Alors que les pirates « éthiques » du HackFest annoncent qu’ils cesseront de collaborer avec le gouvernement si Québec n’adopte pas de mécanisme pour protéger les lanceurs d’alerte, le ministre responsable de la Transformation numérique, Éric Caire, répète qu’il n’a jamais été question de porter plainte contre le hacker qui a découvert une faille permettant de forger des codes QR.
La semaine dernière, deux groupes distincts de spécialistes en informatique ont fait part au gouvernement de vulnérabilités dans le système de passeport vaccinal, qui entre en vigueur ce mercredi. Un premier groupe a réussi à télécharger illicitement les codes QR du premier ministre et de plusieurs élus de l’Assemblée nationale. Pour y parvenir, ils ont dû « deviner » certaines informations personnelles de leurs cibles, comme leur numéro d’assurance maladie.
Le lendemain, un autre pirate, sous le pseudonyme de « Louis », a révélé dans un reportage de Radio-Canada une faille encore plus sérieuse qui permettait de forger des codes QR de toutes pièces déjouant les mécanismes de vérification de l’application du gouvernement. Cette brèche a immédiatement été colmatée.
Le HackFest, un regroupement de spécialistes en sécurité informatique qui a informé le gouvernement de ces failles, a indiqué qu’il cesserait toute collaboration avec Québec, puisque le ministère de la Santé et des Services sociaux a porté plainte contre le groupe qui a téléchargé illicitement les codes QR en devinant les numéros d’assurance maladie des élus. « Tous les professionnels qui travaillent avec nous font ça pour le plaisir d’aider le gouvernement et pour améliorer la sécurité de nos données. D’ici à ce qu’il y ait un processus officiel pour rapporter ces failles, nous ne collaborerons plus avec le gouvernement, indique le cofondateur du HackFest, Patrick Mathieu. Personne ne veut se faire ramasser en justice parce que le gouvernement n’a pas envie de collaborer avec ces gens-là. »
« Cette histoire me dépasse, réplique le ministre Caire. J’ai vérifié plusieurs fois et il n’y a personne, ni au ministère de la Santé et des Services sociaux ni à la Sécurité publique, qui a annoncé avoir l’intention de déposer une plainte contre “Louis” », assure-t-il.
Selon lui, le « hacker éthique » aurait demandé une lettre lui garantissant l’immunité, mais le gouvernement refuse de la lui donner, ce qui explique en partie la réaction du HackFest, croit M. Caire. « Une lettre d’immunité, tu donnes ça à un criminel qui accepte de collaborer avec l’État, et qui s’assure de ce fait de ne pas avoir à faire face aux gestes illégaux qu’il a posés. “Louis” n’est pas dans cette situation, insiste le ministre. Il n’a pas posé de geste illégal. Le HackFest n’a jamais eu de lettre d’immunité quand ils ont collaboré avec nous par le passé. Ils n’ont jamais eu de problèmes, et ils n’en auront pas dans le futur. »
Les pirates ont « dépassé les bornes »
Le ministre maintient cependant que le groupe de pirates qui a révélé la technique pour télécharger illicitement les codes QR des élus en devinant leur numéro d’assurance maladie a dépassé les bornes en cherchant à démontrer à tout prix une faille de sécurité, alors que le gouvernement a fait le choix volontaire, selon M. Caire, de rendre les codes QR facilement accessibles.
« Le geste a été nuisible. Ils ont insécurisé tout le monde, au fond, pour dévoiler comment télécharger illicitement un code QR dont les renseignements sont pour la plupart publics », estime M. Caire.
Le ministre se dit néanmoins ouvert à mettre en place un mécanisme pour permettre la divulgation de failles de sécurité au gouvernement en toute impunité. Québec n’écarte pas la possibilité de verser des primes aux informaticiens qui en feraient la découverte, une pratique courante dans l’industrie, « mais il y a beaucoup de choses à considérer d’un point de vue légal » pour que de telles primes prennent forme, souligne-t-il.