Aplikacje do śledzenia koronawirusa wcale nie są takie prywatne, jak obiecują Google i rządy

W kwietniu 2020 roku giganci technologiczni Apple i Google wydali swoje platformy do śledzenia kontaktów, starając się pomóc rządom w śledzeniu rozprzestrzeniania się koronawirusa. Kiedy frameworki zostały wydane, obie firmy stanowczo zapewniały, że dane użytkowników, w tym informacje o ich lokalizacji i dane osób, z którymi się zetknęli, pozostaną prywatne. Jednak ostatnie ustalenia firmy zajmującej się analizą prywatności ujawniły coś innego. Zarówno Google, jak i Apple stwierdzili, że dane udostępniane przez użytkowników za pośrednictwem ich struktur będą anonimizowane i udostępniane wyłącznie agencjom zdrowia publicznego. Dyrektor generalny Google, Sundar Pichai, powiedział o narzędziu w zeszłym roku: "Naszym celem jest udostępnienie narzędzia do walki z wirusem przy jednoczesnej ochronie prywatności użytkowników".

Aplikacje do śledzenia kontaktów do walki z Covid oparte o framework Googla mają lukę prywatności. Aplikacje te zapisują dane w dziennikach systemowych, do których mają dostęp inne aplikacje. Google nie mogło tego przeoczyć...

Korzystając z obietnic złożonych przez firmy Big Tech, kilka milionów użytkowników pobrało aplikacje zbudowane na platformach opracowanych przez Apple i Google. Aplikacja National Health Service w Wielkiej Brytanii, aplikacja Digital Service COVID Alert w Kanadzie oraz aplikacja COVIDWISE Departamentu Zdrowia stanu Wirginia zostały zbudowane w oparciu o frameworki dostarczone przez Apple i Google. Również polska aplikacja ProteGO Safe ma zintegrowane frameworki Google i Apple (nie wiadomo jak z jej obecną wersją znaną jako STOP Covid), a przynajmniej tak wynika z wpisów na GitHub. Badacze z AppCensus, firmy zajmującej się analizą prywatności, stwierdzili, że w narzędziach do śledzenia kontaktów w wersji na Androida występuje luka w prywatności. Co więcej, naukowcy z AppCensus nawet poinformowali o tym Google, ale nie przyniosło to żadnej reakcji.

Współzałożyciel i kierownik działu kryminalistyki AppCensus, Joel Reardon, mówiąc o luce w prywatności, powiedział: "Ta poprawka jest jedną linią, w której usuwasz wiersz, który rejestruje poufne informacje w dzienniku systemowym. Nie ma to wpływu na program, nie zmienia sposobu jego działania ". Ponadto Reardon stwierdza również, że była to "oczywista poprawka" i że Google nie mogło tego przeoczyć. Według Reardona głównym problemem był fakt, że wstępnie zainstalowane aplikacje systemowe, takie jak przeglądarka Samsung na urządzeniach Samsunga z Androidem lub MotoCare na urządzeniach Motorola z Androidem, mogą uzyskać dostęp do poufnych, prywatnych informacji zapisywanych w dziennikach systemowych przez aplikacje śledzące kontakty. Badania wykazały, że ponad 400 preinstalowanych aplikacji na telefonach zbudowanych przez Samsunga, Motorolę, Huawei i inne firmy ma uprawnienia do odczytywania dzienników systemowych na potrzeby raportów o awariach i do celów analitycznych.

W przypadku aplikacji do śledzenia kontaktów Reardon stwierdził, że dzienniki systemowe zawierały dane o tym, czy dana osoba miała kontakt z kimś, kto uzyskał pozytywny wynik testu na obecność COVID-19 i może zawierać informacje identyfikujące, takie jak nazwa urządzenia, adres MAC i identyfikator reklamowy z innych aplikacji. Teoretycznie informacje te mogą zostać zbierane przez preinstalowane aplikacje i przesłane z powrotem na serwery ich firm. Chociaż Google początkowo odrzuciło zgłoszenia AppCensus, po nagłośnieniu sytuacji skomentowali tę kwestię i stwierdzili, że problem zostanie naprawiony. "Zostaliśmy powiadomieni o problemie polegającym na tym, że identyfikatory Bluetooth były tymczasowo dostępne dla określonych aplikacji na poziomie systemowym w celu debugowania i natychmiast zaczęliśmy wprowadzać poprawkę, aby rozwiązać ten problem" - powiedział niedawno rzecznik Google. Firma nie znalazła podobnych problemów z wersją frameworka na iPhone'a.