Les JO, les QR-code et le GDPR, Réactions à la publication du 14/05/2024

[Paul Emploi]

Je pensais bêtement que les papiers d'identité et un contrôle de police par des agents assermentés étaient suffisants pour assurer la sécurité dans l'espace public.
La délicate alerte envoyée hier soir vers 20h a sonné comme un clairon m'enjoignant de jeter un coup d'œil sur ce qui nous attend. Et peut-être pas que pour les JO.

Certains se sont probablement habitué aux QR-code et leur révocation, ou ne pas en avoir et avoir ses droits limités, car avec les Jeux Olympiques on a droit au retour tant attendu si pas espéré de ce moyen de contrôle de la population et de traçage de ses déplacements à chaque vérification.

Évidemment, tout cela est bien heureusement "dématérialisé" en newspeak, ce qui en bon français se traduit par le fait que vous devez avoir un smartphone sur vous à tout moment dans les zones ou pour y entrer. Sans que ça soit clair il devrait être possible d'utiliser une copie imprimée.

Mais il y a un bonus inattendu, c'est pass-jeux.gouv.fr et plus précisément sa politique de confidentialité du 10 avril 2024 (version 1).

On y découvre que des données personnelles sont transmises à "l'organisateur" sans préciser quel en est l'entité juridique, que les données seront effacées "trois mois à compter de la fin de l’événement" sans aucune précision sur l'évènement ni sa date de fin, et surtout ni quelles données seront transmises ni à quels processeurs ou sous-processeurs, ce qui est pourtant la base légale établie par le GDPR.

Plus amusant, pour accéder à ses informations ou les faire effacer en application du GDPR, il faut envoyer une copie d'une pièce d'identité par email: ce n'est pas un moyen de transfert avec une sécurité garantie, et pire ce document d'identification personnel va se retrouver dans différents serveurs, certains étrangers, dans des logiciels clients aussi ou dans le cache du navigateur, sans aucun contrôle exerçable là-dessus.

Pour terminer, ce QR-code sera aussi transmis par email, la cerise sur le gateau insécuritaire...

Lien vers le billet original

[Lionel]

On est plus à ça près en France, hélas.

[dijee]

L'envoi de sa pièce d'identité par email?
Effectivement c'est plus que risqué

Le reste n'augure rien de bon non plus. On peut quand meme s'inquiéter que tout cela ne soit pas fait plus sérieusement et on peut meme penser que si la sécurité numérique des citoyens compte pour du beurre, c'est peut etre aussi le cas pour celle de la nation.

Le numérique pose quand meme bien des problèmes et du coté des infos personnelles qui partent dans la nature on a vu des trucs pas très réjouissant ces derniers temps

[g4hd]

 IMG_0058.png ( 237.14 Ko ) Nombre de téléchargements : 62

[Fars]

Photocopie de piece d'identité?!
Avec l'application France identité, on fait une attestation d'identité dédiée, et ce serait pas bon?!

[captaindid]

Ah Paul Emploi, tu nous en dis trop ou pas assez!
fait nous bisquer!
Où se situent ces fameuses données, chez qui?

Moi, je ne sais pas, mais je fiche mon billet que le gouvernement US a fait pression sur le CIO pour que le cloud choisi soit américain:
donc les données partent directement aux US, dans on ne sait trop quelle agence gouvernementale; mais c'est pour notre bien, et ne seront pas effacées au bout de 3 mois!

[linus]

Malheureusement, l'organisation d'un binz de ce type est si complexe, il y a tellement d'intervenants, des sous-traitants de sous-traitants de sous-traitants, que personne n'est plus en mesure de garantir quoique ce soit, quelque soit la (bonne ?) volonté des organisateurs. Je pense depuis longtemps que la sécurité et la confidentialité informatique sont des rèves fous.
Quand Mark Zuckerberg en arrive à coller un scotch sur la caméra de son portable (photo qui a bien fait parler il y a déjà longtemps) on se dit que, même pour lui et ses immenses moyens, la confidentialité est impossible.

[SartMatt]

Moi, je ne sais pas, mais je fiche mon billet que le gouvernement US a fait pression sur le CIO pour que le cloud choisi soit américain:

L'organisateur de ces contrôles d'accès est le ministère de l'intérieur, via la Préfecture de Police de Paris (d'où le site en .gouv.fr), pas le CIO. Certaines données seront transmises aux organisateurs de l'événement (donc peut-être le CIO), mais pas les données du grand public voulant simplement accéder à la zone, uniquement celles de personnes voulant accéder aux enceintes des événements organisés, et seulement si c'est pour une raison autre qu'en tant que simple spectateur, raison qui nécessite une accréditation de l'organisateur. Voir la délibération de la CNIL à ce sujet : https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000049510508

Rien de bien choquant donc, pour les accréditations l'organisateur collecterait de toute façon les données d'une façon ou d'une autre, comme ça a toujours été le cas, même il y a 100 ans...

Quand Mark Zuckerberg en arrive à coller un scotch sur la caméra de son portable (photo qui a bien fait parler il y a déjà longtemps) on se dit que, même pour lui et ses immenses moyens, la confidentialité est impossible.

C'est aussi une question de valeur des informations qui pourraient être volées, qui fait que les moyens mis en œuvre pour tenter de contourner les protections seront plus importants...
Des gens sont sans doute prêts à dépenser pas mal d'argent pour avoir un accès au micro et à la caméra d'un Mark Zuckerberg. Par contre savoir que Michel Tartempion et Ginette Dupont veulent pouvoir accéder à la zone de sécurité des JO entre le 18 et le 26 juillet, ça vaut pas grand chose comme information... Surtout que Michel et Ginette ont une très forte probabilité de rendre eux même cette information publique sur leur Blogspot, Facebook, Instagram, Twitter, Snapchat, Tik Tok (rayer les mentions inutiles en fonction de l'âge de Michel et Ginette )

Ceux qui mettront des moyens pour pirater le système, ça ne sera pas pour récupérer ce genre d'informations. Ça sera soit pour ajouter des autorisations d'accès à des gens qui n'auraient pas dû être autorisés, soit pour foutre la pagaille en plantant le système.

[ide508]

[Rol@ndB]

L'envoi de sa pièce d'identité par email?
Effectivement c'est plus que risqué

dans nombre d'entreprise il faut presenté une CI pour les demande d'acces
Dans certaine les casiers judiciaires sont epluché et onne vous demande pas votre avis

il n'ya pas grand chose a redire

[zoso2k1]

Pas de JO, pas de QR-code, c'est possibe

Je reste dans ma cambrousse...

[ABACA]

On est plus à ça près en France, hélas.

espace public est même devenu espace publique

[Paul Emploi]

On est plus à ça près en France, hélas.

espace public est même devenu espace publique

On peut donc se féliciter que je n'ai pas loupé le L !
C'est corrigé, en conservant le L...

[captaindid]

@SartMatt
Pourvu que tu aies raison et qu'il n'y ait pas de failles dans cette "belle" mécanique (qui a dit usine à gaz?)
De toutes façons, je ne suis pas concerné: vu le bordel que ça va être rien que pour circuler, même en métro, je vais me tenir éloigné de cet évènement

Ce message a été modifié par captaindid - 14 May 2024, 23:31.

[Fafnir]

Je suppose qu'il faut comparer avec un système qui est en fonctionnement ailleurs surtout s'il est efficace.
Je pense à la Chine. Qui ne prétend pas à la démocratie mais doit offrir la prospérité et en plus doit gérer une génération Mao qui a perdu tout repère.
-----

Vous avez vu dans les nouvelles l'évasion sanglante du caïd marseillais à un péage autoroutier dans l'Eure lors d'un déplacement pénitentiaire de niveau 3 (danger moyen donc avec deux véhicules léger avec cinq gardes). Un journaliste explique que cela est fait pour maintenir l'emploi de gardiens alors qu'une comparution devant un juge devrait se faire par téléconférence.

[toinet]

Salut,
je vous invite à lire l'avis de la CNIL @ https://cnil.fr/fr/jeux-olympiques-et-paral...-laissez-passer

Quant à l'envoi de pièces d'identité, vous avez le service filigrane de gouv.fr. Système indispensable pour marquer ses documents avant envoi (exemples : la demande de pass, dossier de location)

Antoine

[ziggyspider]

Ça va bien avec le reste quand tout est géré par une bande de branquignoles incapables …

[Benzebut]

Je pensais bêtement que les papiers d'identité et un contrôle de police par des agents assermentés étaient suffisants pour assurer la sécurité dans l'espace public.
La délicate alerte envoyée hier soir vers 20h a sonné comme un clairon m'enjoignant de jeter un coup d'œil sur ce qui nous attend. Et peut-être pas que pour les JO.

Beaucoup d’imprécisions dans ce nouveau message qui est bien trop alarmiste pour une simple formalité administrative... Donc reprenons pour l'organisation de ces satanés Jeux Olympiques 2024 cet été à Paris :

- C'est un moyen de contrôle prévu par l'événement permettant de suivre les déplacements de population sur les zones rouges (les sites) et grises (les alentours) dans Paris. Avec la quantité de touristes et visiteurs attendue cet été (15 millions) et le fait que des sites soient dans la capitale, il faut bien évidemment permettre à tout ce petit monde de circuler sereinement. Et de fait, la maréchaussée ne pourra pas tout contrôler sur place tout le temps pour tous les documents requis. Pas différent que d'avoir un billet pour aller à un concert, dont l'organisateur sait également qui vous êtes...

- Le laissez-passer permet dans un document unique de savoir qui vous êtes et pourquoi vous pouvez vous déplacer dans ces zones. Mais vous pouvez effectivement préférer vous déplacer et demander à la maréchaussée de vérifier votre titre d’identité, en cours de validité, le certificat d’immatriculation si vous êtes motorisé, la facture de téléphonie (mobile ou fixe), internet, gaz, électricité de moins de 3 mois, titre de propriété, quittance de loyer ou bail, l’attestation d’assurance en cours de validité si vous êtes résident dans ces zones. Ou le contrat de travail, lettre de mission, contrat de soin, attestation employeur avec la mention de l’employeur et de l’adresse d’exercice de l’activité dans le périmètre, la carte professionnelle si vous travaillez dans les zones. Ou encore la réservation de musée, de restaurant, de spectacle, la confirmation de rendez-vous médical, administratif, juridique si vous n'êtes que de visite. Il faudra simplement être patient car il y aura 15 millions de personnes sur place…

- Tant la procédure que le laissez-passer sont à la fois dématérialisés (en ligne et version numérique), que disponibles dans les mairies de Paris et en version papier pour tout le monde. Tout comme pour le précédent passe sanitaire de la COVID-19, l'utilisation d'un téléphone cellulaire est préconisée, mais pas obligatoire pour la procédure. A l'image de l'ensemble des documents présentés précédemment...

- Comme indiqué en toutes lettres sur le site, l'organisateur est la préfecture de Paris (PP), donc le ministère de l'intérieur, qui gère et héberge les données pour l'événement. Tout comme les autres documents officiels des citoyens concernés, il s’agit de services qui ont une certaine organisation et une petite habitude de générer des documents officiels en France, mais bien sur, on ne nous dit pas tout...

- Comme indiqué en toutes lettres sur le site, la durée de conservation est l'intégralité de jeux olympiques et para-olympiques sur Paris, plus 3 mois suite à la fin de ces événements pour le bon suivi de son organisation. Ensuite, la PP va se débarrasser de ces informations personnelles. Mais ne pourra rien faire sur tous les clichés pris par les personnes présentes et qui seront partagés sans aucun contrôle ni autorisation de votre part.

- Comme indiqué en toutes lettres sur le site, la liste des documents requis, les formats et raisons sont présentés pour établir ce Pass Jeux : https://www.pass-jeux.gouv.fr/faq/

- Enfin, ce laissez-passer peut être transmis par messagerie électronique ou imprimé en version papier, tout comme lorsque vous participez à un grand événement sportif, culturel, officiel ou encore un concert. Avec l'avantage de pouvoir garder un souvenir de ce moyen de contrôle de la population ou simplement dire "j'y étais"...

Salut,
je vous invite à lire l'avis de la CNIL @ https://cnil.fr/fr/jeux-olympiques-et-paral...-laissez-passer

Quant à l'envoi de pièces d'identité, vous avez le service filigrane de gouv.fr. Système indispensable pour marquer ses documents avant envoi (exemples : la demande de pass, dossier de location)

Il faut préciser qu'effectivement il est préférable d'apposer son propre filigrane sur les papiers officiels transmis. Le site en question n'est qu'en bêta actuellement, mais fonctionne parfaitement. Et pour anticiper les prochaines questions, il est fait par les services de l'Etat, hébergé en France, en https, les documents originaux et générés ne sont pas conservés dans le temps et le code source est disponible en licence libre.

Le lien officiel de FiligraneFacile : https://filigrane.beta.gouv.fr/

Ce message a été modifié par Benzebut - 20 May 2024, 17:18.

[Paul Emploi]

Bravo pour ce long post, qui a soigneusement évité la plupart des points que je cite, je te laisserais relire mon post...

Et pour information, je viens de jeter un petit regard technique sur pass-jeux.gouv.fr qui se révèle surprenant, mais pas tant que ça pour des gens utilisant des emails pour transporter des copies de documents d'identité ou un passe sous la forme d'une image de QR-code...

On arrive sur un CDN slovène avec des serveurs en France mais aussi en Belgique ou aux États-Unis, avec un mauvais support du https car autorisant TLS 1.0 et 1.1 mais aussi des cypher faibles.
Outre la faiblesse du chiffrement, des pièces d'identité et autres données personnelles d'identification du demandeur mais aussi de toute autre personne référencée dans la demande peuvent voyager à l'étranger, et de toute façon sous contrôle d'une société Slovène et de son gouvernement, en sus des gouvernements et agences Belges ou Américaines.
Pour faire compliqué les requêtes peuvent alors aussi partir en tout ou partie en Allemagne ou en Angleterre.

Pour le coté plus avancé, il faut noter que contrairement aux bons CDN, toutes les adresses IP sont distribuées à tous, ce qui est vérifiable avec un dig:

Code

;; ANSWER SECTION:
pass-jeux.gouv.fr.    33177    IN    A    185.93.2.248
pass-jeux.gouv.fr.    33177    IN    A    207.211.214.145
pass-jeux.gouv.fr.    33177    IN    A    143.244.56.49
pass-jeux.gouv.fr.    33177    IN    A    138.199.40.58

Je suis moi-même dirigé vers un serveur avec un ping au-dessus de 100ms, quand en existe un autre vers les 90ms et un troisième à 24ms, ce qui est incompréhensible pour un CDN qui se respecte. C'est sûr ça ne doit pas être cher pour le sévice rendu.

En sus, Bunny Net c'est fait connaître avec une erreur de débutant dans la gestion du caching il y a un an, une énorme faille de sécurité du à l'absence de respect des standards (RFC).

Ce n'est visiblement pas la sécurité qui a guidé les choix effectués, encore un bel exemple de "souveraineté numérique" de la "Startup Nation" !

[captaindid]

...
Ce n'est visiblement pas la sécurité qui a guidé les choix effectués, encore un bel exemple de "souveraineté numérique" de la "Startup Nation" !

pourquoi je ne suis pas étonné?
heureusement que je n'aurai pas à aller dans Paris pendant ces jeux et donc n'aurais pas à utiliser un service douteux, et soumis de façon certaine au Patriot Act

merci à Paul pour avoir creusé (dig ) le côté technique de ce sujet.

Ce message a été modifié par captaindid - 15 May 2024, 17:03.

[Paul Emploi]

En même temps, les plugins exposés de ce site WordPress sont à jour...

WordPress. Documents d'identité. Pour sécuriser. Ils y vont fort de café!

[SartMatt]

En même temps, les plugins exposés de ce site WordPress sont à jour...

WordPress. Documents d'identité. Pour sécuriser. Ils y vont fort de café!

Le formulaire de demande, et donc d'envoi des documents justificatifs, passe vraisemblablement par un autre serveur, avec une URL en passjop.fr.

[NicoMac]

En même temps, les plugins exposés de ce site WordPress sont à jour...

WordPress. Documents d'identité. Pour sécuriser. Ils y vont fort de café!

Le formulaire de demande, et donc d'envoi des documents justificatifs, passe vraisemblablement par un autre serveur, avec une URL en passjop.fr.

Sûrement.

Et le CDN ne fait que son travail de CDN : "deliver content" et non "receive content".

Je pense qu'il faudrait arrêter de faire des hypothèses sur la bêtise des autres, puis tirer des conclusions basées sur ces hypothèses…

[Anibé]

(…) tirer des conclusions basées sur ces hypothèses…

> Éviter Paris du 26 juillet au 8 septembre 2024 !



Ce message a été modifié par Anibé - 15 May 2024, 23:27.

[Paul Emploi]

En même temps, les plugins exposés de ce site WordPress sont à jour...

WordPress. Documents d'identité. Pour sécuriser. Ils y vont fort de café!

Le formulaire de demande, et donc d'envoi des documents justificatifs, passe vraisemblablement par un autre serveur, avec une URL en passjop.fr.

Effectivement, dans un iframe, toujours au travers du CDN slovène.
Comme tout le monde le sait, pour répondre aux requêtes, les CDN doivent les recevoir et y accéder en clair...

C'est donc la société Weezevent qui reçoit finalement les données personnelles contenues dans les formulaires.
Leur technologie est certainement plus solide pour cela que WordPress, même si justement on peut injecter du code malveillant depuis ce WordPress, depuis le CDN Slovène quand on peut intercepter les informations déchiffrées depuis ce même CDN.

J'avais fait une erreur, puisque sur le domaine widget.passjop.fr, la configuration du CDN slovène semble correcte, même si mes requêtes passent par les États-Unis où elles y sont déchiffrées!
Tant qu'à faire...

C'est tout l'inverse du travail très propre réalisé sur filigrane.beta.gouv.fr !

[Hebus]

Pour se détendre … cette discussion me fait penser immanquablement à ce sketch

[dijee]

+1

[Fars]

Je suppose qu'il faut comparer avec un système qui est en fonctionnement ailleurs surtout s'il est efficace.
Je pense à la Chine. Qui ne prétend pas à la démocratie mais doit offrir la prospérité et en plus doit gérer une génération Mao qui a perdu tout repère.
-----

Vous avez vu dans les nouvelles l'évasion sanglante du caïd marseillais à un péage autoroutier dans l'Eure lors d'un déplacement pénitentiaire de niveau 3 (danger moyen donc avec deux véhicules léger avec cinq gardes). Un journaliste explique que cela est fait pour maintenir l'emploi de gardiens alors qu'une comparution devant un juge devrait se faire par téléconférence.

En revanche la flamme est bien gardée.
Français dormez tranquille.

[Benzebut]

Bravo pour ce long post, qui a soigneusement évité la plupart des points que je cite, je te laisserais relire mon post...

Il est toujours plaisant d'instruire et effectivement, je n'ai focalisé que sur les maladresses du message initial. Et pour faire un synopsis afin de reprendre ces points clés :

- Objet : la circulation durant les Jeux Olympiques à Paris organisés sur plusieurs sites dans la capitale avec beaucoup de monde présent,
- Finalités : avoir un document unique nominatif qui permettra d'identifier les individus simplement et les accès associés,
- Modalités : inscription en ligne sur un site dédié et QR-Code ou simplement en mairie de Paris et impression papier du laissez-passer,
- Organisateur : la préfecture de Paris (PP), donc le ministère de l'intérieur, comme pour les autres grands événements officiels,
- Durée de conservation des données : à la date d'inscription pour l'événement et jusqu'à novembre 2024,
- Documents requis : liste complète fournie sur https://www.pass-jeux.gouv.fr/faq/
- Support officiel : par un QR-Code sur téléphone cellulaire ou sur la version papier du laissez-passer,
- Validation : avis favorable de la CNIL et conformité RGPD pour l'organisation des Jeux Olympiques à Paris.

Bref, une procédure normale pour un événement d'une telle ampleur comme à chaque fois que cela se produit. Avec en plus une simplification des démarches en ligne pour fluidifier les accès.

EDIT: bon orthographe de "laissez-passer", sinon c'était plus ambiguë dans les réponses...

Ce message a été modifié par Benzebut - 20 May 2024, 17:19.

[Paul Emploi]

Et donc quel est ce mystérieux "organisateur" auquel fait référence la CNIL? Quelle est son entité juridique?
https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000049510508

Et pourquoi as-tu donc évité les sujets des emails contenant des données personnelles, identifiants ou copies de pièces d'identité?

Relis bien en haut. Pas besoin de faire long.

Pour moi il est inacceptable de ne pas indiquer l'entité juridique de "l'organisateur", d'envoyer des données personnelles, identifiants et copie de pièces d'identité par email, tout comme il est inacceptable que cet organisateur puisse recevoir toutes les données personnelles qui ne le concernent pas directement "à des fins de simplification administrative" (dixit la CNIL).