Google sliboval, že jeho framework pro sledování kontaktů s nakaženými covidem-19 bude dokonale chránit soukromí. Bezpečnostní experti však zjistili, že přinejmenším na Androidu je skutečnost jiná. K záznamům s citlivými informacemi mohou mít přístup stovky předinstalovaných aplikací, informuje The Markup.
Když Google a Apple v dubnu 2020 představili framework pro sledování kontaktů s nakaženými nemocí covid-19, ujišťovali, že údaje získané prostřednictvím aplikací (tj. kontakt s pozitivním a nahlášení pozitivního testu) budou anonymizovány a nebudou nikdy a za žádných okolností sdíleny s nikým jiným, než s příslušnými orgány.
„Naším cílem je poskytnout další nástroj, který pomůže v boji proti viru a zároveň ochrání soukromí uživatelů,“ napsal generální ředitel Googlu Sundar Pichai na Twitteru loni v květnu po zveřejnění frameworku. Podobné ujištění poskytl i ředitel Applu Tim Cook.
Od té doby si miliony lidí stáhly aplikace pro sledování kontaktů využívající toto řešení. Britská aplikace National Health Services má nejméně 16 milionů uživatelů, kanadská Digital Service COVID Alert v lednu hlásila více než šest milionů a ministerstvo zdravotnictví ve Virginii eviduje více než dva miliony uživatelů aplikace COVIDWISE.
Server The Markup zjistil, že nástroj pro sledování kontaktů pro Android obsahuje chybu v ochraně soukromí. Ačkoli odborníci z firmy AppCensus na problém upozornili Google již v únoru, dosud prý nedošlo k nápravě. U frameworku pro iPhone nebyly zjištěny žádné podobné problémy.
Oprava je banálně jednoduchá
„Oprava spočívá v odstranění řádku, který zaznamenává citlivé informace do systémového protokolu. Nemá to vliv na program, ani to nemění jeho fungování,“ uvedl spoluzakladatel AppCensusu a vedoucí forenzní analytik Joel Reardon.
„Byli jsme upozorněni na problém, kdy byly identifikátory Bluetooth dočasně přístupné specifickým aplikacím na úrovni systému pro účely ladění, a okamžitě jsme začali zavádět opravu, abychom tento problém vyřešili,“ oponuje v prohlášení mluvčí Googlu José Castañeda.
Spoluzakladatel a technologický ředitel firmy AppCensus Serge Egelman, však uvedl, že Google opakovaně odmítal jakékoli obavy ohledně této chyby, dokud se na něj koncem minulého týdne neobrátil s žádostí o vyjádření. Na přímou otázku, zda byla zranitelnost odstraněna, Castañeda odpověděl, že „zavádění této aktualizace na zařízení se systémem Android začalo před několika týdny a bude dokončeno v nejbližších dnech.“
Předinstalované aplikace mají přístup k datům
Dle Reardona problém spočívá v tom, že stovky předinstalovaných programů, jako je Samsung Browser a Motorola MotoCare, mají přístup k potenciálně citlivým informacím, které aplikace pro sledování kontaktů ukládají do systémových protokolů. Jde o vedlejší produkt toho, jak předinstalované aplikace získávají analytická data o hlášeních o pádech.
Nástroj pro sledování kontaktů funguje tak, že si přes Bluetooth vyměňuje anonymizované informace s ostatními telefony, které také mají nainstalovanou aplikaci pro sledování kontaktů. Tyto informace se mění každých 15 minut, aby bylo obtížnější někoho jednoznačně identifikovat, a vytvářejí se z klíče, který se mění každých 24 hodin.
Informace se ukládají do systémových protokolů, a právě zde je zakopaný pes. Více než 400 předinstalovaných aplikací v telefonech Samsung, Motorola, Huawei adal. má oprávnění číst systémové protokoly s hlášeními o pádech pro analytické účely.
V případě aplikací pro sledování kontaktů protokoly obsahovaly údaje o tom, zda byla osoba v kontaktu s někým, kdo byl pozitivně testován na covid-19. Kromě toho mohly obsahovat také identifikační informace, jako je jméno zařízení, MAC adresa a reklamní ID z jiných aplikací. Sice není známo, že by nějaké aplikace tyto údaje skutečně shromažďovaly, ale samotnou skutečnost, že jim v tom nic nebrání, lze považovat za velmi vážnou.
