StopCOVID, een complete ramp die bevestigt dat regeringen niet te vertrouwen zijn

De app voor het traceren van contacten van de Franse overheid bevestigt alles wat werd vermoed: het is een ramp qua functionaliteit en een gevaar voor de privacy van zijn gebruikers. Een toffees waarvan we hopen dat het als voorbeeld zal dienen, zodat anderen niet in dezelfde fout vallen.

We hebben je al verteld over het project dat Apple en Google gezamenlijk hebben uitgevoerd en dat is geëindigd met een API die ze ter beschikking hebben gesteld aan overheden over de hele wereld voor de ontwikkeling van een applicatie voor het traceren van contacten die maximale privacy garandeert. werkt zoals het hoort. Ondanks dat ze het op een schaal hebben gelegd, hebben sommige regeringen, Het Verenigd Koninkrijk en Frankrijk, aan het hoofd van hen, hebben deze twee bedrijven fel bekritiseerd omdat ze hun API willen opleggen en hebben besloten zelf oorlog te voeren. Het resultaat kan niet slechter zijn, want de StopCOVID-app die de Franse regering zojuist heeft gelanceerd, blijkt een regelrechte ramp. En als ik ramp zeg, heb ik het niet alleen over hoe het werkt, maar ook over de privacy van de gebruikers, zoals blijkt uit verschillende audits die zijn uitgevoerd sinds de app open source is en beschikbaar is voor analyse.

Een van de meest interessante analyses van de StopCOVID-applicatie, en een die duidelijkere taal gebruikt voor degenen onder ons die geen kennis hebben van applicatie-ontwikkeling, is die van Nadim Kobeissi (link) waarin ook enkele analyses van officiële organisaties worden aangehaald. Ik vat de belangrijkste storingen en privacyproblemen samen die in dit artikel worden genoemd:

• Het gebruik van Bluetooth door deze applicatie is niet handig om de exacte afstand te weten tussen u en een andere persoon.
• Op iOS-apparaten, door de Apple-Google API niet te gebruiken, Bluetooth wordt uitgeschakeld zodra je de app sluit, je laat het op de achtergrond of zet het iPhone-scherm uit, dus StopCOVID is volledig nutteloos op de iPhone.
• Toepassing lost een ernstig beveiligingslek met Bluetooth niet op die de Apple- en Google-API's oplossen, dus iedereen die die app gebruikt, is kwetsbaar voor die bug.
• Ondanks het feit dat de Franse overheid verzekert dat geolocatie niet vereist is, de app vraagt ​​toestemming om GPS te gebruiken en u kunnen lokaliseren.
• De applicatie vereist de Gebruikersregistratie (was het niet anoniem?)
• Tijdens de gebruikersregistratie wordt het Google ReCaptcha-systeem gebruikt, die uw IP en user-agent naar Google stuurt, dat wil zeggen, uw anonimiteit is absoluut doorbroken.

Het artikel citeert het rapport van Iria (Institut National de Recherche en Informatique et en Automatique) een Frans onderzoekscentrum dat gespecialiseerd is in informatica, regeltheorie en toegepaste wiskunde. De conclusies die het bereikt zijn verwoestend in termen van respect voor de privacy van gebruikers, en zorgen ervoor dat aan geen van deze eisen wordt voldaan:

• Gegevens moeten anoniem zijn
• Het moet onmogelijk zijn om vast te stellen wie wie heeft besmet
• Het moet onmogelijk zijn om vast te stellen of iemand ziek is of niet
• Het is onmogelijk om valse alarmen te lanceren
• Het gebruik van Bluetooth mag geen beveiligingsprobleem zijn
• Het moet onmogelijk zijn om op grote schaal toegang te krijgen tot gegevens