StopCovid, une efficacité sous conditions

À quoi pourrait exactement ressembler l'application StopCovid censée informer ses utilisateurs qu'ils ont été en présence d'un cas confirmé de Covid-19 ? Co-développée par l'équipe française PRIVACTIS, composée de chercheurs de l'Institut national de recherche en sciences et technologies du numérique (INRIA) et des Allemands de l'institut de cybersécurité de la Fraunhofer-Gesellschaft, elle devrait s'appuyer sur le protocole ROBERT (ROBust and privacy-presERving proximity Tracing). Dans une note publiée le 18 avril dernier le Pr Bruno Sportisse, en charge du projet et PDG de l'INRIA, précise que les spécificités techniques du logiciel ne sont pas encore tout à fait fixées.

Les grandes lignes sont toutefois connues : chaque téléphone doté de cette application génère à intervalle régulier un « crypto-identifiant », c’est-à-dire un pseudonyme transmis aux téléphones à portée de détection. Il enregistre lui-même les pseudonymes générés par les autres téléphones qu'il croise. Ces « crypto-identifiants » sont attachés au terminal et non pas à l'identité de son utilisateur.

Les professionels de santé impliqués

Selon les spécifications techniques de ROBERT, seul un professionnel de santé sera en mesure de signaler à l'application qu'un utilisateur est infecté par le SARS-CoV-2, moyennant des modalités qui restent à définir. Quand cela arrive, l'historique de crypto-identifiants rencontrés est transmis à un serveur central. Chacun de ces crypto-identifiants considéré « à risque » reçoit une notification l'incitant à consulter, à s'isoler ou à respecter plus scrupuleusement les gestes barrières.

« La notification se fait sur la base d’une évaluation du risque dont le calcul doit être défini avec les épidémiologistes, insiste le Pr Sportisse. Les services médicaux ont une longue pratique des enquêtes de terrain pour retrouver les chaînes de propagation d’une épidémie, en tant que tel, le type d’application visé n’est donc à voir que comme une aide complémentaire à ces pratiques. »

Efficace selon une modélisation

Le recours à une appli de ce genre est-il efficace ? Dans un travail de modélisation publié dans « Science », une équipe de l’université d'Oxford a évalué différents moyens de suivi des cas contact.

Une stratégie de contact tracing « manuelle », implique, selon les auteurs, un délai de trois jours entre la découverte d'un cas et son signalement auprès des contacts potentiels, ce qui empêche tout impact significatif sur l'épidémie. En revanche, un signalement immédiat via une application suffirait à stopper l'épidémie si elle est utilisée par un pourcentage significatif de la population et associée à des mesures de distanciation sociale.

Des craintes sur la sécurité

Dans un rapport récent, l'expert en cryptographie Serge Vaudenay (École polytechnique fédérale de Lausanne) et la chercheuse Anne Canteaut de l'INRIA, ont identifié un certain nombre de risques potentiels de sécurité mais aussi des imprécisions inhérentes à l'utilisation du bluetooth. « On ne peut pas savoir si les deux téléphones sont séparés par un mur ou s'ils se font face, explique la spécialiste en sécurité informatique. L'appli ne peut apprécier le risque lié à une exposition comme un investigateur humain le ferait. »

Le Pr Sportisse abonde en ce sens : « La technologie bluetooth n’a pas été conçue pour être précise dans l’estimation de distances entre deux smartphones. Les résultats peuvent dépendre de la physiologie des personnes, la position du smartphone et son type, de l’état de la batterie, etc. Plusieurs équipes internationales mènent des tests de calibration afin de corriger ces erreurs ».

Pour l'heure, seul Singapour a utilisé une application du même type que StopCovid : TraceTogether. Selon un retour d'expérience, le recours à cette application est un échec relatif, faute « d'humain dans la boucle » pour discriminer la pertinence des signalements. « Un million de personnes ont téléchargé l'application mais elles l'ont assez peu utilisé pour tout un tas de raisons. Au final, à peine 12 % de la population seulement ont utilisé régulièrement l'application », détaille Anne Canteaut.

Anne Canteaut nourrit aussi quelques réserves concernant la compatibilité du protocole ROBERT avec les deux systèmes d'exploitation qui dominent le marché : iOS (Apple) et Android (Samsung). « Une appli de traçage doit pouvoir utiliser librement la connexion bluetooth et coopérer avec le système d'exploitation, explique la chercheuse. Or, iOS et Android ne le permettent pas car cela ouvre la porte à des problèmes de sécurité. Ces systèmes d'exploitation sont très adaptés à des protocoles décentralisés et très peu à un protocole centralisé comme ROBERT ».