Après l’avis de la CNIL, les recommandations de l’ANSSI. L’application StopCovid destinée à accélérer le déconfinement des Français, fait l’objet de toutes les attentions avant son examen par les parlementaires le 28 avril. Si la Commission nationale de l'informatique et des libertés s’est exprimée sur la compatibilité de l’application de traçage des contacts avec le RGPD, l’agence nationale de cybersécurité vient d’émettre ses recommandations en matière de sécurité informatique. "Face à la réalité de la menace cyber actuelle, la sécurisation de l’application apparaît primordiale pour veiller à sa fiabilité et à la confiance que les professionnels de santé chargés de gérer la crise sanitaire et les utilisateurs lui accorderont", souligne l’agence dans un communiqué diffusé le 27 avril.
Rien n'est laissé au hasard
Sa batterie de recommandations concerne l’ensemble des éléments de l’application : le serveur central, la connexion Bluetooth, les identifiants pseudonymisés, le code lui-même… Rien n’est laissé au hasard.
Au coeur des préoccupations de l'ANSSI, le fameux serveur qui centralise les données des utilisateurs. Pour décourager les voleurs de données, l’agence préconise l’utilisation d’un coffre-fort électronique pour protéger de manière robuste les informations pseudonymisées envoyées par les téléphones.
L’agence conseille également de se mettre dans la peau des pirates pour tester la vulnérabilité de l’application. Comment ? Outre un audit classique et des contrôles de sécurité qu’elle réalisera, l’agence préconise de faire appel à un audit de type Bug Bounty, c’est-à-dire de faire appel des hackers éthiques. Dans les contrats de type Bug Bounty, les hackers sont rémunérés en fonction des failles de sécurité découvertes. Une procédure qui rencontre de plus en plus de succès. Ainsi le Pentagone avait procédé de cette façon pour la mise en ligne de son nouveau site web.
Une recommandation concernant le recours au Bluetooth
Comme elle le fait pour les opérateurs d’importance vitale qui sont sous sa protection, l’agence conseille de mettre en place une sonde de détection des cyberattaques pour réagir au plus vite en cas d’alerte. Des acteurs comme Thales et GateWatcher ont été labellisés pour fournir ces véritables vigies technologiques des réseaux.
L’ANSSI revient également sur le choix épineux du Bluetooth pour l’application StopCovid. Cette technologie de réseau sans-fil pour les courtes distances va permettre l’échange entre deux terminaux de leurs contacts pseudonymisés. Un vrai maillon faible puisque dans ses précédentes publications, l’agence conseille de désactiver ce qui pourrait être une source potentielle de menaces. Accompagnant les choix de l’INRIA qui pilote le projet, la recommandation est donc là fortement marquée. L'ANSSI recommande donc fortement aux futurs utilisateurs de mettre régulièrement à jour leur téléphone pour limiter les risques liés à l'usage de cette technologie". Quid cependant des terminaux les plus vieux du parc ou des terminaux bas de gamme qui ne pourront pas être mis à jour ?
Pour réduire les risques de piratage, elle propose d’utiliser un chiffrement récent, l’algorithme SKINNY-64/192, qui offre selon elle d’excellentes performances. Enfin, elle propose que les travaux menés pour l’application StopCovid soient publiés en open source afin de corriger d’éventuelles vulnérabilités.
