Le navigo, ça va, tous les franciliens connaissent. Il nous est vendu depuis des lustres autant comme l'objet top-hapy-cool qui va bien avec l'iPod, qu'une nécessité imposée par la terrible réalité de l'armée de fraudeurs qui chaque jour que dieu fait dépouille les transporteurs. Pour d'autres, c'est plus le son de "Bienvenue à Gattaca" que leur évoque le son du passage au tourniquet...

Navigo késako ?

Le Navigo est le billet électronique qui sera à terme utilisé par tous les franciliens dans tous les transports en commun. La technologie du Navigo (nom de code Calypso) est une carte à microprocesseur (comme sur votre carte bleue) dotée d'une antenne lui permettant de communiquer sans contact avec le valideur. La mémoire de la puce contient quant à elle un numéro d'identification unique, toutes les informations relatives à l'abonnement, ainsi que celles relatives à l'abonné (nom, adresse, parait-il photo numérisée).

Lorsque le contact avec le valideur est établie, un enregistrement part vers les bases de données du transporteur, puis vers celles du STIF. Le premier jeu de base est sensé servir à détecter les fraudes, le second à établir des statistiques pour "améliorer" les services. Admettons.

Cet enregistrement, qui file je ne sais où, contient les données de passage (localisation, heure, etc) ainsi que le numéro d'identification de la carte. Et déjà à ce stade, deux problèmes se posent...

Conservation des données

Le premier, évident, est celui concernant le rapprochement que l'on peut faire entre ce numéro magique et les coordonnées de l'usager, permettant théoriquement de connaître ses déplacements urbains. A cela le STIF a toujours répondu que, suivant maintenant scrupuleusement les directives de la CNIL, la durée de conservation de ces enregistrements n'est plus que de 48h. L'informaticien que je suis se dit déjà que cela doit être un paramétrage facile à changer "en cas de besoin". Le citoyen lui, est un peu gêné de savoir que, même pour "seulement" 48h, une petite cartographie le concernant est réalisable. Faut pas que l'histoire se répète ou qu'une bombe explose dans Paris sinon ça va être le drame...

Maintenant l'informaticien reprend le dessus et se demande bien ce que veut dire "effacé". Après quelque recherche il semble que l'effacement soit tout relatif mais néanmoins efficace puisqu'il s'agirait de celui du numéro d'identification. Il ne resterait donc plus que les données horaires et géographiques, toujours utiles au STIF pour ses statistiques, un peu moins aux transporteurs, mais admettons...

Good evening, John Anderton

Le second problème, un peu moins évident celui-là, est posé par la carte en elle-même. C'est bien gentil de faire disparaître tout contact, mais qu'est-ce qui m'assure, à moi citoyen, que les données qu'elle contient ne peuvent être lues à mon insu ? Ceux qui rigolent en pensant aux porteurs de navigo qui frottent désespérément leur carte "sans contact" sur la borne se disent qu'il y a peu de risque de ce côté là. Mais en fait ce n'est pas tout à fait exact.

En effet, petit rappel sur le principe même du RFID, ce n'est pas la carte qui fournit l'énergie permettant les échanges, mais la borne. L'émission de radio-fréquence va fournir à la carte le jus nécessaire à l'activation de la puce et l'établissement d'un dialogue. En augmentant l'énergie émise, on augmente la distance possible. Et à ce stade rien n'empêche, théoriquement parlant, d'activer les puces par une borne placée dans la rue par exemple. Comme cela peut être pratique dans certains contextes... genre un passage de manif. Mais cela n'arrive qu'en chine ce genre de choses, admettons...

Mais l'histoire a eu un heureux dénouement, dont CNIL a pu à juste titre s'enorgueillir ,lorsqu'est arrivé le "Navigo Découverte". Ce passe sera par la suite plus connu sous le nom de "Navigo Anonyme" car fonctionnant comme notre bonne vieille carte orange, en deux morceaux et sans vilaines données stockées à l'intérieur. Un anonymat qui n'est pas gratuit celui-là, il vous en coûtera 5€. Admettons...

lapsus linguae

Mais revenons plutôt à l'effacement tout relatif de nos données vieilles de plus de 48h. Récemment Actuchomage.org s'est ému de la "vente forcée" de passes Navigo aux demandeurs d'emploi franciliens et a envoyé, par courrier, une demande d'explication au STIF. Je passe sur la qualité contre-argumentaire irréprochable de la réponse du STIF, avec citations latines et tout. Prêtons plutôt oreille au contrepoint, je veux dire au "punctus contra punctum".

En pratique, les entreprises de transport procèdent, le plus rapidement possible après la validation (au maximum quelques heures, les délais dépendant du flux), à un codage réalisé sur le numéro de série. Le procédé de chiffrement rend impossible tout rapprochement avec un numéro de dossier commercial et donc avec l'identité du porteur. Cette anonymisation est irréversible et concerne aussi bien le passe Navigo personnalisé que le passe Navigo Découverte

Pour le coup, c'est l'informaticien qui est intrigué. Déjà il se dit que de nos jours il peut s'en passer des choses en "quelques heures maximum". Mais ce qui a réellement attiré mon attention, c'est que je croyais que le fameux numéro de série était effacé, et voilà maintenant qu'il serait chiffré ? Et qui plus est par un procédé irréversible ? Mon dieu mais je n'imaginais même pas qu'une telle technique existait sur terre. Pour moi chiffrement implique déchiffrement sinon je ne vois pas bien l'intérêt de la manoeuvre. Un cryptage avec un nombre aléatoire comme clef ? faut être un peu tordu tout de même...

Mais dans le cas d'un lapsus plutôt révélateur cela voudrait surtout dire qu'en réalité les données sont belle et bien conservées, et ce "Ad Vitam Eternam"... Elles resteront là, attendant sagement que la nécessité aidant, le fameux identifiant puisse révéler qui se cache derrière le cryptique numéro d'identification. Un jour qui n'arrivera jamais, admettons...

Conclusion

Comme souvent dans les nombreuses histoires de fichiers qui troublent notre citoyenne quiétude, ce n'est pas plus l'information stockée que l'encadrement de son usage qui devrait inquiéter. Quitte à en braquer quelques-un, je me moque royalement de savoir si mes orientations, même sexuelles, puissent être consignées quelque part si je peux 1/ Avoir accès à l'ensemble des informations qui me concernent, 2/ Pouvoir obtenir rectification de mes données, 3/ Avoir le contrôle sur qui a le droit ou pas de les consulter. Ou alors, dans le cadre d'une procédure légale, l'absolue et inaltérable assurance sur qui, et dans quelles circonstances précises, a le pouvoir de les consulter.

Commentaires