Code QR : des restaurateurs utilisent un lecteur jugé non sécuritaire par Québec
d'avoir accès à certains endroits.
Photo : Radio-Canada / Jean-François Fortier
Prenez note que cet article publié en 2021 pourrait contenir des informations qui ne sont plus à jour.
De nombreux restaurateurs déchiffrent les informations contenues dans le code QR de votre passeport vaccinal à l’aide d’une application qui n’est pas reconnue comme étant sécuritaire par le gouvernement du Québec.
Le logiciel en question est celui de l’entreprise Libro. Il est utilisé par plus de 2000 établissements au Québec, dont le SHAKER, les Normandin, les restaurants du Groupe Restos Plaisirs et les Piazzetta.
Il permet aux restaurateurs de gérer les réservations, les commandes en ligne et le registre des visiteurs, de produire des rapports et analyses et, depuis l’entrée en vigueur du passeport vaccinal, d’ouvrir les informations contenues dans le code QR des clients.
On s'est dit que c'était une belle opportunité pour faciliter les opérations des restaurateurs en intégrant simplement cette fonctionnalité-là à notre outil
, explique le responsable aux technologies chez Libro, Jim Durand.
Le logiciel de Libro permet de lier les informations du passeport vaccinal au carnet de réservation.
Photo : crédits: capture d'écran libroreserve.com
Le ministère de la Santé et des Services sociaux (MSSS) demande pourtant aux exploitants d’utiliser l’application VaxiCode Verif pour vérifier le statut vaccinal des personnes qui souhaitent accéder à leur établissement afin de s’assurer que les standards gouvernementaux en matière de cybersécurité sont respectés.
La seule manière d’être assurée que ses informations personnelles sont protégées est de faire vérifier son passeport via l’application VaxiCode Verif du gouvernement du Québec. C’est la seule application reconnue et donc la sécurité des informations personnelles est garantie
, précise le porte-parole du MSSS, Robert Maranda.
Certains clients de Libro, comme les Rôtisseries St-Hubert, utilisent l'application du gouvernement malgré la présence d'un autre lecteur sur le logiciel de réservations.
On l'a testée, mais après validation avec le gouvernement, on nous a confirmé que c'était seulement VaxiCode qui était acceptée. On a bloqué l'application dans nos restaurants
, informe le président du Groupe St-Hubert, Richard Scofield.
On adhère aux recommandations du gouvernement, même si l'autre application était plus facile pour nous.
Efficacité
Libro assure que la technologie utilisée dans son application est la même que celle développée par Québec et qu’aucune donnée personnelle n’est enregistrée.
Que ce soit notre application ou celle du gouvernement, c'est le même procédé qui est utilisé. La vérification se fait à même l'appareil. Il y a une signature qui est validée avec une clé publique fournie par le gouvernement pour s'assurer que l'information qu'on lit est bien authentifiée
, affirme Jim Durand.
Ce n'est pas parce que quelqu'un utilise une autre application que celle du gouvernement que les informations sont à risque.
Le responsable aux technologies chez Libro, Jim Durand
Photo : Radio-Canada
Le code QR a en effet été conçu selon une norme internationale. C’est un format documenté et ouvert, qui est largement adopté, notamment par Apple, Google et plusieurs pays dans le monde en matière de preuves vaccinales.
Le lecteur de code QR a seulement été intégré au logiciel pour faciliter le travail du personnel en restauration, soutient Libro. En plus du statut vaccinal, il permet d'afficher le nom et l'âge de la personne.
Quand l’employé numérise le code QR, on associe s'il y a une réservation à ce nom pour permettre d’asseoir rapidement cette personne-là en restaurant
, donne en exemple M. Durand.
Dérives possibles
L’inclusion d’un lecteur de code QR dans un logiciel de réservations ouvre la porte à des dérives, selon l’ancien officier de sécurité informatique au ministère de la Défense et chargé de cours en cybersécurité à l'Université de Sherbrooke, Steve Waterhouse.
Des restaurateurs véreux pourraient capter l'information de qui est venu, la date, l'heure et la durée et après formuler des offres de services sans le consentement des clients
, affirme-t-il.
Les gens vont présenter la preuve pour aller consommer des biens et services, mais dans un avenir rapproché vont peut-être se faire faire de la sollicitation.
Steve Waterhouse, expert en cybersécurité
Photo : Radio-Canada
Même si Libro assure que son application ne permet pas d’accumuler des données personnelles, Steve Waterhouse est d’avis que le client devrait toujours exiger l’utilisation de VaxiCode Verif pour valider son passeport vaccinal.
Il y a un paquet de variables que quelqu'un va déclarer son réseau sécuritaire alors qu'il ne l’est vraiment pas. Il n'est peut-être pas expert et il a mis quelque chose de facile à déjouer
, prévient-il.
Les restaurateurs veulent collaborer
Des échanges ont déjà eu lieu entre le MSSS et des représentants de l’Association Restauration Québec (ARQ) pour leur expliquer les raisons entourant la demande d’utiliser l’application VaxiCode Verif.
L’ARQ croit que le gouvernement pourrait collaborer davantage pour certifier l’utilisation d’autres logiciels plus efficaces pour les restaurateurs aux prises avec une rareté de main-d’œuvre.
L'application VaxiCode Verif a été développée par le gouvernement du Québec.
Photo : Radio-Canada / Olivia Laperrière-Roy
D’ici là, l’ARQ demande aux restaurateurs de répondre aux exigences du gouvernement et d’utiliser VaxiCode Verif pour déchiffrer le passeport vaccinal.
Libro annonce qu'il retirera la possibilité de lire les codes QR de son application si le gouvernement l'exige.
L'enjeu principal avec ça, c'est de rassurer le public. On est ouvert à s'asseoir avec le gouvernement pour essayer de trouver des solutions
, conclut Jim Durand de Libro.
