Dans la continuité de la volonté de fiabilité que l’équipe-projet StopCovid souhaite maintenir, la sécurité de l'application, actuellement développée sous forme d'un prototype (en amont de toute décision politique), sera testée par des hackers éthiques (appelés « hunters »).
La France est le premier pays à faire appel à un programme de Bug Bounty pour sécuriser son application de contact tracing. En cas de détection de failles, ces dernières seront signalées à l’équipe-projet StopCovid en charge du développement de l’application via des rapports détaillés, afin d’apporter les corrections potentielles.
Des chasseurs de bugs internationaux et indépendants
Le Bug Bounty offre des capacités de recherches de bugs et de vulnérabilités démultipliées, grâce à la participation de hackers éthiques se mettant dans la peau de hackers malveillants. Dans le cadre du projet StopCovid, une vingtaine d'experts répartis dans toute l'Europe commenceront à tester la sécurité de l'application, ce mercredi 27 mai. Ils seront suivis dès le 2 juin par l’ensemble des hackers de la communauté YesWeHack qui le souhaiteront. En cas de découverte d’une vulnérabilité par la communauté, l’équipe-projet StopCovid sera ainsi en mesure de procéder à la correction des bugs critiques pour le bon fonctionnement de l'application.
Les retours de ces contributeurs seront publiés sur le site YesWeHack et déversés sur le GitLab Inria StopCovid sur lequel est publié le code source de l’application StopCovid. Au-delà de cette communauté, le code source sera accessible à tous ceux qui souhaitent le consulter et apporter des contributions.
Un appel à la communauté primordial
L’ANSSI et Inria se félicitent de pouvoir faire appel à la communauté d'experts en cybersécurité, via le recours au Bug Bounty. Souveraineté, confidentialité et sécurité sont les grands principes qui régissent cette démarche. Cette mobilisation générale garantira une fiabilité optimale de l'application, tout au long de son cycle de vie.
« Pour l’ANSSI, la sécurité de l’application doit être assurée par le cumul de plusieurs procédés. L’aide à la conception sécurisée puis l'audit de l’application réalisé par nos experts, doivent être complétés par le contrôle du code publié en open source par la communauté numérique et par l’organisation de recherches de failles informatiques, de types bug bounty », explique Guillaume Poupard, directeur général de l’ANSSI.
« Pour Inria, comme pour l'ensemble des partenaires et contributeurs de l'équipe-projet StopCovid, la cybersécurité est une préoccupation majeure, afin de pouvoir mettre à la disposition des citoyens une application s'appuyant sur les plus hauts standards en termes de sécurité et le dernier cri des algorithmes de cryptographie. Comme dans tout système informatique, des failles peuvent exister, d’où l’importance de l’engagement dans le projet de l’ANSSI et de spécialistes du domaine, comme YesWeHack pour nous prémunir d’éventuelles attaques malveillantes », déclare Bruno Sportisse, PDG d'Inria.
