La carte Vitale est-elle sécurisée ?
Dans le journal Marianne du 13 au 22 juin 2003, page 62, on pouvait lire «
(...) Le vrai scandale de l’immobilier (...) Les agences s’arrogent le droit de vous demander votre livret de famille. Mais le plus scandaleux est qu’on vous réclame presque systématiquement vos coordonnées bancaires et votre carte Vitale. Pour vérifier quoi ? que vous n’êtes pas atteint du SIDA ou d’une maladie grave qui vous empêcherait de payer ? »
Le risque est faible, car les données sensibles de la carte Vitale, comme la notion d’invalidité ou d’Affection Longue Durée (ALD) [1] sont sécurisées et ne peuvent être lues héoriquement, qu’avec un logiciel spécialisé et surtout l’utilisation conjointe d’une CPS (Carte à puce de Professionnel de Santé).
La carte Vitale contient deux types de données :
les
données non sécurisées d’ordre administratives (numéro de sécurité sociale, état civil, régime et caisse d’affiliation, droit à la CMU et couverture complémentaire si elle est gérée par le même organisme d’assurance maladie obligatoire) accessibles par tout le monde.
les
données sécurisées et confidentielles, qui pour l’heure se limitent aux informations sur l’exonération du ticket modérateur au titre d’affection de longue durée avec les dates de début et de fin de prise en charge.
Réglementairement, la lecture des informations protégées écrites sur la carte Vitale est soumise à la présence d’une carte CP ’X’ [2], conformément à l’article R. 161-33-2 du décret n°98-273 du 9 avril 1998 relatif à la carte d’assurance maladie et modifiant le code de la sécurité sociale.
Les "cartes CPS de test" sont mises à disposition des éditeurs de progiciels de FSE avec un "kit de fournitures SESAM-Vitale". C’est un ensemble de composants qui permet aux éditeurs de développer des logiciels de santé compatibles avec le système SESAM-Vitale.
Normalement, ces « CPS de test » ne fonctionnent qu’avec des "cartes Vitale de test".
Histoire d’une félure...
Ce « informaticien indépendant », aurait découvert une faille dans Vitale. Selon lui, pour lire les informations protégées de la carte Vitale, il faut disposer de ces différents éléments :
Un banal lecteur de carte monofente PC/S et ses drivers.
Une « carte CPS de test » même périmée,
Les APIS de lecture des cartes Vitales.
Une application nommée « TESTAL32.EXE ».
Un démonstration proposée sur le site DALI, semble effectivement prouver qu’il existe un bugue dans le logiciel « TESTAL32.EXE version 1.55.1.0 » :
Après entrée d’un code de 4 chiffres universel, c’est à dire unique pour toutes les cartes de test, un message d’alerte indique bien que la carte CPS est absente ou inaccessible, mais en insistant on peut accéder à l’ensemble des informations sécurisées de toute carte Vitale !
La fissure sécuritaire est-elle de nature à lézarder les fondations de Sesam-Vitale ?
Certes :
Il est facile d’acheter un lecteur monofente car l’appareil est en vente libre.
Pour les APIs de lecture, ce n’est pas compliqué, car on les trouve sur les postes de travail de 300 000 professionnels de santé.
Mais certains éléments sont plus difficile à dénicher, en particulier la carte CPS de test et surtout le logiciel bugué « TESTAL32.EXE version 1.55.1.0 » :
On peut s’offrir un kit CPS, comprenant un jeu de cinq cartes de test, en le commandant au GIP-CPS pour 377€ HT.
Quant à obtenir la version buguée de « TESTAL32.EXE », c’est une tout autre aventure :
On trouvait cette application dans le package API de lecture de la carte Vitale. Pour disposer de l’identifiant et du mot de passe permettant l’accès à sa plateforme de diffusion du GIE SESAM-VITALE, il faut préalablement que l’éditeur signe avec le Centre National d’Agrément une convention de confidentialité.
Testal32.exe est un "Logiciel de test et de démonstration des API de Lecture v4" développé par le GIE Sesam-Vitale. Sa diffusion est restreinte. Il semble que le produit ait été aussi utilisé par des agents de la Sécurité Sociale qui venait dépanner les professionnels de santé. Le ménage n’ayant pas été fait après certaines interventions, la version buguée de « Testal32.exe » peut se trouver sur certains ordinateurs.
Heureusement Vitale 1 contient, aujourd’hui, peu d’informations à risque :
Au pire, au moyen de ce bricolage coûteux et compliqué, il est possible de lire sur la carte Vitale, ni plus ni moins que ce qui est indiqué sur l’attestation papier de sécurité sociale !
Il y beaucoup plus simple : Quelqu’un de malintentionné économisera de l’argent et de l’énergie en se contentant de consulter l’attestation papier, reflet exact de la carte Vitale...
L’attestation mentionne des renseignements confidentiels réservés au seul usage des professionnels de santé : un employeur ne doit pas en exiger la production.
Pour justifier de la qualité d’assuré social auprès d’autres tiers (employeurs notamment), la Caisse peut délivrer sur la demande de l’assuré une attestation ne comportant pas de mention du 100 % (article R.161-33-4 du Code de la Sécurité Sociale).
Cependant, rappelons que l’Assurance Maladie veut remplacer cette antique génération de cartes née en 1998 par Vitale 2. La future carte de santé contiendra beaucoup de données hautement confidentielles comme la clé d’accès au DMP ou le volet d’urgence.
Vitale 2, dotée d’un nouveau « masque » [3] et gérée par de nouvelles APIs, ne devrait pas être sensible à cette fissure de sécurité.
Le vrai risque, c’est la dissémination de ce logiciel bugué et de son mode d’emploi par Internet :
Ainsi cet outil de lecture des données privées des cartes Vitales, est proposé
en téléchargement sur le site de DALI via heureusement un lien mort !
A noter que si « Testal32.exe » autorise cette lecture non sécurisée des informations confidentielles de la carte Vitale, c’est parce que les APIs interfacées ne l’interdisent pas !
En utilisant ces briques logicielles publiques, il semble possible pour un hacker de développer un programme faisant la même chose.
Attention !
Dorénavant, en dehors des professionnels de santé,
ne laissez pas quelqu’un consulter votre carte Vitale. Il utilise peut-être la méthode publiée sur internet par cet "informaticien indépendant" !
C’est un message que l’Assurance Maladie devrait relayer auprès des assurés sociaux.
Lire aussi sur Fulmedico : Liste d’opposition des cartes Vitales : Un cauchemar pour le médecin ?
Lire aussi sur le web :
Sur le site de l’ADASS : "Ça suffit !"
Act-Up : La concrétisation du principe de non-discrimination à l’embauche
Plan du site
