Alerte COVID n’est pas une carte de nos rencontres
Comment avertir quelqu’un d’une exposition possible sans enregistrer tous ses déplacements? C’est le problème qu’Alerte COVID essaie de régler. Disponible au Canada depuis la fin juillet, l’application doit détecter une proximité utile sans révéler l’identité, le lieu ou le moment exact.
Elle n’utilise pas le GPS pour tracer un parcours. L’architecture de notification d’exposition de Google et Apple fait plutôt produire à chaque téléphone des clés temporaires aléatoires. À partir de ces clés, l’appareil dérive des identifiants de proximité qui changent fréquemment et les diffuse par Bluetooth Low Energy. Les téléphones voisins enregistrent l’identifiant reçu, l’heure, la durée approximative et une mesure de puissance du signal. Ils n’obtiennent ni le nom de la personne ni ses coordonnées GPS.
Lorsqu’une personne reçoit un diagnostic et choisit de le déclarer avec le mécanisme autorisé, l’application téléverse les clés temporaires correspondant à la période contagieuse, pas la liste des téléphones rencontrés. Les autres appareils téléchargent périodiquement les clés publiées, reconstruisent les identifiants qu’elles auraient produits et les comparent localement à leur journal. Une correspondance est ensuite évaluée selon la durée et l’atténuation du signal avant d’afficher une notification.
La séquence sans carte centrale
Le flux peut se résumer ainsi :
- le téléphone A génère une clé temporaire et diffuse plusieurs identifiants rotatifs dérivés;
- le téléphone B enregistre localement un identifiant entendu, sans savoir qu’il vient de A;
- après un diagnostic, A obtient un code à usage limité et consent à publier ses clés de la période visée;
- B télécharge ces clés, recalcule les identifiants possibles et trouve une correspondance dans son propre journal;
- B applique les paramètres de risque fournis par l’autorité de santé et présente une consigne, sans annoncer au serveur quelle rencontre a correspondu.
Cette topologie est très différente d’une base centrale contenant une carte des rencontres. Le serveur doit distribuer les clés de diagnostics valides et empêcher les fausses déclarations, mais il n’a pas besoin de recevoir le graphe social complet. La réduction des données à la source limite ce qu’une fuite centrale pourrait révéler.
Bluetooth ne mesure toutefois pas une exposition biologique. La puissance reçue varie avec la distance, le modèle de téléphone, une poche, un mur ou l’orientation du corps. Deux personnes séparées par une cloison peuvent produire un signal qui semble proche; deux appareils rangés au fond de sacs peuvent sous-estimer une vraie proximité. L’application ne connaît pas la ventilation, le masque ni le contexte. Des seuils trop sensibles augmentent les faux positifs; des seuils trop stricts manquent des contacts. L’adoption, les téléphones compatibles, le Bluetooth activé et la déclaration volontaire limitent aussi la couverture.
Il y a une nuance mélangeante sur certains appareils Android de l’époque : le réglage système de localisation doit être activé pour permettre la détection Bluetooth, même si Alerte COVID n’a pas la permission d’obtenir la position. Dire seulement que « la localisation doit être active » ne décrit donc pas les données auxquelles l’application accède. Il faut distinguer un interrupteur du système d’exploitation, une permission accordée à l’application et une donnée effectivement collectée.
La vie privée ne s’arrête pas au protocole. L’évaluation canadienne de la protection de la vie privée documente aussi les journaux du serveur, les statistiques d’utilisation, les codes de diagnostic, les notifications et le soutien aux utilisateurs, qui ont chacun leur propre risque. Il faut publier le code, limiter la conservation, surveiller les abus et prévoir la révocation des clés ou des versions défectueuses. Une panne du serveur ne devrait pas exposer les rencontres; elle peut toutefois retarder les notifications, ce qui doit être mesuré.
Je préfère évaluer l’architecture selon les données qu’elle produit à chaque étape plutôt que selon un slogan rassurant ou alarmiste. Un outil volontaire peut être limité par conception et utile sans être parfait. Le test sérieux porte à la fois sur le protocole, les erreurs de proximité, l’accessibilité et la date de fin. Dans ce débat, commencer par le trajet exact d’un identifiant est beaucoup plus éclairant que prétendre que l’application « suit » ou « ne suit pas » les gens.
Mise à jour de 2026
Le 17 juin 2022, le gouvernement du Canada a désactivé Alerte COVID et son service de notification. L’application est maintenant un exemple historique de notification d’exposition décentralisée, et non un service encore actif.