Traçage des contacts COVID-19 : où en est le développement sécurisé ?

Une version de cet article a été initialement publiée dans DevOps Digest. Il a été mis à jour et syndiqué ici.

À ce stade, je suis certain que nous sommes tous un peu lassés de l'expression « en ces temps sans précédent »... mais nous vivons réellement une époque inédite. Qui aurait pu imaginer, à la fin de l'année dernière, que nous serions en train de lutter contre une pandémie mondiale dévastatrice et de mobiliser toutes nos ressources pour la vaincre ? Cela aurait semblé presque risible, davantage digne d'une nouvelle série de science-fiction sur Netflix que de notre réalité mondiale. La COVID-19 a complètement transformé nos vies sociales, notre économie et la sécurité de l'emploi, sans parler des priorités politiques.

L'une des contre-attaques face à la COVID-19 s'est appuyée sur la technologie, de nombreux pays déployant des applications de traçage des contacts. L'Australie a lancé COVIDSafe, sur le modèle de TraceTogether à Singapour. Hong Kong, Taïwan, la Chine, la Corée du Sud, Israël et l'Allemagne ont tous mis en place, ou sont en train de le faire, une technologie de traçage des contacts. Le Royaume-Uni a été la région la plus durement touchée en Europe, avec des dizaines de milliers de décès liés au virus et un taux d'infection élevé. Le lancement de leur application est imminent. Les États-Unis, également profondément affectés avec de nombreuses pertes humaines tragiques, déploient aussi une technologie, mais leur approche État par État rend la situation assez complexe.

À l'exception de pays plus contrôlés par l'État comme la Chine et Taïwan, l'utilisation de ces applications est volontaire et nécessite que les citoyens téléchargent et utilisent la technologie de leur plein gré. Certains taux d'adoption sont plus réussis que d'autres ; par exemple, l'application TraceTogether de Singapour a connu un taux d'adoption de 25 %, ce qui l'a rendue assez inefficace pour l'objectif visé.

Le concept derrière les applications de traçage des contacts est solide. Lorsqu'elle fonctionne correctement, cette technologie permet de détecter rapidement les foyers d'infection et de procéder à des tests complets, deux éléments essentiels pour lutter contre la propagation d'un virus contagieux. Cependant, les termes « gouvernement » et « traçage » ne semblent pas très engageants, et il est naturel que les gens soient prudents quant aux conséquences réelles du téléchargement d'un tel outil.

Alors, quelles sont les principales préoccupations des utilisateurs ? Si l'on en croit les commentaires en ligne, voici quelques-unes de ces appréhensions :

• Manque de confiance envers le gouvernement pour utiliser les données collectées de manière responsable
• Inquiétude quant à la protection des données personnelles contre les cyberattaques
• Manque de clarté sur les données réellement collectées, leur lieu de stockage et les destinataires
• ... et pour les développeurs et technophiles parmi nous, sur la solidité réelle de la conception de ces applications.

Il est toujours préoccupant de voir des applications développées dans l'urgence, et ces outils de traçage des contacts doivent être déployés en un temps record. C'est un cauchemar pour les développeurs, les experts en sécurité et les agences gouvernementales.

La méfiance est-elle donc une réaction justifiée ? Et que devrions-nous considérer comme prioritaire dans notre évaluation des applications de traçage COVID-19 et de la sécurité des utilisateurs finaux ? En tant qu'expert en sécurité, mon instinct est naturellement d'examiner les aspects de cybersécurité du programme, notamment la robustesse du code source d'une application que nous sommes tous (avec les meilleures intentions du monde) incités à installer.

Beaucoup de ces applications sont des copies les unes des autres (et héritent des mêmes problèmes).

L'application australienne COVIDSafe est essentiellement basée sur OpenTrace, tout comme le logiciel TraceTogether de Singapour. Le problème, cependant, est que TraceTogether a rencontré une série de problèmes signalés et une faible adoption, avec seulement 25 % de la population l'utilisant, bien loin des 75 % requis pour qu'elle soit efficace. Des plaintes ont été formulées concernant ses performances générales, notamment sur iOS, avec une décharge très rapide de la batterie. COVIDSafe présente un défaut potentiel d'expérience utilisateur dans sa version iOS, nécessitant que le téléphone soit déverrouillé et que l'application soit active au premier plan pour enregistrer correctement toutes les données.

Bien que les problèmes ci-dessus soient gênants, la préoccupation la plus pressante est que les vulnérabilités Bluetooth sont monnaie courante et que ni TraceTogether ni COVIDSafe ne sont à l'abri. Le 14 mai, le NIST a signalé que COVIDSafe présentait une vulnérabilité de déni de service, permettant à un attaquant de faire planter l'application à distance s'il se trouve à portée de connexion Bluetooth. Cela permettrait à une attaque organisée de perturber le traçage des contacts dans les zones densément peuplées, là où il est le plus utile, un point expliqué en détail par le chercheur en sécurité Richard Nelson. Ce problème affecte COVIDSafe, TraceTogether, l'application polonaise ProteGO et l'application canadienne ABTraceTogether, qui héritent toutes de l'appel défectueux manuData.subdata d'OpenTrace.

Il existe également d'autres problèmes de confidentialité et de sécurité liés à la fonctionnalité Bluetooth en général. Le fait que cette technologie soit utilisée pour tracer les déplacements humains via un identifiant unique (TempID) et collecter des données significatives entraînera inévitablement un intérêt accru des attaquants pour tester ses faiblesses. À ce stade, il est impératif d'examiner précisément quelles données sont collectées, où elles sont stockées et pour combien de temps.

Certaines applications montrent déjà des signes d'erreurs simples provoquant des faiblesses complexes.

L'ingénieur logiciel australien Geoffrey Huntley a étudié le code source de COVIDSafe, et malheureusement, il existe des problèmes qui ne sont pas nécessairement mis en avant auprès de nous, les utilisateurs finaux.

Un exemple critique était une erreur de logique portant atteinte à la vie privée, qui permettrait à un attaquant d'effectuer un suivi à long terme des appareils ; cela représente un risque énorme pour les utilisateurs vulnérables, sans compter que cela contrevient à la politique de confidentialité de l'application elle-même.

Il est important de noter que ces vulnérabilités logiques ont été corrigées depuis le 14 mai, mais le problème le plus urgent est qu'elles sont restées sans correctif, dans la nature, pendant 17 jours après que M. Huntley les a signalées. Lui et d'autres membres de l'excellente communauté de sécurité suivent les CVE liés à l'application COVIDSafe ici.

Huntley souligne qu'après le correctif, la solution elle-même témoigne d'une certaine incompétence. Dans son journal public, il note que le correctif a ajouté une logique complexe au lieu de simplement supprimer un cache défectueux, ce qui aurait été bien plus efficace. Les deux méthodes fonctionnent, mais la solution déployée manque de finesse, ce qui est préoccupant pour une application aussi critique.

Bien que des membres dévoués de la société consacrent leur temps et leur expertise à analyser le code source pour signaler des failles, leur tâche est bien plus ardue que si le code était ouvert dès le départ. À l'heure actuelle, 28 applications restent fermées aux chercheurs en sécurité.

Le développement sécurisé continue de nous faire trébucher sur la ligne d'arrivée.

Si je peux comprendre les développeurs surmenés — et la situation exceptionnelle consistant à produire en urgence une application vitale en pleine pandémie — ce qui précède montre que quelques vulnérabilités simples dans un code partagé peuvent entraîner des problèmes majeurs pour des millions d'utilisateurs.

J'aime à penser que la plupart des gens veulent agir pour le bien commun, soutenir l'application et donner à chacun les meilleures chances de tracer les contacts et de contrôler les foyers de ce virus terrifiant. Je soutiens moi aussi les technologies qui y contribuent, mais cette situation a révélé un manque général de principes de développement sécurisé chez les développeurs du monde entier.

Dans toute situation où un logiciel doit être écrit rapidement, les erreurs sont inévitables. Cependant, les vulnérabilités courantes comme les failles logiques, les erreurs de configuration et les injections de code devraient être évitées dès l'écriture, et non après que des bénévoles ont disséqué le code.

Et ce n'est pas la faute des développeurs. Ils sortent de leurs études avec peu de compétences en développement sécurisé, et dans leur carrière, leurs objectifs sont presque toujours axés sur les fonctionnalités et la rapidité de livraison : la sécurité est censée être gérée par quelqu'un d'autre. Nous devons parvenir à un développement sécurisé et rapide. Bien que ce ne soit pas le moment de bouleverser la culture des départements concernés, cela nous rappelle que notre surface d'exposition numérique s'étend et qu'ils sont les mieux placés pour agir s'ils disposent des outils et des connaissances nécessaires pour partager la responsabilité des bonnes pratiques de sécurité.

L'application est-elle sûre à télécharger ?

Voici mon point de vue : en tant qu'expert en sécurité, j'en ai conclu que les avantages de l'application l'emportent sur ses défauts. Il n'est pas idéal que ces vulnérabilités existent ou aient existé, mais leur exploitation malveillante relève du pire scénario. Pour l'instant, le traçage des contacts est essentiel pour aider le personnel médical à contrôler la propagation, limiter les hospitalisations et nous protéger mutuellement.

Cela souligne qu'il nous reste un long chemin à parcourir pour intégrer les bonnes pratiques de sécurité par défaut dans le développement logiciel, et il est crucial que le public dispose des informations nécessaires pour prendre des décisions éclairées.

Ma famille et moi continuerons à l'utiliser, tout en restant vigilants et en maintenant nos correctifs Android à jour, comme nous devrions tous le faire.