L’application Elyze, censée aider les jeunes à choisir un candidat, suspectée de manipulation au profit d’Emmanuel Macron (Màj: son co-fondateur entre au cabinet de la porte-parole du gouvernement)

Ça fait plusieurs jours que l'appli est sous le feu des critiques car le code n'est pas open source et plusieurs bugs y ont été relevés :

– En cas d'ex aequo, l'application favorise Emmanuel Macron

– Parfois, l'ordre affiché ne correspond pas au pourcentage pic.twitter.com/7OOYtbaB3x

— Mathis Hammel (@MathisHammel) January 15, 2022

En faisant des recherches, on tombe rapidement sur la liste qui nous permet de trouver le bug mettant toujours Macron en premier sur les ex-aequo : comme JavaScript utilise un algorithme de tri stable, en cas d'ex-aequo c'est l'ordre original dans la liste qui est retenu. pic.twitter.com/yLToB6xINb

— Mathis Hammel (@MathisHammel) January 15, 2022

Pour échanger des données avec le serveur, Elyze utilise principalement une base de données GraphQL qui semble contenir toutes les infos sur les propositions des candidats ainsi que les données utilisateur. pic.twitter.com/wtaXI83kx3

— Mathis Hammel (@MathisHammel) January 15, 2022

Avoir un accès direct à GraphQL n'est pas une faille en soi : certes, c'est mieux de passer par une API qui se charge des requêtes, mais si les permissions sont bien configurées on peut se débrouiller sans.

— Mathis Hammel (@MathisHammel) January 15, 2022

Mais le souci justement, c'est que les permissions étaient mal configurées. Tout ce qui touchait aux candidats était autorisé en lecture et en écriture, notamment la fonction permettant d'ajouter ou de modifier une proposition… pic.twitter.com/tdwlm6Zlr9

— Mathis Hammel (@MathisHammel) January 15, 2022

Heureusement, les autres parties de la base de données n'ont pas été affectées : ça aurait été vraiment terrible d'avoir une fuite des données utilisateur (date de naissance, code postal, intentions de vote en 2017 et 2022, résultat de chaque swipe sur l'app) pic.twitter.com/2v5r6F8I4i

— Mathis Hammel (@MathisHammel) January 15, 2022

En résumé, le chemin d'attaque était relativement simple à exploiter :
– récupération du fichier .apk
– extraction du bundle.js
– récupération de l'endpoint GraphQL et de la clé API
– identification de la faiblesse de configuration

En tout, j'en ai eu pour environ 3 heures.

— Mathis Hammel (@MathisHammel) January 15, 2022

Pour conclure, je pense que les développeurs d'Elyze devraient rendre l'application open source.

On voit bien que la sécurité par l'obscurité n'empêche absolument pas les attaques, et la transparence algorithmique est nécessaire dans un contexte d'élections.

— Mathis Hammel (@MathisHammel) January 15, 2022

Sur Elyze, acceptez TOUTES les propositions (367). Vous êtes donc d’accord à 100% avec TOUS les candidats. Et pourtant c’est Macron qui termine 1er, Hidalgo 2e et Jadot 3e ! Mieux vous avez été d’accord 24 fois avec Macron et 30 fois avec Poutou qui est…9e !#Elyzemacroniste pic.twitter.com/q7JUixxzl6

— stephane mauran 🔻φ 🏳️‍🌈✊🏿🤟🏽🖖🏻 (@StephaneMauran) January 12, 2022

Exact !

— stephane mauran 🔻φ 🏳️‍🌈✊🏿🤟🏽🖖🏻 (@StephaneMauran) January 12, 2022

Encore un coup tordu l'appli #Elyze… À qui profite ce mauvais coup ? Devinez… https://t.co/QMvXaL2LTF

— Jean-Luc Mélenchon (@JLMelenchon) January 12, 2022

1- Je suis 100% d'accord avec tous les candidats de gauche, Asselineau et Dupond-Aignan.
2- Sur le podium j'ai n.1 Hidalgo, n.2 Mélenchon n.3 Arthaud or je connais très bien le programme de Mélenchon et cela devait tomber sur lui en 1.

— Maxime Gil'Sayan 🔻🕊️🐢 🆙 (@MaxFIme) January 10, 2022

Donc celui qui a programmé cette application est vraiment nul et n'y connaît rien en politique. Cela ne mérite pas la publicité gratuite que lui font les médias.

— Maxime Gil'Sayan 🔻🕊️🐢 🆙 (@MaxFIme) January 10, 2022

Bon déjà, passons le faite que l’application donne une interprétation politique des candidats, qu’il ne suffit pas d’aligner des mesures pour comprendre pleinement une politique global et faire son choix. Mais passons, car ça remettrait en question tout le concept de l’app. pic.twitter.com/Rb4LIyLxNU

— Rojo (@Agitateur3) January 11, 2022

Allons dans les détails, on remarque qu’ils ont tous un score de 100% compatible avec moi. Déjà là, il y a un gros problème. On comprend facilement que l’application va classer les candidats qui ont un score égal (100%), du « moins extrêmes » aux « plus extrêmes ». pic.twitter.com/m8QWjX2lZj

— Rojo (@Agitateur3) January 11, 2022

Allons encore plus dans les détails.
1- Macron : 2 mesures
2- Hidalgo : 3 mesures
3- Jadot : 7 mesures
4- Mélenchon : 6 mesures
5- Arthaud : 5 mesures
6- Poutou : 10 mesures
Donc c’est encore pire, ils n’ont même pas un score égal de mesures compatibles ! pic.twitter.com/5paHyWjDzo

— Rojo (@Agitateur3) January 11, 2022

📲 Comment fonctionne Elyze, l'application pour choisir son candidat?

BFMTV répond à vos questions ⤵ pic.twitter.com/UPwoVLtDN3

— BFMTV (@BFMTV) January 12, 2022