Две презентации на конференции по безопасности Defcon security показывают, что правительственные приложения потребляют нездоровый объем данных.

Автор: Лаура Хаутала

Приложения для отслеживания контактов принимают данные, которые они не должны принимать, заявили докладчики Defcon.

Этой весной эксперты в области общественного здравоохранения поспешили создать приложения для отслеживания контактов в странах по всему миру. Они служат важной цели в определении того, кто мог заразиться коронавирусом, чтобы их можно было протестировать и изолировать. Но и риски были очевидны. Приложения для отслеживания контактов обладают способностью собирать персональные данные, которые раскрывают ваши перемещения, действия и отношения.

Потенциальный вред от приложений отслеживания контактов попал в фокус внимания на Defcon, ежегодном собрании хакеров, которое проходило в сети на прошлой неделе. Две презентации были посвящены проблемам конфиденциальности приложений для отслеживания контактов. Вердикт очевиден: приложения имеют тенденцию собирать информацию, которая им не нужна.

Такое стремление к получению данных – это не то, как правительства должны подходить к приложениям отслеживания контактов, сказал Эйвинд Арвесен, эксперт по безопасности из Норвегии, который выступал на Defcon. Вместо этого они должны спросить себя: «Как мало данных я могу получить, чтобы попытаться решить эту конкретную проблему, и не более того?»

Арвесен представил теперь уже несуществующее приложение для отслеживания контактов Норвегии, которое он помог проверить в рамках финансируемого правительством стороннего аудита. Еще одна презентация была посвящена разрешениям, запрашиваемым приложениями для отслеживания контактов, а также приложениям для отслеживания симптомов COVID-19. 

Устройства отслеживания обычно определяют контакты людей, у которых положительный результат теста на инфекционную болезнь, такую как COVID-19. Приложения стремятся заполнить пробелы относительно того, где инфицированный человек мог заразить другого. Например, когда два незнакомца стоят рядом друг с другом, приложения записывают этот контакт на случай, если один из них даст положительный результат на коронавирус в последующие дни. Чтобы приложения были эффективными, ими должен пользоваться высокий процент населения.

Как только органы общественного здравоохранения обратились к приложениям для улучшения процесса отслеживания контактов, эксперты по вопросам конфиденциальности предупредили о рисках. Правительства должны быть прозрачны в отношении данных, которые они получают с телефонов, избегать сбора ненужных данных, а также планировать прекращение сбора и удаление данных, когда пандемия пройдет. Университеты, включая Массачусетский технологический институт, и технологические компании, такие как Apple и Google, бросились создавать программное обеспечение, защищающее конфиденциальность, которое правительства могли бы использовать в своих приложениях.

Норвежское приложение для отслеживания контактов

Эйвинд Арвесен сказал, что норвежское приложение собирало данные о местоположении и человеке с помощью неизменного идентификационного кода, создавая постоянную и полную запись перемещений, которая централизованно хранилась на сервере. Это действительно может показаться идеальным для отслеживания контактов, но эксперты по конфиденциальности говорят, что сбор данных о местоположении не нужен и его следует избегать. Где были два человека и когда они встретились, не имеет значения. Важно только то, что они встретились. 

Также нет необходимости давать одному пользователю один неизменный идентификатор. Другие приложения нашли способы избежать этого, причем некоторые протоколы меняют идентификатор пользователя раз в минуту. Такой подход значительно усложняет злоупотребление данными, используя их для отслеживания движений одного человека во время использования приложения.

Наконец, некоторые приложения хранят данные локально на телефоне пользователя и получают к ним доступ только в том случае, если этот человек дает положительный результат теста и соглашается поделиться данными.

Когда Арвесен и его коллеги-рецензенты готовили свой доклад о норвежском приложении, регулирующие органы из Управления по защите данных страны дали понять, что они также обеспокоены. Затем страна закрыла приложение.

Приложения по всему миру принимают данные о местоположении

Арвесен сказал, что это приложение хуже с точки зрения конфиденциальности, чем другие приложения для отслеживания контактов в Европе. Но приложения, «жадные до данных», существуют и в других странах мира. Создатели Covid-19 App Tracker автоматически просканировали 136 приложений из разных стран мира и обнаружили, что большинство из них запрашивают разрешения, которые им не нужны.

Три четверти отсканированных приложений запрашивали данные о местоположении, говорит Меган Деблуа, соавтор сайта. Некоторые приложения просто помогают пользователям отслеживать свои симптомы, и у них нет причин запрашивать данные о местоположении.

Деблуа объединилась со своим братом и партнерами, чтобы создать приложение Tracker, и все они являются добровольцами. Цель проекта – собрать информацию о каждом правительственном приложении COVID в Google Play и сделать его общедоступным. 

Разрешения – это только часть общей картины. Чтобы действительно понять, как ведет себя приложение, исследователи должны посмотреть на данные, которые оно отправляет и получает во время использования. Аудиторы безопасности, такие как Арвесен, могут делать это от имени правительств. 

Деблуа сказала, что хотела бы видеть больше прозрачности в отношении данных, используемых в приложениях для отслеживания контактов. В идеале, правительства должны сделать код открытым, что позволит исследователям конфиденциальности легко анализировать его и сообщать о любых проблемах широкой аудитории. 

Одна из возможных причин, по которой правительства этого не сделали, - скорость, с которой им пришлось создавать приложения. Эта спешка могла побудить правительства отложить проверки безопасности, которые обычно проводятся до того, как программное обеспечение будет доступно для пользователей. В таком случае открытый исходный код может позволить злоумышленникам легко находить очевидные недостатки и использовать их.

Без отзывов, как сказали Деблуа и Арвесен, пользователи не могут доверять тому, что правительство берет только те данные, которые ему нужны, и сохраняет их в безопасности.

«Мы хотим, чтобы люди видели код», - сказала Деблуа. «Вы сможете проверить все с помощью кода и начать этому доверять».

Ссылка на источник