Wiqaytna: sur les traces de l’application marocaine de traçage

Lundi 1er juin, le ministère de la Santé a annoncé aux Marocains le lancement de Wiqaytna (notre protection en arabe) à travers les médias du pays. Il s’agit d’une solution mobile 100% marocaine qui envoie une notification à ses utilisateurs en cas d’exposition au nouveau coronavirus. Elle a été développée conjointement par les ministères de la Santé et de l’Intérieur, en collaboration avec l’Agence du développement du digital (ADD) et l’Agence nationale de réglementation des télécommunication (ANRT) ainsi qu’une dizaine d’entreprises et de startups marocaines. Wiqaytna se sert du Bluetooth pour détecter les «cas contact». Son utilisation est volontaire. Un million de Marocains l’ont déjà sur leur smartphone.

​Plus d'un million de Marocains utilisent l'application «Wiqaytna» lancée par le ministère de la Santé. Aidez à contenir la propagation du nouveau coronavirus en la téléchargeant.

Comment ça marche?

Concrètement, en exploitant la technologie Bluetooth, Wiqaytna échange des signaux entre les téléphones d’utilisateurs qui se trouvent les uns à proximité des autres. À chaque rencontre, un code unique, aléatoire et anonyme est généré, puis enregistré sur chacun de leur téléphone. Si dans les 21 jours qui suivent, l’un d’eux est confirmé positif au nouveau coronavirus, les codes échangés sont récupérés par les autorités sanitaires, «après autorisation de la personne contaminée», précise Zouheir Lakhdissi.

Le PDG de Dial Technologies, l’une des startups qui a aidé au développement de Wiqaytna, s’est exprimé lors d’un webinaire organisé mercredi 10 juin par l’Association des utilisateurs des systèmes d'information au Maroc (Ausim) qui a invité des experts à jeter un «Regard croisé sur Wiqaytna».

Il a précisé que les équipes du ministère de la Santé évaluaient alors le risque d’exposition. Elles prennent en compte la proximité avec le cas positif, la durée d’exposition, l’âge ou encore les antécédents médicaux... C’est sur la base de cette évaluation que des notifications sont envoyées aux utilisateurs considérés comme prioritaires. Schématisé ainsi, le système marocain paraît si simple, mais en vérité il faut creuser dans le back-end pour tenter de le comprendre. Encore faut-il y accéder.

Voyons d’abord ce qu’utilisent les autres pays. À ce jour, il existe trois familles de systèmes qui font tourner les applications de traçage. La France a opté pour un système centralisé appelé protocole Robert. La Chine et la Corée du sud exploitent eux aussi le même système, sous d’autres appellations. La Suisse, elle, a choisi le système décentralisé dit protocole DP-3T. En revanche, le système marocain est hybride comme le BlueTrace utilisé à Singapour pour son application «Trace Together».

«Dans le système centralisé, toutes les informations (codes) sont stockées dans un serveur central. Ce dernier est géré par les autorités. Pour le système décentralisé, ce sont les téléphones des utilisateurs qui stockent les informations, sans passer par une base centrale», explique l’expert en informatique et analyste cybersécurité marocain, Ahmed Lekssays en réponse aux questions de Sputnik.

Quid du cas marocain? «Pour ce qui est du système hybride, les codes sont stockés au niveau des téléphones puis envoyés au serveur central. L’application marocaine utilise ce système hybride, tout comme “Trace Together” dont elle est le clone», précise Lekssays.

Wiqaytna: copie conforme de l’application singapourienne?

Le système hybride n’est pas le seul point commun entre Wiqaytna et «Trace Together».

«L’application marocaine s’appuie sur le code source de son homologue singapourienne», affirme Zouheir Lakhdissi. Notant que le code source a dû être adapté au contexte local, Lakhdissi rappelle qu’au moment où le projet Wiqaytna a été lancée, «Trace Together» était la seule à mettre son code en open source. «D’ailleurs, des pays européens allaient eux aussi l’utiliser», ajoute, de son côté, le PDG de Dial Technologies qui a contribué à la création de l’application marocaine.

Pourquoi le Maroc a fait précisément le choix d’un protocole hybride? En réponse, Zouheir Lakhdissi retrace l’évolution du Covid-19 pour trouver le bon argument: «Au mois d’avril [période de lancement du projet, ndlr], le royaume n’avait pas encore suffisamment de kits de tests pour opter pour le système décentralisé dont l’utilité est de tester chaque cas notifié.» C’est ce que fait systématiquement la Suisse, par exemple.

Quid des données personnelles?

Avant son lancement, le dispositif Wiqaytna a été autorisée par la Commission nationale de contrôle de la protection des données à caractère personnel (CNDP). Cette autorité assure, entre autres, que l’application a adopté le principe de «Privacy by Design» (Protection de la vie privée dès la conception). Il signifie ainsi que l’application protège, à tous les niveaux, les données personnelles de ces utilisateurs.

​Pourtant, Wiqaytna suscite la méfiance de certains Marocains. À travers les réseaux sociaux, ces derniers craignent pour leurs données personnelles. C’est le cas de ces deux internautes.

​

Pour Zouheir Lakhdissi, la méfiance est légitime, mais elle est infondée. «Depuis le début, le projet Wiqaytna a été basé sur la transparence. L’application stocke les informations de proximité Bluetooth, c’est tout. En plus, ce stockage est fait sous forme de codes anonymes. Il n’y a pas de divulgation ni de l’identité, ni du numéro de téléphone de l’utilisateur. Le tout est supprimé au bout de 21 jours», souligne l’expert. Et d’ajouter que le code source de l’application est public, «tout le monde peut le consulter sur la plateforme GitHub. Il a été, par ailleurs, mis à jour deux fois depuis sa publication».

Ahmed Lekssays a publié une analyse de l’application sur son blog. «Dire que le gouvernement accédera à nos messages, photos ou autres est FAUX. J’ai analysé l'application et je peux le dire, il n’y a rien de tel», écrit-il dans son décryptage. L’analyste cybersécurité confirme également à Sputnik que le code de l’application Wiqaytna est bien celui publié sur GitHub. Son seul regret est l’omission de la partie back-end (serveur distant) du code source. «Seule la partie frontale (front-end) a été publiée pour l’instant».

Interrogé sur cette question lors du webinaire de l’Ausim, le PDG de Dial Technologie a lancé: «Avant publication, le back-end doit être nettoyé pour éviter tout risque de cyberattaques... Il sera publié prochainement, on y travaille».

Sur la base de son analyse, Lekssays conclut que Wiqaytna n’est pas une application de «tracking mais de tracing». Ce n’est pas Zouheir Lakhdissi qui pourrait dire le contraire. Il jubile avec satisfaction: «l’application a déjà prouvé son efficacité puisqu’elle a déjà permis de remonter des cas positifs et des cas contact». Jusqu’à présent aucune communication n’a été faite sur le nombre de ces cas remontés.