Alexandre Franke @afranke@mamot.fr

J'ai regardé vite fait comment #TousAntiCovidSignal (le machin de QRCodes pour les restaurants etc., alternative proposée au fait de donner son nom et son numéro de téléphone aux gérants, ce qui est sinon obligatoire) fonctionnait ou était censé fonctionner.
Site du gouv en pratique : https://qrcode.tousanticovid.gouv.fr/
Description du protocole : https://hal.inria.fr/hal-03146022v2/document

En gros, les établissements présentent des QRCodes que les utilisateur·rices doivent scanner, les utilisateur·rices ne dévoilent normalement rien à personne sauf s'iels sont testé·es positives et acceptent de partager l'info.

Dans ce cas, la valeur des QRCodes des 14 derniers jours ainsi que le moment où ils ont été scannés est partagée à l'autorité centrale qui gère TousAntiCovidSignal.

La valeur des QRCodes est essentiellement comprise de :
- un identifiant unique de lieu (j'en parle plus bas)
- des métadonnées chiffrées pour l'autorité qui exploite TousAntiCovidSignal. Ces métadonnées peuvent contenir :
1. Des informations de configuration ainsi que la date de génération du QRCode pour vérifier sa validité dans le temps et éviter les attaques par rejeu (e.g. vous allez dans un magasin que vous voulez pourrir, et vous scannez le même QRCode tous les jours pour générer une alerte si vous êtes malades)
2. Le type de lieu et sa capacité d'accueil, pour que l'autorité puisse décider de seuils à partir de quand envoyer une alerte. (Donc ça donne quelques infos sur le lieu mais pas beaucoup)
3. Si le QRCode est destiné à un client ou à un membre du personnel (ça sert principalement à l'autorité à dire « cette personne est là tout le temps » VS « cette personne est juste passée à ce moment précis là »)
4. Potentiellement un numéro de téléphone, chiffré pour une seconde autorité, pour que cette seconde autorité puisse contacter les gérants du lieu et mettre en lien les données semi-anonymes de QRCodes et les données papiers (pour les personnes qui n'utilisent pas TousAntiCovidSignal). Pour l'instant, ça n'a pas l'air d'être utilisé du tout.

Il n'y a pas de registre des identifiants uniques de lieux, et ces identifiants peuvent être temporaires, ils savent juste à savoir si plusieurs personnes ont été au même endroit en même temps. Le protocole propose des périphériques dédiés pour générer de nouveaux QRCodes régulièrement, en changeant d'identifiant unique au moins une fois par jour, lors de la fermeture du lieu s'il ferme, etc. Et de générer des QRCodes valides à un temps court pour éviter les rejeux.

En pratique, le site du gouvernement ne propose pour l'instant que de générer des QRCodes à imprimer, et recommande de les changer toutes les semaines.

TL;DR:
- si l'implémentation suit ce qui est annoncé, l'info de ce que vous avez scanné reste strictement sur votre téléphone à moins que vous soyez testée positive, et que vous acceptiez de transférer les infos
- l'accès aux valeurs stockées sur votre téléphone ne dévoile pas immédiatement l'historique des lieux que vous avez scannés mais :
1. si la personne ayant accès à ces données a aussi scanné certains des mêmes QRCodes, elle peut savoir que vous avez fréquenté un lieu précis (normalement les codes sont censés changer fréquemment, en partie pour cette raison, mais en pratique, le gouv recommande de changer chaque semaine)
2. il est difficile de savoir pour un·e utilisateur·rice si les QRCode scannés contiennent des métadonnées avec des données de contact des gérants du lieu (puisqu'elles sont chiffrées), mais pour l'instant ce qui est mis en place par le gouvernement ne stocke pas ce genre d'infos dans les QRCodes

The Flatpak/Flathub community migrates to the Matrix side of life :)

Meet us at: #flatpak:matrix.org

For the lazy people: https://matrix.to/#/#flatpak:matrix.org?via=shivering-isles.com&via=matrix.org&via=kittenface.studio

I'm really looking forward to see everyone around and never have to worry about NickServ again.

RT @shadeJohnny7@twitter.com

https://matrix.org/hosting/ just updated with two new @matrixdotorg@twitter.com hosting providers, if y’all are interested in that.

🐦🔗: https://twitter.com/shadeJohnny7/status/1395278710387974147