« Contact tracing » : on (re)fait le point sur les problèmes avec le Bluetooth

Les applications de contact tracing ont recours au Bluetooth pour estimer la probabilité d'avoir été trop longtemps à proximité d'une personne contaminée par le coronavirus. Des scientifiques ont donc cherché à identifier sa faisabilité, et les problèmes que cela pourrait poser. Et ils sont encore plus nombreux que ceux qui avaient jusque là été identifiés.

Présentées comme une des mesures associées au déconfinement, les applications de contact tracing posent plus de problèmes qu'elles n'apportent de solutions, écrivions-nous dans le premier article consacré à la question.

« Nous ne sommes pas certains de réussir à franchir toutes les barrières technologiques, car le Bluetooth n’a pas été prévu pour mesurer des distances entre les personnes. Nous ne déciderons que plus tard de l’opportunité de déployer ou non une telle application », reconnaissait d'ailleurs Cédric O, secrétaire d'État au numérique, qui défend le projet d'applications StopCovid ce mercredi 27 à l'Assemblée nationale, demain au Sénat.

Après les craintes de Jaap Haartsen (inventeur du Bluetooth), Sven Matthison (co-inventeur) avait lui aussi exprimé ses réserves. Dans un entretien accordé à The Intercept, il revient sur « l'incertitude de la mesure de détection, c'est-à-dire comment peut-on évaluer la distance à un autre dispositif Bluetooth Low Energy (BLE)...».

Sa « principale préoccupation est que beaucoup (de personnes qui ne sont pas des spécialistes de la radio) ne sont pas conscients de la grande variabilité de la puissance du signal par rapport à la distance de contact », d'où l'intérêt de recherches visant à évaluer la pertinence et la probabilité que de telles applications puissent fonctionner, et à quelles conditions.

• L’inventeur du Bluetooth « triste de voir toutes ces applications autour du coronavirus

Dans un article préprint publié début mai, Douglas J. Leith et Stephen Farrell, chercheurs au Trinity College de Dublin, ont évalué le potentiel du Bluetooth en matière de détection de proximité. Pour cela, ils ont effectué de nombreux tests avec OpenTrace, modèle open source de TraceTogether, application utilisée à Singapour, pionnière du genre.

Sur GitHub, Open Trace avait documenté la complexité de la calibration des téléphones, alors que la puissance du signal varie fortement en fonction du modèle, de la marque et des composants du terminal, comme on peut le voir dans le schéma suivant. Ils avaient pourtant été placés en chambre anéchoïque (ou « chambre sourde »), dont les parois absorbent les ondes sonores ou électromagnétiques, de sorte de ne pas perturber les mesures.

Or, les expériences des deux chercheurs montrent que ladite puissance, censée permettre d'estimer la mesure de la proximité entre deux terminaux et donc la distance ainsi que le risque de potentielle contamination, dépend de nombreux autres facteurs. À commencer par l'endroit où se situe le téléphone et la position du corps de son détenteur, qui interfèrent eux aussi dans la propagation des ondes.

Les chercheurs ont effectué des mesures avec une personne à 1 mètre de distance. Elle avait son téléphone dans la poche avant gauche de son pantalon (ou dans un sac à main) et se tenait de face, de dos, de profil droit ou gauche. Résultat : la puissance du signal différait suivant la position.

En l'espèce, le signal est le plus fort lorsque la personne fait face à un autre terminal, ce qui correspond de fait à un risque potentiellement accru de transmission du virus par rapport au fait d'être de profil ou de dos. Pour autant, le fait de porter son téléphone dans la poche arrière de son pantalon (plutôt que dans la poche avant) peut faire croire à un terminal Bluetooth que l'on est à 10 mètres, alors qu’il n'est pourtant qu'à 1 mètre.

C’est la démonstration proposée par d‘autres chercheurs dans cette vidéo : 

Dans un supermarché, 1 mètre peut être égal à 2 mètres

L'orientation des téléphones (verticale ou à plat) modifie aussi la propagation des ondes radio, avec des écrans se faisant face ou pas. Les développeurs de TraceTogether avaient ainsi conseillé aux utilisateurs d'iPhones de le poser à plat, ou de le porter tête-bêche… Les chercheurs irlandais ont également constaté que la puissance du signal Bluetooth était plus forte lorsque deux personnes marchaient dans la rue à 1 mètre de distance côte à côte, plutôt que l'une derrière l'autre.

A contrario, l'intensité était à peu près la même lorsque deux personnes marchaient l'une derrière l'autre, avec 1 ou 2 mètres de distance. De façon similaire, avec des personnes réunies autour d'une table à 1 mètre de distance, la puissance du signal est bien plus faible s'ils ont leurs téléphones dans leurs poches, et donc sous la table, plutôt que dessus.

De nombreux « cas contact » risqueraient dès lors de passer sous les radars, quand bien même ils auraient pu être contaminés. Il faudrait dès lors que les utilisateurs de telles applications pensent tous à sortir leurs téléphones de leurs poches pour les poser bien en évidence devant eux.

Étrangement, la puissance du signal dans le wagon d'un train est à peu près similaire entre deux téléphones placés à 2,7 ou 1 mètre de distance, lorsque la personne est de profil ou de dos. Les chercheurs rappellent à juste titre que les murs, planchers et plafonds modifient de manière plus ou moins importante la force du signal reçu.

Le métal en particulier, reflète fortement les ondes radio. Or, dans les bus et trains, il y a du métal partout : murs, sol, plafond et sièges aussi. Dans les supermarchés, les étagères, les réfrigérateurs et congélateurs sont généralement en métal, et les rayons comptent nombre de conserves.

Les chercheurs sont surpris par certains de leurs résultats dans un supermarché, avec deux personnes côté à côté ou à 2 mètres de distanciation physique : « on peut voir que les mesures de force du signal reçu sont sensiblement les mêmes dans les deux cas ». Alors que la force du signal est censée diminuer avec l'augmentation de la distance, ils concluent que tel n'est pas forcément le cas et pointent aussi du doigt les risques de faux positifs (personnes identifiées à tort comme ayant été à risque) et de faux négatifs (personnes non identifiées comme ayant été à risque, alors qu'elles l'ont été).

« D'énormes défis pour déduire la distance »

Paul-Olivier Dehaye, mathématicien et co-fondateur de personaldata.io, une ONG suisse qui cherche à documenter le capitalisme de surveillance, avait été l'un des premiers à appeler à l'abandon de StopCovid qu'il avait qualifié dans une tribune parue dans le Monde de « projet désastreux piloté par des apprentis sorciers ». 

Sur Medium, il a depuis synthétisé les recherches visant à déduire la distance entre deux terminaux à partir de la puissance du signal Bluetooth (voir aussi la bibliographie associée). Pour lui aussi, le « Bluetooth présente d'énormes défis pour déduire la distance ». En théorie et sans interférence, l'intensité du signal devrait en effet diminuer comme le carré de la distance. Dans la pratique, les applications de contact tracing utilisent le RSSI (pour Received Signal Strength Indication), une mesure de la puissance en réception d'un signal reçu d'une antenne.

Or, souligne Dehaye, cette mesure est source d'erreurs, comme l'a expliqué Swarun Kumar, chercheur en informatique à la Carnegie Mellon University, pouvant laisser entendre qu'un terminal situé à 2 mètres le serait en fait à 20 mètres.

Pour pallier ce genre d'erreurs, précise Jennifer Watson du MIT Lincoln Laboratory, il faudrait d'une part multiplier le nombre de mesures, de sorte d'éviter les fausses alarmes (à gauche dans la capture d'écran qui suit). Mais également les pondérer à partir d'autres signaux (à droite), tels que l'état de l'écran (pour savoir si le téléphone est en cours d'utilisation, à la main), les données de l'accéléromètre, les indicateurs de luminosité, etc.

Paul-Olivier Dehaye souligne à ce titre l'arrivée de CopSonic, une start-up française spécialisée sur la transmission de données sécurisées par ultrasons, dans le consortium StopCovid.

« Nous croyons à l'hybridation des technologies. Les ultrasons viendront confirmer les personnes croisées avec une précision plus fine que le Bluetooth et éviter les faux-positifs, par exemple en évitant que l'application via le Bluetooth ne détecte une personne derrière un mur », a expliqué Emmanuel Ruiz, CEO et fondateur de CopSonic, au Journal du Net.

Pour autant, remarque Dehaye, Ian Levy, le directeur technique du National Cyber Security Centre (NCSC, l'équivalent britannique de l'ANSSI), expliquait récemment que « nous savons que "le fait d'avoir vu un signal de telle intensité pendant plusieurs minutes" n'apporte *pas* suffisamment de données pour se permettre de prendre quelque décision de risque raisonnable au sujet d'un événement de contact. »

L’article « fantôme » derrière ROBERT

Paul-Olivier Dehaye a par ailleurs découvert que les applications de contact tracing utilisaient différentes formules pour calculer la distance de proximité, et donc d’en déduire la potentialité d'être un « cas contact », parce qu'exposé trop longtemps à une trop courte distance d'une personne s'étant par la suite déclarée comme contaminée par le coronavirus.

Le protocole français ROBERT utilisé par StopCovid et rattaché au projet paneuropéen PEPP-PT, repose ainsi sur un article scientifique dont il n'a pas trouvé la trace, et dont l'auteur, contacté par ses soins, ne lui a pas envoyé le lien.

@ChristoPhraser I see various references in important documents to "Defining an epidemiologically meaningful contact from phone proximity events: uses for digital contact tracing", but always as a draft from April 2020. Is this draft public somewhere? pic.twitter.com/1LcI5hmUor

— Paul-Olivier Dehaye (@podehaye) 20 mai 2020

Il a également découvert que le calibrage de RSSI ne prendrait pas en compte la variété des modèles de terminaux, mais aurait été calibrée comme une moyenne, ce pour quoi il a ouvert un rapport de bug à ce sujet. De plus, la fonction d'infectiosité de diffusion de StopCovid basée sur RSSI serait très différente de celle qu'avaient proposée les chercheurs allemands de PEPP-PT, quand bien même les deux projets étaient censés être liés.

Inria promet des réponses

Contacté, Bruno Sportisse, le PDG de l'Inria, nous confirme avoir bien pris en compte ces rapports de bug et s'engage à y répondre. En l'attente de réponses techniques détaillées, il nous précise d'une part que les tests et mesures effectués depuis le travail qu'avait initialement fait PEPP-PT il y a plus d'un mois permettent précisément d'améliorer ce qui avait alors été calculé, d'où la différence identifiée par Dehaye.

Il explique d'autre part travailler activement avec leurs partenaires allemands et britanniques ainsi qu'avec la GSMA, l'association internationale d'opérateurs de téléphonie mobile, sur ces enjeux de calibration des multiples téléphones portables. L'équipe de StopCovid vient par ailleurs de lui répondre qu'ils publieront, aussi vite que possible, les résultats de ces tests de calibrations.

Cédric O : « on capte grosso modo entre 75 et 85% des gens qui sont à proximité »

Une proposition qui a fait bondir Aurélien Tabard, professeur associé au Laboratoire d'InfoRmatique en Image et Systèmes d'information (LIRIS, une émanation du CNRS) de Lyon, dont les travaux portent notamment sur nos traces numériques.

Lui-même critique quant à l'efficacité du Bluetooth en matière de contact tracing, il estime que la création d'une telle base de données, quand bien même elle ne serait pas publique, ne pourrait qu'être exploitée par d'autres acteurs, à terme, en matière de pistage Bluetooth : « un bel exemple d'infrastructure de surveillance créée avec de "bonnes intentions" ».

Auditionné par la Commission des lois de l'Assemblée nationale mardi 26, Cédric O a pour sa part précisé que :

« Des tests menés par l'Inria et Orange ont porté sur les 100 modèles de téléphones de 17 marques différentes les plus utilisés par les Français, avec des niveaux de batteries différents, des versions d'OS différentes. Ils montrent qu'on capte grosso modo entre 75 et 85% des gens qui sont à proximité, autour d'un mètre, entre 80 cm et 1 mètre 20. Toute la complexité des travaux est de parvenir à classifier les personnes à proximité. Les derniers tests effectués mercredi dernier dans le métro ont donné ces mêmes résultats, et ça marche plutôt bien »