API de traçage : comment est né le projet de Google et Apple

Pour continuer sur leur lancée, Apple et son partenaire Google, ont expliqué comment est né le projet de l’API commune pour le traçage des contacts en rapport avec le Covid-19. Publiée par CNBC, l’histoire permet de comprendre que c’est Apple qui a fait la majeure partie du travail et notamment ses employés.

Les employés proactifs, les dirigeants approuvent

Tout est parti de Edouard Bugnion, le cofondateur de VMWare qui a pris contact avec Apple au sujet du traçage numérique début mars. Il voulait trouver une solution qui regroupe respect de la vie privée et ergonomie afin de suivre l’évolution de la pandémie dans le monde. Quelques jours plus tard, Myoung Cha, responsable de la partie commerciale de la division santé d’Apple, a lancé le projet Bubble en demandant à son équipe de travailler sur une solution ouverte et décentralisée. Le but étant d’éviter le contrôle par l’État.

L’équipe a rapidement pris forme avec des dizaines d’ingénieurs qui donnaient des jours pour s’y consacrer, avec le soutien de deux sponsors : Craig Federighi, vice-président directeur de l’ingénierie logicielle, et Jeff Williams, directeur de l’exploitation et chef de facto des soins de santé.

Le principe est que c’est le smartphone qui envoie l’information aux personnes qui ont été à proximité d’autres personnes infectées par le coronavirus. Les développeurs ont privilégié l’utilisation du Bluetooth en arrière-plan, tout en prenant soin de limiter la consommation de batterie.

Pour un projet Apple, la vitesse d’exécution a été très rapide et l’API sera bientôt disponible en bêta pour les développeurs. Habituellement, la firme ne sort rien avant que ce soit parfait. Mais il fallait aller vite et même s’allier avec son plus grand rival.

De son côté, Google avait également intenté un projet similaire au doux nom de code Apollo. C’est Yul Kwon qui a mené l’affaire pour le géant de l’internet et a présenté un premier projet à David Burke le VP Android. Ensuite, tout est remonté au niveau des CEO et, grosso modo, c’est l’approche d’Apple qui a été retenue.

Google et Apple ont alors compris qu’elles devaient travailler ensemble sur ce projet. Tim Cook et Sundar Pichai ont organisé une réunion en visioconférence pour définir la forme du projet. Finalement, ce ne sera pas une app mais une API appelée Exposure Notifications dont les détours ont été dévoilés le 10 avril.

Initialement annoncée pour le 28 avril, l’API arrivera vendredi 1er mai sur les iPhone (à partir de l’iPhone 6s) via une mise à jour d’iOS 13 et sur les téléphones Android avec une mise à jour des services Google Play.

Les gouvernements et autres autorités de santé à utiliser cette API dans leurs applications pour suivre l’épidémie. La France n’en fait pas partie et s’est entêtée avec une app Stopcovid déjà pratiquement morte.
 

Comment ça marche Exposure ?

Voici comment ça fonctionne. Une fois le Bluetooth activé, le téléphone envoie de petits bips anonymes que d'autres téléphones peuvent écouter. L’API d'Apple permet à une app de continuer à envoyer ces bips même si elle ne s'exécute pas au premier plan.

Pour garantir la confidentialité des utilisateurs, les entreprises ont tiré les idées de divers efforts open source comme le PACT du MIT et le DP-3T en Europe. Burke de Google a reconnu que son équipe était spécifiquement inspirée par le travail du DP-3T, qui, selon lui, «donne le meilleur aspect préservant la confidentialité du service de suivi des contacts».

Un exemple spécifique inspiré du DP-3T est l'idée d'utiliser des codes rotatifs, ce qui implique que les applications diffusent une clé cryptographique qui change de manière aléatoire, alors qu'elles surveillent d'autres téléphones à proximité. Une fois que l'utilisateur signale un diagnostic Covid-19, l'application télécharge les clés cryptographiques qui ont été utilisées pour générer les codes des dernières semaines sur un serveur.  L'application des autres personnes télécharge ces clés et recherche une correspondance avec l'un des codes stockés. S'il en trouve un, l'application informera les utilisateurs qu'ils pourraient avoir été exposés.

Cela permet à l'application d'avertir les personnes susceptibles d'avoir été exposées, sans avoir à connaître leur identité - ou de permettre à ces identités d'être stockées et suivies par une autorité centrale.