Aplikacja rządu Francji do śledzenia kontaktów potwierdza wszystko, co było podejrzewane: jest to katastrofa w zakresie funkcjonalności i zagrożenie dla prywatności użytkowników. Mamy nadzieję, że klapsa posłuży jako przykład, aby inni nie popadli w ten sam błąd.
Powiedzieliśmy wam już o projekcie, który Apple i Google wspólnie zrealizowały i który zakończył się udostępnieniem API dla rządów na całym świecie w celu opracowania aplikacji do śledzenia kontaktów, która gwarantuje maksimum prywatności i prywatności oczywiście, że działa tak, jak powinno. Pomimo umieszczenia go na talerzu, niektóre rządy Wielka Brytania i Francja na ich czele ostro skrytykowały te dwie firmy za chęć narzucenia ich API i postanowiły samodzielnie prowadzić wojnę. Wynik nie może być gorszy, ponieważ aplikacja StopCOVID, którą właśnie uruchomił francuski rząd, pokazuje, że jest to całkowita katastrofa. A kiedy mówię o katastrofie, nie mówię tylko o tym, jak to działa, ale także o prywatności użytkownika, o czym świadczy kilka audytów przeprowadzonych, ponieważ aplikacja jest otwarta i dostępna do analizy.
Jedną z najciekawszych analiz aplikacji StopCOVID, która używa jaśniejszego języka dla tych z nas, którzy nie znają się na tworzeniu aplikacji, jest ta przeprowadzona przez Nadima Kobeissiego (powiązanie), w których przytoczono również kilka analiz przeprowadzonych przez organy urzędowe. Podsumowuję najważniejsze błędy i problemy z prywatnością, które są przytoczone w tym artykule:
- Korzystanie z Bluetooth w tej aplikacji nie jest przydatne do określenia dokładnej odległości od innej osoby.
- Na urządzeniach z systemem iOS, za nieużywanie Apple-Google API, Po zamknięciu aplikacji Bluetooth jest wyłączany, zostawiasz go w tle lub wyłączasz ekran iPhone'a, więc StopCOVID jest całkowicie bezużyteczny na iPhonie.
- Aplikacja nie rozwiązuje poważnej luki w zabezpieczeniach Bluetooth które rozwiązuje API Apple i Google, więc każdy, kto korzysta z tej aplikacji, jest podatny na tę lukę.
- Pomimo tego, że rząd francuski zapewnia, że geolokalizacja nie jest wymagana, aplikacja prosi o pozwolenie na używanie GPS i móc Cię zlokalizować.
- Aplikacja wymaga rozszerzenia Rejestracja Użytkownika (Czy to nie było anonimowe?)
- Podczas rejestracji użytkownika używany jest system Google ReCaptcha, który wysyła Twój adres IP i klienta użytkownika do GoogleTo znaczy, że twoja anonimowość została całkowicie zniszczona.
Artykuł cytuje raport Iria (Institut National de Recherche en Informatique et en Automatique) który jest francuskim ośrodkiem badawczym specjalizującym się w informatyce, teorii sterowania i matematyce stosowanej. Wyciągnięte wnioski są druzgocące pod względem poszanowania prywatności użytkowników, gwarantując to żaden z tych wymagań nie jest spełniony:
- Dane muszą być anonimowe
- Ustalenie, kto kogo zakażał, musi być niemożliwe
- Musi być niemożliwe ustalenie, czy dana osoba jest chora, czy nie
- Nie można podnosić fałszywych alarmów
- Korzystanie z Bluetooth nie powinno budzić obaw związanych z bezpieczeństwem
- Dostęp do danych na dużą skalę musi być niemożliwy
To bardzo niefortunne!