Thread by @gilbsgilbs

TousAntiCovid Verif, Acte 2 : petit topo sur les changements que j'ai pu identifier dans la dernière mise à jour de l'application (v1.3). Spoilers : c'est en bonne voie, mais pas encore parfait. ⬇⬇⬇

Les deux précédents threads pour historique :
-

https://twitter.com/gilbsgilbs/status/1401128591153373186

-

https://twitter.com/gilbsgilbs/status/1401838425276391428

✅ La vérification du 2D-DOC se fait désormais en local. Mieux : *tous* les appels réseau à IN Groupe semblent avoir été supprimés et l'application fonctionne désormais en mode avion. Les 2D-DOC ne transitent plus par un prestataire américain ni par un serveur d'IN Groupe.

✅ Firebase a complètement disparu du bundle. Concrètement, ça veut dire que les données de crash ou d'analytics ne seront plus remontées à Google.

✅ L'application semble désormais fonctionner sur les appareils Android sans les services Google, mais y'a un mais : 👇

❌ Toujours une dépendance à MLKit vision, une bibliothèque propriétaire de Google qui permet la lecture de code-barres et utilise le modèle de données des Play Services s'ils sont disponibles. Ceci est probablement bloquant pour mettre les sources de l'appli à disposition : 👇

❌ L'application n'est à cette date toujours pas en sources ouvertes. La @CNIL a demandé l'ouverture de la totalité du code source (legifrance.gouv.fr/jorf/id/JORFTE…), donc on a de bonnes raisons d'espérer que MLKit va sauter et que les sources vont sortir comme celles de @TousAntiCovid.

À noter qu'il n'y a plus aucune raison (même mauvaise) de laisser ce code source fermé. Il n'y a plus de lien vers un endpoint ni de secrets obfusqués et l'accès au mode "opérateur de transport" semble convenablement sécurisé (dans la limite de ce qui est faisable pour TAC-V).

❌ Je regrette que l'application montre encore trop d'informations. Notamment le mode "opérateur de transport" affiche le nombre de doses faites et restantes avant immunisation : ceci permet de déduire des informations sur l'état de santé des individus. Pourquoi laisser ça ?

⚠ J'espère que la @CNIL va enquêter sur la fuite de données personnelles médicales qu'il y a eu sur les serveurs d'Akamai et d'IN Groupe. Est-ce que vraiment aucun 2D-DOC n'a été loggé sur leurs serveurs ? Ont-ils bien effacé ces informations si tel est le cas ?

Il reste toujours d'autres soucis inhérents à l'implémentation actuelle du pass sanitaire et qui dépassent le cadre de l'application TousAntiCovid Verif. Pour cela, je vous renvoie encore une fois vers l'article de @X_Cli_Public et @piotrcki sur le sujet : broken-by-design.fr/posts/pass-san…

cc @gkallenborn @gdelac @cryptosaurus6