Thread by @fs0c131y

1/ Alors que personne n'a rien demandé, Stéphane Richard a annoncé la semaine dernière avoir développé une application de contact tracing avec cinq autres industriels français.

Aujourd'hui, aucun détail de cette app n'est public. Ils ne donnent pas d'infos? Allons en chercher!

2/ Hier, les médias Français se font écho d'une *éventuelle* expérimentation de cette app dans les Yvelines, dans intercommunalité regroupant notamment Sartrouville *ou* Saint-Germain-en-Laye.

Beaucoup de "éventuel", "ou"...

3/ Ce qui semble certain, c'est que n'arrivant pas a convaincre le gouvernement Français de sa générosité sans aucune intention derrière, Orange a décidé de les contourner en démarchant directement les présidents de régions.

Chez moi, on appelle ca un "dick move"

4/ Alors qu'est ce qu'on sait? Orange a créé un site internet pour son app: stopc19.fr

On remarquera le logo aux couleurs du drapeau Français qui peut porter à confusion et faire croire que le dispositif est un dispositif "officiel" du gouvernement.

5/ Ce mélange des genres est partout. C'est encore pire ensuite...

6/ En obtenant les infos du site internet avec WHOIS on peut voir que le site a été enregistré le 2020-04-19 à 15:49:27. Il y a donc 4 jours.

Ca semble *très très* récent pour une app qui est déjà en test sur un territoire important, non?

7/ En énumérant tous les sous domaines du site, on obtient une liste intéressante et de nombreuses infos sur la structure du service.

8/ Sur le sous domaine front-backoffice, on peut trouver... le logo Republique Française...

Plutôt étonnant pour une app non officielle? Vous le voyez le mélange des genres?

9/ Sur le sous domaine front-sante, on peut trouver le logo Republique Française et Santé publique...

Il y a même une connection avec ProSanté Connect...

10/ Et sinon on en parle de la mention "Pot de confiture"? C'est pour honeypot j'imagine, mais qu'est ce que ca vient faire là 🤷‍♂️

11/ Dans les sous domaines dédiés aux APIs on peut voir:
- api-tracing.stopc19.fr
- tracing.api.stopc19.fr
- api-personal.stopc19.fr
- personal.api.stopc19.fr
- api-sante.stopc19.fr
- sante.api.stopc19.fr
- api-dashboard.stopc19.fr
- dashboard.api.stopc19.fr

12/ On peut distinguer plusieurs APIs:
- sante: personnel de santé
- tracing: application mobile?
- personal: ??
- dashboard: un tableau de bord. Qui a accès à ce tableau de bord?

13/ La précense d'un dashboard est clairement une source d'inquiétude ici. Ca montre une volonté de surveiller l'activité côté backend.

14/ Une des grandes questions est: sur quel protocole repose cette app?

Difficile à dire avec les éléments en main. Même si mon petit doigt me fait dire qu'on ne change pas une architecture qui gagne et que toutes les données sont envoyées sur un serveur central as usual.

15/ En observant la liste des sous domaines, on obtient des informations sur les outils utilisés:
- grafana
- kibana
- argocd
- prometheus

https://twitter.com/fs0c131y/status/1253267368631062528?s=20

16/ Pas de trace d'une quelconque app mobile pour le moment. Evidemment si cette app existe et que vous l'avez en votre possession, n'hésitez pas à me contacter par email ou par DM 😏

17/ Orange n'a même pas changé le nom sous le logo... L'app d'Orange s'appelle stopc19. StopCovid c'est le nom de l'app du gouvernement...

18/ En conclusion, nous avons une entreprise privée qui sans le consentement de l'Etat Francais:
- utilise le logo République Française et Santé Publique
- utilise le nom du dispositif officiel qui n'est pas le sien
- contourne l'Etat pour aller vendre sa solution aux régions

19/ Nous avons:
- pas le code source de l'app, ni du backend
- pas d'information sur le protocole utilisé
- pas d'information sur l'architecture du dispositif

Bref, on a rien...

20/ @cedric_o quand vous aurez finalement reçu l'avis de vos copains du @CNNum pour nous expliquer que les apps de contact tracing c'est génial, est ce que l'Etat pourrait faire son travail et remettre un peu d'ordre là dedans en demandant un peu de transparence dans ce bazar?

Addendum 1: C'est pour ca que j'aime Twitter, vous êtes les meilleurs. Le logo n'est même pas bon, c'est une cocarde anglaise et non Française...

https://twitter.com/sch00b/status/1253296611008135169?s=20

Le Sénat et le Conseil Constitutionnel ont une cocarde anglaise pour logo et personne ne dit rien? 😅 Mais où va le monde? 😂

via @covfefelix