Les recommandations de l’ANSSI pour sécuriser StopCovid : utilisation d’un coffre-fort, matériel ou logiciel,pour protéger les données pseudonymisées sur le serveur central, etc.
L’Agence nationale de sécurité des systèmes d’information (ANSSI) a publié cette semaine une liste de sept (7) recommandations concernant le volet sécurité de l’application StopCovid. Cette publication a été faite alors que l'Assemblée nationale doit se prononcer aujourd’hui sur le devenir de l’application de suivi de contacts. Les recommandations de l’ANSSI sur sa sécurité tournent autour d’un coffre-fort électronique et de la détection des attaques. Elles font également suite aux recommandations de la CNIL sur le volet RGPD il y a quelques jours.
Dans un document qu’elle a rendu public cette semaine, l’ANSSI a déclaré que face à la réalité de la cybermenace actuelle, la sécurisation de l’application apparaît primordiale pour veiller à sa fiabilité et à la confiance que les professionnels de santé chargés de gérer la crise sanitaire et les utilisateurs lui accorderont. Pour atteindre cet objectif, elle formule sur le volet sécurité de StopCovid, les sept recommandations qui suivent :
- utilisation d’un coffre-fort électronique, matériel ou logiciel, pour protéger de manière robuste sur le serveur central, les informations pseudonymisées envoyées par le téléphone ;
- la mise en œuvre sur l'ensemble des composants du dispositif de mesures pour concevoir une architecture sécurisée et permettre le bon fonctionnement du traitement des informations comme qu'envisagé ;
- l'application de mesures de sécurité visant à se protéger des attaques informatiques de type DDOS ;
- l'utilisation de mécanismes d'audit de l'imputabilité et de la traçabilité des actions menées sur le système [et] qu'un audit de type bug bounty soit mené en parallèle ;
- la réalisation d'audits et de contrôles de sécurité réalisés par l'ANSSI tout au long de la conception de l'application ;
- la création d'un dispositif de gestion des vulnérabilités pour maintenir un bon niveau de sécurité de l'application et du serveur central durant toute la durée d'utilisation de l'application ;
- la mise en place d'un dispositif de détection des cyberattaques pour réagir très tôt en cas de tentatives de compromission du système.
En plus, comme la majorité des applications de suivi de contacts qui ont été déployées ou sont en cours de déploiement, StopCovid base aussi son fonctionnement sur le réseau sans fil Bluetooth. Avant l’ANSSI, la CNIL, dans ses recommandations sur le volet RGPD, a souhaité que l’utilisation de l’application soit basée sur le volontariat et destinée à un usage personnel. De son côté, l'ANSSI recommande fortement aux futurs utilisateurs de mettre régulièrement à jour leur téléphone pour limiter les risques liés à l'usage de cette technologie. Autrement dit, il faut régulièrement mettre à jour son téléphone pour assurer une meilleure sécurité du Bluetooth.
Par ailleurs, l’ANSSI a également souhaité faire une recommandation concernant l'algorithme de chiffrement qui sera utilisé. Dans sa note, elle suggère le chiffrement SKINNY-64/192. « Bien que récent, cet algorithme a été largement étudié et son analyse n'a révélé aucune faiblesse en matière de sécurité. De plus, il offre d'excellentes performances », a déclaré l’ANSSI pour justifier son choix. Pour rappel, voici les cinq principales recommandations de la CNIL pour aligner l’application StopCovid de suivi de contacts derrière le RGPD :
- tout dispositif envisagé devrait être utilisé de manière temporaire, c’est-à-dire uniquement pour la gestion de la crise ;
- après la crise, les données devront en principe être détruites, ou sinon conservées pendant un temps limité et de façon protégée, pour ne servir qu’à des finalités complémentaires de recherche ou de gestion d’éventuels contentieux ;
- le stockage des données en local sur le terminal de l’utilisateur devrait être privilégié lorsque cela est possible ;
- les applications qui s’appuient sur des données Bluetooth, qui sont chiffrées directement sur le téléphone sous le contrôle de son utilisateur, apportent plus de garanties que celles qui s’appuient sur un suivi géolocalisé (GPS) continu des personnes ;
- un tel dispositif devra, comme tout traitement, respecter le principe de transparence, assurer la sécurité des données et respecter les droits des personnes prévus par le RGPD.
Source : Recommandations de l’ANSSI (PDF)
Et vous ?
Que pensez-vous des recommandations de l’ANSSI ? Cela vous semble-t-il suffisant pour sécuriser StopCovid ? Quelles autres recommandations suggéreriez-vous ?Voir aussi
Les Français devront rester libres de ne pas installer l'application de tracking StopCovid, juge la CNIL qui ajoute que le fait de refuser l'application n'aurait aucune conséquence préjudiciable StopCovid : le gouvernement saisit le Conseil National du Numérique pour examiner l'application qui ne serait probablement pas prête avant le 11 mai, selon Cédric O StopCovid : l'INRIA dévoile ROBERT, un protocole mis au point pour la construction d'applications mobiles de suivi de contacts, en réponse à celui d'Apple et Google StopCovid : les doutes sur le lancement et l'efficacité de l'application persistent, l'exécutif et les responsables tentent néanmoins d'apaiser les esprits Pourquoi le projet français d'application StopCovid fera très probablement un bide ? Voici quelques pistes de réflexion
Vous avez lu gratuitement 9 articles depuis plus d'un an.
Soutenez le club developpez.com en souscrivant un abonnement pour que nous puissions continuer à vous proposer des publications.
Soutenez le club developpez.com en souscrivant un abonnement pour que nous puissions continuer à vous proposer des publications.
Envoyé par setni
) ou tout blanc (vacciné = 
). Pour rappel, être vacciné ne fait que, a priori, diminuer la probabilité de contaminer ou de développer des formes graves du COVID. Pour autant, il y a des effets secondaires connus, et pour l'instant on n'a qu'un recul de moins d'un an en phase de pharmacovigilance (phase finale où on applique à la population tout en vérifiant les observations de laboratoire).
