Les meilleurs chercheurs condamnent l'approche centralisée du suivi COVID-19

Alors que les nations européennes s’efforcent de contenir la propagation de COVID-19, plusieurs unités de recherche ont mis au point des solutions de suivi pour aider à détecter les citoyens malades. Cependant, toutes ces solutions n’offrent pas des mesures de protection de la vie privée équitables pour les utilisateurs.

Une offre pourrait même signifier la fin du droit à la vie privée pour les Européens.

Les meilleurs chercheurs condamnent le PEPP-PT

L’initiative paneuropéenne de recherche de proximité visant à préserver la vie privée (PEPP-PT) a été annoncé le 1er avril 2020.

Il a été assemblé pour développer un logiciel qui avertirait les citoyens s’ils avaient été en contact avec une personne dont le test COVID-19 était positif. En cas de détection, les utilisateurs seraient informés qu’ils doivent se mettre en quarantaine.

Des applications téléphoniques pourraient alors être construites sur ce logiciel et exploiter les signaux Bluetooth des appareils. C’est ce qu’on appelle la recherche des contacts et c’est la même itération que Google et Apple sera utilisé dans leur solution de suivi.

Il se distingue des logiciels de reconnaissance faciale ou « numériques ».passeports d’immunité.” Plus important encore, il est beaucoup plus difficile de réaffecter certaines solutions de recherche de contacts basées sur le Bluetooth à des fins commerciales ou de surveillance de masse.

Les préoccupations relatives à la réutilisation de ces logiciels sont au cœur d’une controverse naissante au sein de la communauté européenne de la recherche sur les logiciels libres.

L’un des principes fondamentaux du PPE-PT avait inclus la mention d’un autre protocole appelé DP-3T.

En bref, le DP-3T offre un grand nombre des mêmes avantages en matière de suivi, plus la décentralisation. Les données seraient stockées localement sur l’appareil de l’utilisateur plutôt que sur un serveur central ou dans le nuage. La solution de suivi de Google et d’Apple ressemble aussi beaucoup au DP-3T.

Cet avantage est double.

Dans le premier cas, un protocole de suivi décentralisé est beaucoup plus sûr contre le piratage numérique. Bien que des agents malveillants puissent accéder à certaines données, le prix serait limité à quelques utilisateurs seulement. Un serveur centralisé qui stocke la valeur des mouvements des citoyens d’un continent, par exemple, est beaucoup plus attrayant pour les pirates.

Deuxièmement, une solution décentralisée aurait des applications limitées une fois que COVID-19 aura fait son temps, et les technologies de suivi ne sont plus nécessaires. La principale menace d’une solution centralisée est la réutilisation de données précieuses pour des raisons autres que la lutte contre une maladie virale.

C’est pour ces deux raisons qu’une approche décentralisée du suivi des utilisateurs a été défendue comme étant plus sûre et plus éthique.

Le 16 avril 2020, le PEPP-PT l’avait pourtant fait, supprimé toute mention antérieure de l’utilisation du DP-3T.

Un jour plus tard, Hans-Christian Boosl’un des principaux organisateurs du PEPP-PT et fondateur de la société d’IA Aragoa déclaré aux médias allemands qu’il recommande une solution de suivi centralisée pour l’Allemagne.

Entre-temps, le PEPP-PT avait déjà attiré l’attention de divers gouvernements et d’importants instituts de recherche européens, comme Fraunhofer et Inria. Il est important de noter qu’il y a eu peu de transparence quant à la façon dont le PEPP-PT et les groupes de recherche concernés progressent.

#DP3T s’est présentée de bonne foi comme candidate au soi-disant PEPP-PT, mais il est maintenant clair que les acteurs puissants qui font pression sur les bases de données centralisées de recherche des contacts par Bluetooth n’agissent pas et n’agiront pas de bonne foi.

Le PEPP-PT est un cheval de Troie.

– Michael Veale (@mikarv) 16 avril 2020

Bien que les discussions alimentent activement la page GitHub et le code source du DP-3T, le PEPP-PT a peu fait pour démontrer un niveau de transparence similaire. Le 17 avril 2020, le projet a publié un Document PDF sur GitHub, pour le retirer peu de temps après.

Nadim Kobeissiun cryptographe et ancien chercheur de l’Inria, a reproduit une copie de la proposition « rédigée à la hâte » sur son blog.

Dans une interview avec Crypto Briefing, Kobeissi a décrit le document comme une « tentative de premier niveau » de protocole de suivi sûr. En outre, le document ne semble pas correspondre au PIBR de l’Europe mandat.

Les inquiétudes concernant la solution proposée par le PPE-PT, l’opacité du projet jusqu’à présent et les enjeux élevés ont conduit de nombreux membres de l’initiative à abandonner leur soutien. Logos de l’École polytechnique fédérale de Lausanne (EPFL), KU Leuven, ETH Zürichet d’autres ont tous été retirés du site PEPP-PT.

L’ETH Zurich a notifié hier au PEPP-PT qu’elle se retirait du consortium PEPP-PT avec effet immédiat. Désormais, nous nous concentrons sans relâche sur #DP3T.

– kennyog (@kennyog) 18 avril 2020

Dr. Kenneth PatersonUn des principaux cryptographes de l’ETH Zürich a déclaré à Crypto Briefing que l’institution s’était « gentiment retirée » en raison des problèmes de centralisation. Paterson a déclaré

« La solution centralisée pose deux problèmes essentiels. Elle néglige la minimisation des données, ce qui signifie que les seules données collectées seraient celles qui sont nécessaires à l’application. Elle ne reconnaît pas non plus le potentiel de réutilisation ».

Le 17 avril, le Le Parlement européen a également voté en faveur d’une approche décentralisée qui minimise la collecte de données.

Aujourd’hui, M. Paterson a fait suivre cette déclaration d’une déclaration commune d’environ 300 scientifiques de 25 pays qui condamne les protocoles qui ne respectent pas la vie privée et la sécurité des utilisateurs.

Le document conclut que toutes les équipes représentées seront également pleinement engagées dans le développement de services de suivi éthique.

Cela comprend des travaux sur la DP-3T, mais aussi des recherches au sein de l Coalition TCNL’Université de Washington CovidSafe et le programme de l’Institut de technologie du Massachusetts PACT initiative.

Crypto Briefing a contacté Hans-Christian Boos pour un commentaire sur le PEPP-PT. Il n’a pas encore répondu au moment de mettre sous presse.