible pour quiconque d'analyser le code de manière critique. En outre, aucune évaluation de l'impact sur la vie privée (DSFA) n'a été publiée à ce jour pour l'application Luca, ce qui ne témoigne pas de l'engagement de Luca en matière de transparence.

Une gestion des clés insatisfaisante : En mars 2021, la Conférence allemande de protection des données (DSK) a émis des critiques sur le concept de cryptage du système Luca, en particulier sur le fait que tous les bureaux de santé détenaient les mêmes clés pour décrypter les données de contact. Cela représentait le risque qu'"une quantité importante de données gérées de manière centralisée par le système puisse être consultée sans autorisation, en espionnant ou en faisant une utilisation malveillante de ces clés. De même, il est difficile pour les organisateurs d'événements de vérifier qu'une demande de décryptage est légitime. Ainsi, ils pourraient être amenés à décrypter des données sans demande légitime. Une attaque réussie sur les systèmes de culture4life GmbH pourrait donc mettre en danger la sécurité de l'ensemble du système." DSK a donc demandé à l’entreprise Luca de vérifier si les fonctionnalités de leur application pouvaient être mises en œuvre dans un système décentralisé.

Le profilage des déplacements à l'aide de porte-clés physiques : L'équipe Luca propose des porte-clés physiques sur lesquels sont imprimés des QR codes. L'objectif est de permettre aux personnes qui n'ont pas de smartphone d'être incluses dans la recherche numérique des cas contacts de l’application. Toutefois, un groupe d'experts en informatique a souligné que des personnes non autorisées pourraient utiliser ces porte-clés physiques pour reconstituer les profils de déplacement de certains utilisateurs. Étant donné que, contrairement aux QR codes numériques de Luca, les QR codes physiques restent les mêmes, il suffit d'en prendre une photo pour retrouver tous les enregistrements des 30 derniers jours.

Injection de code via des fichiers CSV : En mai 2021, une autre faille été exposée. Celle-ci permettait aux hackerss d'injecter des logiciels malveillants dans les systèmes informatiques de santé. L'équipe de l’application Luca n'avait pas réussi à désactiver l'utilisation de caractères spéciaux dans ses formulaires d'enregistrement des noms. Cela permettait aux utilisateurs de programmer des codes dans les fichiers CSV. En ouvrant ces fichiers CSV avec Microsoft Excel, les services de santé pouvaient voir les informations de contact supprimées ou extraites du système du service de santé. Des ransomwares pouvaient aussi être installés. L'Office fédéral allemand de la sécurité de l'information (BSI) a confirmé cette faille dans une déclaration publique et a tenu l'équipe de Luca pour responsable.

Ces problèmes de sécurité, ainsi que de nombreux autres, ont incité nombre d’experts à s'exprimer : plus de 70 chercheurs allemands de premier plan en sécurité informatique ont publié une lettre ouverte critiquant vivement Luca et mettant en garde contre son acquisition et son utilisation. Dans cette lettre, ils écrivent que Luca ne respecte aucun des quatre grands principes propres aux applications responsables en matière de recherche des cas contacts : limitation de l'objectif, transparence, caractère volontaire et évaluation des risques. Le Chaos Computer Club (CCC) a appelé à un "frein d'urgence fédéral" ("Bundesnotbremse") sur Luca.

Quel avenir pour l’application Luca ?

Depuis, les autorités sanitaires ont cessé de tracer les cas contacts, rendant l'application Luca obsolète. En réaction, l'équipe de Luca a décidé d'ajouter deux nouvelles fonctionnalités à l'application. Dans la nouvelle version de l'application, les utilisateurs pourront enregistrer leur carte d'identité sur leur smartphone et, lorsqu'ils entreront dans un restaurant ou une salle de spectacle, ils pourront la présenter en même temps que leur preuve de vaccination, ce qui devrait permettre de réduire le temps d'attente lors du contrôle. En outre, il sera bientôt possible de payer avec l'application Luca dans les restaurants, cafés et bars.

Photocredits:

Clay Banks/Unsplash.com
Ashkan Forouzani/Unsplash.com
Ashkan Forouzani/Unsplash.com
Mufid Majnun/Unsplash.com