JOURNAL DU DIMANCHE 25/9/05

ADAS- Le 25 septembre 2005
JOURNAL DU DIMANCHE 25/9/05

Citation :

"MENACES SUR LA CARTE VITALE par Yann Philippin

La Sécu encaisse le choc, depuis les révélations, dimanche dernier, dans nos colonnes, de l'informaticien Jérôme Crêtaux sur les failles de la carte de santé, le GIE Sesam Vitale est sous le feu nourri des médias. "On gère la crise", confie un responsable du GIE. "Ils sont en ébullition" confirme un industriel qui s'inquiète "d'une polémique très mauvaise pour les affaires" . Un mystérieux intermédiaire a même contacté (sans succès) le cabinet du ministre délégué à la Sécurité Sociale, Philippe Bas, pour lui proposer de borner les fuites de l'informaticien. Nos informations - la carte Vitale est clonable et paramétrable - étaient connues de longue date par les professionnels comme à la Sécu, qui estime payer le prix fort aujourd'hui pour son manque de transparence.(1)
L'assurance-maladie a encore du souci à se faire. Car, depuis sa maison de Beaulieu-sous-la-Roche, nichée au coeur du pays vendéen, Jérôme Crêtaux ne désarme pas. Voilà plus de sept ans que cet auteur de logiciels médicaux de 50 ans dénonce les défaillances du système. Ses accusations lui ont valu trois plaintes et deux descentes de police. "La carte Vitale est loin d'être la faille la plus critique. Maintenant qu'on m'écoute, je vais parler des vrais problèmes !" (2)
Cette semaine, il a décidé de lâcher une bombe. Il affirme avoir piraté l'AI28 (à la demande du GIE Sesam Vitale, le nom de ce logiciel a été modifié), autrement dit le logiciel ultra-secret sur lequel repose la sécurité de Vitale qui se niche à l'intérieur des lecteurs utilisés par les médecins et les pharmaciens. Explication. Les professionnels insèrent dans ces lecteurs la carte Vitale des patients et leur carte professionnelle, puis tapent le code à quatre chiffres. En réponse, l'AI28 fabrique un certificat électronique. Sans lui, la feuille de soin serait rejetée par la sécu.
En mars, alors qu'il concevait un nouveau produit informatique, Jérôme Crêtaux affirme avoir découvert une "faille monstrueuse" dans l'un des logiciels de travail fournis par le GIE. "On peut rentrer dans le lecteur et lui ordonner de créer un certificat", assure-t-il. Il s'intéresse alors à l'AI28 et affirme qu'il ne lui a fallu que quelques jours pour le déchiffrer et découvrir son secret. De quoi lui permettre aujourd'hui de fabriquer des fausses feuilles de soins aussi bien remboursées que les vraies. "Un bon informaticien pourrait arriver au même résultat que moi, c'est pour cela que je donne l'alarme", dit-il.
On peut alors imaginer le scénario du pire. Celui d'un hacker, un pirate, qui, possédant à la fois le code et un stock de numéros de cartes Vitale, pourrait noyer l'assurance-maladie sous des millions de vraies-fausses feuilles de soins. "La sécu detecterait l'erreur, mais serait obligée de trier toutes les feuilles à la main. Les remboursements seraient paralysés pendant des jours, voire des semaines", estime Jérôme Crêtaux. A une échelle plus modeste, un escroc pourrait recruter des complices, et déclencher des remboursements frauduleux en envoyant un simple courrier électronique.
Les industriels comme le GIE certifient qu'il est impossible pour un hacker même expérimenté, de craquer le système: "Si Jérôme Crêtaux l'a vraiment fait, (3) c'est un acte extrêmement grave qu'il n'a pu accomplir qu'en utilisant les informations privilégiées que nous fournissons aux éditeurs de logiciels, et pour lesquelles il a signé une clause de confidentialité", assure le GIE. Ses responsables relativisent le danger. Mais s'avouent incapables de comprendre pourquoi cet informaticien les harcèle depuis tant d'années. " (4)
Suit une courte biographie, tendant à prouver que, de par sa maladie, Jérôme n'a plus rien à perdre, et que c'est un acte de désespéré ? Excuses, JDD, cela n'apporte rien à la démonstration, j'explique (5)
De fait Crétaux devient un as de l'informatique médicale en un temps record. Il ne cache pas son mépris pour la sécurité de Sesam-Vitale. Une conviction forgée avec son frère Nicolas qui fut conseiller informatique du ministre de la santé, Jacques Barrot, entre 1995 et 1997, et qui critiqua la mise en oeuvre de la carte sous le gouvernement Jospin.
Jérôme Crêtaux, lui, s'occupe à rechercher les failles. Il ne tarde pas à les trouver et donne l'alerte. En 2004, il est enfin reçu en personne par le président du GIE, Jacques de Varax. Ce dernier écoute, corrige un des bugs (6), sans toutefois prévenir Crêtaux. L'informaticien de Beaulieu sous la Roche ne lui pardonnera jamais ce manque de confiance. Il se répand sur internet (7). Le ton monte. Jusqu'à la plainte du GIE, début 2005, pour divulgation de faille. "Cet acharnement est scandaleux, dénonce son avocat, Maître Thomas Maïer. Aux Etats-Unis, on lui aurait donné un contrat de travail. En France, on préfère lui envoyer la police". (
En cassant l'AI28, Jérôme Crêtaux prend un gros risque. Désormais il passe pour un pirate (9). Un ami avance même qu'il veut s'expliquer devant un juge. S'agit-il comme il le dit d'un acte citoyen ? D'un coup de bluff ? Ou de la dernière croisade d'un homme blessé ? Quoiqu'il en soit; la sécu a face à elle un excellent connaisseur du système. Et qui n'a, au soir de sa vie, plus grand chose à perdre. (10)"

(1) Donc, les industriels connaissaient les failles: c'était simplement et sûrement meilleur pour les affaires de les taire. Voilà ce qui risque de se passer quant on range ses affaires dans des coffres forts informatiques de pacotille ! De surcroît, en se taisant pour que les affaires continuent, ils s'en sont faits complices
(2) Maintenant qu'on m'écoute un peu dans les média, et tant que le GIE, la sécu, et le ministère de la Santé ne m'écoutent pas.... serait plus juste. J'ai vu Jérôme hier, je ne crois pas déformer sa pensée. Il viendra râler sur l'ADAS si je me trompe, vous le connaissez !
(3) Toujours les mêmes ambiguités: c'est possible, ou c'est impossible ? C'est impossible, mais certains peuvent le faire ! Et le GIE le reconnaît.
C’est ce raisonnement qui amené Jérôme Crêtaux à faire une démonstration publique des faiblesses de la Carte Vitale. A croire que le GIE veuille que Jérôme mette la sécu en difficulte, mais nous, ON NE VEUT PAS. ECOUTEZ LE. Cela fait quand même des mois et des mois qu'il vous informe ! Alors il me semble qu’il est temps de vous décider : où le système est entièrement pourri comme Jérôme l’a à moultes reprises démontré, ou bien il est parfaitement sûr et alors pourquoi ne pas avoir fourni les démentis techniques ?
Il acceptera sans aucun problème l’avis de ses pairs. Et vous ?

(4) Jérôme Crêtaux découvre une nouvelle faille, le dit, ne s'en sert pas mais le dit, et c'est encore lui le coupable de la faille ? Là, Mr GIE, vous voulez jouer au jeu du pas vu pas pris ? Soyez beau joueur, on a VU.
(5) On explique qu'il s'est engagé dans l'armée à 18 ans après avoir raté son bac (à mon avis, c'est plutôt le bac qui l'aurait loupé !) et qu'il a ensuite très vite été atteint des premiers symptômes de sa maladie. Et qu'ainsi, il n'aurait plus rien à perdre ?
(6) Combien de temps a-t-il fallu au GIE pour corriger ? Réponse de l'énigme: trop longtemps !
(7) Se répandre sur internet, l'image est jolie. L'ADAS est heureuse de constater qu'elle devient un excellent vase d'expansion pour s'épancher enfin des injustices et abus de pouvoir dont les assurés sont victimes
( On aimerait bien même un contrat de travail en charge de la sécurité informatique. Vous inquiétez pas pour lui, il a des propositions; il refuse. Certains diront que c'est de la bêtise, d'autres de l'honnêteté, selon leur sensibilité !
(9) Et nous nous disons que les premiers pirates de cette affaire ont été le GIE, la Sécu et les industriels qui s'inquiètent maintenant pour leurs affaires, au lieu de s'inquiéter pour la population. Normal, c'est la population qui paiera le prix fort en identité et argent, pas eux.
(10) C'est quoi, cette conclusion ? S'il n'avait plus grand chose à perdre, au soir de sa vie comme vous dites, vous ne pensez pas qu'il aspirerait au repos ? Et s'il avait à perdre le droit à la sécurité informatique pour ses enfants, potentiellement à gros risque de sa maladie, pour tous les enfants de France, dans la même situation ou plus simplement qui désirent pouvoir être assurés socialement et soignés librement et dans la dignité de leurs secrets médicaux ?

"Au soir de sa vie " ? Dans ma grande naïveté, Jérôme, je n'imaginais même pas qu'on oserait faire de ta maladie une explication à ton comportement. Encore une fois, le combat pour la justice serait un comportement de malade ? De malade psychiatrique, de préférence ? Je dis ça au cas où on essaierait de te faire interner .
Jérôme, je ne te dis pas bonsoir, T'as encore trop de choses à faire.
Il va falloir très vite constituer un collectif de défense de Jérôme Crêtaux, si on ne veut pas qu'il finisse sa vie nourri à l'haldol et habillé "camisole dernier cri".
Cet article donne un peu l'impression que si on n'arrive pas à l'avoir par voie juridique, on va essayer par "voie psychiatrique"

Jérôme, nous te remercions d'avoir démontré ce que nous ne pouvions que soupçonner, trop de gens étant, par l'opération de je ne sais quel esprit pas très "sain" celui-là, au courant de certains secrets, trop de gens se précipitant sur le DMP comme sur l'Or Noir; nous te remercions d'avoir démontré que nos secrets médicaux n'étaient qu'une affaire de gros sous et de pouvoir, plus secrets du tout, bientôt côtés en bourse !

source : http://www.webzinemaker.com/admi/m6/page.php3?num_web=17902&rubr=4&id=275645

@+