StopCOVID, một thảm họa hoàn toàn xác nhận rằng các chính phủ không đáng tin cậy

Ứng dụng theo dõi liên lạc của Chính phủ Pháp xác nhận mọi thứ bị nghi ngờ: đó là một thảm họa về mặt chức năng và là mối nguy hiểm về quyền riêng tư của người dùng. Một botch mà chúng tôi hy vọng sẽ làm ví dụ để những người khác không rơi vào lỗi tương tự.

Chúng tôi đã nói với bạn về dự án mà Apple và Google cùng thực hiện và dự án đó đã kết thúc với một API mà họ đã cung cấp cho các chính phủ trên toàn thế giới để phát triển một ứng dụng theo dõi liên hệ đảm bảo quyền riêng tư nhiều nhất có thể. Và tất nhiên nó hoạt động như bình thường. Mặc dù đã đặt nó trên một đĩa, một số chính phủ, Vương quốc Anh và Pháp đứng đầu đã chỉ trích gay gắt hai công ty này vì muốn áp đặt API của họ và đã quyết định tự mình gây chiến. Kết quả không thể tồi tệ hơn, khi ứng dụng StopCOVID mà chính phủ Pháp vừa tung ra cho thấy đó hoàn toàn là một thảm họa. Và khi tôi nói thảm họa, tôi không chỉ nói về cách nó hoạt động mà còn về quyền riêng tư của người dùng, thể hiện qua một số cuộc kiểm tra được thực hiện vì ứng dụng là nguồn mở và có sẵn để phân tích.

Một trong những phân tích thú vị nhất về ứng dụng StopCOVID và sử dụng ngôn ngữ rõ ràng hơn cho những người trong chúng ta, những người không biết sự phát triển của ứng dụng là phân tích được thực hiện bởi Nadim Kobeissi (liên kết) trong đó một số phân tích do các cơ quan chính thức thực hiện cũng được trích dẫn. Tôi tóm tắt các lỗi quan trọng nhất và các vấn đề về quyền riêng tư được trích dẫn trong bài viết này:

• Việc sử dụng Bluetooth được thực hiện bởi ứng dụng này không hữu ích để biết khoảng cách chính xác mà bạn đang ở với người khác.
• Trên thiết bị iOS, vì không sử dụng Apple-Google API, Bluetooth bị vô hiệu hóa ngay sau khi bạn đóng ứng dụng, bạn để nó ở chế độ nền hoặc tắt màn hình iPhone thì StopCOVID hoàn toàn vô dụng trên iPhone.
• Ứng dụng không giải quyết được một lỗ hổng bảo mật nghiêm trọng với Bluetooth mà API của Apple và Google giải quyết được, vì vậy bất kỳ ai sử dụng ứng dụng đó đều dễ mắc phải lỗ hổng đó.
• Mặc dù thực tế là chính phủ Pháp đảm bảo rằng vị trí địa lý là không bắt buộc, ứng dụng yêu cầu quyền sử dụng GPS và có thể xác định vị trí của bạn.
• Ứng dụng yêu cầu Đăng ký người dùng (Nó không phải là ẩn danh?)
• Trong quá trình đăng ký người dùng, hệ thống ReCaptcha của Google được sử dụng, gửi IP và tác nhân người dùng của bạn tới Google, có nghĩa là, tính ẩn danh của bạn hoàn toàn bị loại bỏ.

Bài báo trích dẫn báo cáo của Iria (Institut National de Recherche en Informatique et en Automatique) vốn là một trung tâm nghiên cứu của Pháp chuyên về Khoa học máy tính, Lý thuyết điều khiển và Toán ứng dụng. Các kết luận đạt được rất tàn khốc về mặt tôn trọng quyền riêng tư của người dùng, đảm bảo rằng không có yêu cầu nào trong số này được đáp ứng:

• Dữ liệu phải ẩn danh
• Không thể xác định được ai đã lây nhiễm cho ai
• Không thể xác định được một người có bị bệnh hay không.
• Không thể báo động sai
• Sử dụng Bluetooth không phải là mối quan tâm về bảo mật
• Không thể truy cập dữ liệu trên quy mô lớn