Interview de M.Gueulle informaticien

Mr Gueulle, informaticien et journaliste, vous avez écrit de nombreux ouvrages dans le domaine de la carte à puce.

Avec M.Crêtaux, vous avez fait état de failles dans la carte Sésame vitale.

Bonjour, quels ont été en quelques mots vos travaux avec M Crêtaux ?

Bien avant de faire la connaissance de Jérôme, j'avais spontanément expertisé la carte Vitale et mis en évidence des choses tout à fait surprenantes !

Toutes les données, y compris confidentielles (comme la prise en charge à 100 % en cas d'ALD) sont librement lisibles et aucunement cryptées. N'importe qui peut par conséquent en prendre connaissance avec un équipement on ne peut plus rudimentaire.

A titre de démonstration, j'avais alors imaginé une technique très simple permettant de créer une grossière copie d'une carte existante et vérifié qu'un lecteur de poche grand public la lisait sans problème.
 

Jérôme Crêtaux, développeur de logiciels pour professionnels de santé, a alors pris le risque d'aller beaucoup plus loin que moi : il a copié une carte selon la méthode décrite dans mon livre "Plus loin avec les cartes à puce" (éditions Dunod) et s'est aperçu qu'elle était aussi acceptée sans problème par les terminaux des professionnels de santé !

C'est alors que nous avons commencé à communiquer et que j'ai estimé nécessaire de poursuivre mes investigations. Il est alors apparu que les mécanismes de sécurité, tout à fait convenables, prévus par le fabricant des cartes Vitale, n'avaient jamais été utilisés !

Du coup, Jérôme a décidé de tenter le diable : au lieu de copier simplement une carte authentique (par exemple la sienne), il a créé une carte contenant des données inventées de toutes pièces : assuré inexistant (mais néanmoins remboursé à 100 %), numéro de SS factice, etc.

Et là, consternation : la fausse carte (car il faut bien appeler un chat un chat) lui a permis de se faire délivrer des médicaments en pharmacie sans bourse délier ! C'est de là que tout le scandale est parti.

En résumé, mon rôle a surtout consisté à mettre au point un procédé général permettant de copier (en tout bien tout honneur) des cartes à lecture libre, sans chercher à "craquer" une quelconque fonctionnalité sécuritaire.

Jérôme, lui, a exploité mes travaux pour démontrer publiquement que la falsification pure et simple était également possible. C'est pour cela qu'il a été poursuivi et pas moi !

M.Cretaux publia sur le site Calle Luna un article où il fait état de ses découvertes et de ses démarches pour alerter les ministères concernés. Où en est-on aujourd'hui?

Il n'est pas douteux que les démonstrations de Jérôme, fortement médiatisées, ont incité tout le monde à la vigilance. Une pièce d'identité est maintenant souvent demandée, dans les hôpitaux et cliniques, en plus de la carte Vitale, ce qui est tout de même la moindre des choses.

Les professionnels libéraux, par contre, répugnent à effectuer ainsi des contrôles d'identité, d'autant qu'ils ont la garantie d'être payés même si la carte Vitale est fausse... Les commerçants, qui ne sont pas payés s'ils acceptent une fausse carte bancaire, n'ont pas ces états d'âme !

Les données de la carte vitale sont-ils, actuellement, facilement accessibles ?

De ce côté, strictement rien n'a changé : toutes les cartes Vitale 1 encore en circulation restent de véritables "passoires", tandis que la Vitale 2 n'est délivrée qu'au compte-gouttes.

Mais le pire, c'est que la carte Vitale 2 a la possibilité technique de fonctionner en mode "Vitale 1", pour demeurer compatible avec les équipements existants.

Tant que ce mode dit "émulation Vitale 1" ne sera pas désactivé (à supposer qu'il le soit un jour...) le problème restera entier : tout ce que l'on pouvait lire dans une Vitale 1 pourra l'être tout aussi librement dans une Vitale 2 !

Les données sont codées et non cryptées. Des sociétés arriveraient donc facilement à se procurer le contenu personnel des cartes vitale 1 et 2 ?

Si l'assuré commet l'imprudence de leur présenter sa carte Vitale (ce qu'il n'a pas lieu de faire, précisons-le !), absolument : il suffirait de l'introduire quelques secondes dans un lecteur "générique" (on en trouve à moins de 10 euros) pour qu'un logiciel ad-hoc récupère toutes les données.

Rappelons que le "codage" consiste simplement à traduire les données dans un langage informatique standardisé, tandis que le "cryptage" les rend indéchiffrables sans une clef tenue secrète. Ce n'est pas du tout la même chose !

Peut-on modifier les données contenues dans la carte vitale?

Dans une "vraie" carte Vitale, la modification des données est protégée par un code secret, non communiqué au titulaire. Elle se fait donc essentiellement dans les bornes de mise à jour.

Dans un "clone" réalisé en copiant une vraie carte Vitale sur une carte à puce "générique", n'importe qui peut en principe modifier les données, mais pour qu'elles restent vraisemblables cela demande des connaissances spécifiques : Jérôme les avait, pas moi !

Les logiciels permettant la copie des données personnelles existent déjà. Est-il interdit de penser que des compagnies d'assurance de risque ont déjà une base de données concernant les risques de santé de leurs clients?

Dans l'état actuel des choses, je ne pense pas qu'elles aient réussi à convaincre tous leurs assurés de leur présenter leur carte Vitale ! Elles n'en auraient d'ailleurs pas le droit et cela se serait forcément su.

Elles pourraient cependant obtenir le même résultat en leur faisant remplir un simple questionnaire, quitte à user de persuasion ou à leur promettre un petit cadeau...

Quelles sont les raisons, d'aprés vous, de ce statut-quo concernant la sécurité des cartes vitales?

Techniquement parlant, l'inertie d'un système informatique aussi gigantesque est énorme : modifier quoi que ce soit dans toutes les cartes en circulation serait un travail colossal, tandis qu'obliger tous les professionnels de santé à remplacer ou modifier (évidemment à leurs frais !) leurs équipements serait très impopulaire.

Et que dire de la refonte totale des procédures de l'assurance maladie ?

Il y a donc, à l'évidence, des raisons de coût et de délai, mais on peut aussi se demander si le système actuel ne profiterait pas à certains initiés...

Une mesure radicale aurait pu être prise du jour au lendemain : supprimer la garantie de paiement accordée aux professionnels de santé honorant la carte Vitale, et peut-être aussi le tiers payant.  Mais quel séisme en perspective !