Que contient le code QR du passeport vert de l'UE ?

Environ seize pays auraient déjà commencé à utiliser le pass sanitaire de l'UE

Le Parlement européen a validé le pass sanitaire au début du mois et les différents pays de l'Union se préparent à le déployer dès le 1er juillet. Si la cadence s'accélère au niveau de chaque gouvernement, et sous la surveillance des régulateurs étatiques, bon nombre de citoyens demeurent toutefois préoccupés par les données qui seront collectées dans le cadre de la mise en place du pass sanitaire ainsi que leur sécurité. Pour montrer que cette préoccupation n'a pas lieu d'être, l'UE a partagé un script Python permettant de décoder et de vérifier le code QR d'un certificat. Certains l'ont essayé et partagent ce qu'ils y ont trouvé.

Le code QR ne contiendrait pas de données superflues

Pour rappel, le pass sanitaire de l'UE, aussi connu sous le nom de certificat vert numérique de l'UE, a pour objectif de faciliter les voyages au sein de l'Union dans le contexte de la crise sanitaire. Ce certificat sanitaire contiendra un code QR prouvant que son titulaire a été vacciné, qu'il a passé un test PCR ou antigénique rapide négatif ou qu'il est immunisé après avoir été infecté par le Covid-19. Le certificat ne donnera pas de droit automatique aux personnes vaccinées avec des sérums non autorisés par l'Agence européenne du médicament, comme les vaccins chinois et russes utilisés en Hongrie.


Dans ce cas, ce sera alors à l'État membre d'accepter ou non ces personnes sur son territoire. En gros, le statut Covid du titulaire du certificat, qui sera disponible aux formats numérique et papier, sera prouvé par un code QR inscrit sur le document. En ce qui concerne la vie privée et la confidentialité des données, l'UE a assuré qu'aucune donnée personnelle n'est stockée dans une base de données centrale. « Les données personnelles obtenues via les certificats ne pourront pas être stockées dans les États membres de destination », lit-on dans le communiqué du Parlement européen.

Tobias Girstmair, un étudiant australien en informatique, s'est exercé à décoder le code QR d'un pass sanitaire quelconque, généré à partir de données fictives, et a partagé ce qu'il a trouvé. « En tant que personne soucieuse du respect de la vie privée, je voulais juste savoir quels détails je donnais lorsque je laissais mon serveur scanner mon code », a-t-il écrit dans un billet de blogue sur son site Web personnel. Voici ci-dessous à quoi ressemble un certificat vert numérique de l'UE. Girstmair note qu'il est assez volumineux pour un code QR, mais comme il est censé contenir plus qu'un lien hypertexte, sa taille est normale.

Il s'agit d'une structure de données binaires codée en Base45, compressée et signée. Le groupe qui a conçu le laissez-passer vert de l'UE a publié la spécification du code QR, qui explique en détail le pourquoi et le comment des technologies choisies. « Mais en bref : il est fortement optimisé pour la taille et la fiabilité », explique Girstmair. Une fois décodé, l'on se retrouve avec les octets qui composent le document signé. Les métadonnées (ID de la clé et l'algorithme de signature utilisé) sont surlignées en bleu, la signature en vert et la structure de données principale de CBOR en rouge.

La partie non-ASCII au début est l'émetteur du code QR, ainsi que les dates d'expiration et de génération sous forme d'horodatage UNIX 32 bits, le reste des valeurs est à peu près lisible tel quel. Voici ci-après ce qu'il explique :

En utilisant Python, l'on peut ensuite extraire les données suivantes de la charge utile. Elles ont été annotées en suivant le schéma du certificat.

Alors que révèle le code QR ? Comme vous pouvez le voir, Gabriele, 23 ans, a été vaccinée en février, une fois, avec le Comirnaty de BioNTech/Pfizer. Ce qui n'est pas inclus, c'est la date pendant laquelle elle est considérée comme immunisée. Celles-ci sont calculées à partir du nombre de vaccins reçus et de la date de la vaccination, ainsi que des circonstances (aller au restaurant ou au travail, par exemple) par l'application scanner. Ceci montre en effet qu'en dehors du nom/fabricant du vaccin reçu, il n'y a pas de données superflues à l'intérieur. « Le code QR n'est pas un cauchemar pour la vie privée, comme certains l'ont craint », a conclu Girstmair.

Pour vérifier les données de votre propre passeport vert, vous pouvez consulter greenpass.py. Il prend le PDF de gruenerpass.gv.at ou l'image en format PNG du code QR lui-même sur la ligne de commande, et imprime toutes les données, annotées avec le schéma mentionné ci-dessus.

Plusieurs pays ont déjà mis en place le pass sanitaire

À l'heure actuelle, environ seize pays auraient commencé à utiliser le "certificat numérique COVID" de l'UE (EUDCC) pour permettre à leurs citoyens de voyager facilement à travers l'Union. Selon la Commission européenne, quinze États membres (l'Autriche, la Belgique, la Bulgarie, la Croatie, la République tchèque, le Danemark, l'Estonie, l'Allemagne, la Grèce, la Lettonie, la Lituanie, le Luxembourg, la Pologne, le Portugal et l'Espagne) se sont connectés à la passerelle et ont commencé à délivrer les premiers certificats. Ils sont rejoints par l'Islande, qui est le premier des quatre pays de l'Espace économique européen à adhérer au système.

D'autres pays devraient suivre le mouvement lorsque ses fonctions seront déployées à l'échelle du continent d'ici le 1er juillet. Le projet de l'UE est de mettre en place un système unique pour faciliter la sécurité des voyages en vérifiant le statut du détenteur du laissez-passer vis-à-vis du coronavirus, que ce soit par la vaccination, un résultat négatif récent ou la preuve de la guérison du virus. Selon la Commission, plus de 20 pays ont testé avec succès le système au cours du mois dernier.

Par ailleurs, la Commission souhaite que 70 % des 450 millions d'habitants de l'Union aient reçu au moins une dose de vaccin d'ici la fin juillet, ce qui facilitera davantage la mise en place du pass sanitaire. La chef de la Commission, Ursula von der Leyen, a révélé le mois dernier que l'UE était en bonne voie pour atteindre cet objectif, avec plus de 250 millions de doses administrées à ce jour. En outre, plus de 80 millions d'Européens auraient déjà été entièrement vaccinés.

Sources : Tobias Girstmair, Script Python de décodage et de vérification, Projet du certificat vert numérique de l'UE, Commission européenne

Et vous ?

Quel est votre avis sur le sujet ?
Que pensez-vous des données contenues dans le code QR ?

Voir aussi

Application TousAntiCovid et Pass sanitaire : les informations personnelles et médicales sont disponibles en clair

Le Parlement européen valide le pass sanitaire : et maintenant ? Les vols internationaux devraient bientôt reprendre leur cours normal

Covid-19 : accord trouvé sur le pass sanitaire européen, il sera disponible sur smartphone, mais aussi en version papier

Covid-19 : un « certificat sanitaire » européen, en version électronique ou papier, disponible dès le 15 juin, a annoncé Thierry Breton