Cacat keamanan yang menggelikan teridentifikasi di aplikasi pelacakan kontak NHS

Sebuah laporan keamanan berdasarkan analisis kode sumber dari aplikasi pelacakan kontak NHS telah mengungkapkan beberapa kelemahan keamanan yang serius dalam perangkat lunak tersebut.

Seperti dilansir Business Insider:

Aplikasi pelacakan kontak pemerintah Inggris memiliki sejumlah kelemahan keamanan yang serius menurut para ahli keamanan siber yang menganalisis kode sumbernya.

Sebuah laporan oleh dua ahli keamanan siber, Dr. Chris Culnane dan Vanessa Teague, diterbitkan pada hari Selasa. Mereka mengidentifikasi tujuh risiko keamanan di sekitar aplikasi, yang saat ini sedang diujicobakan di Isle of Wight dan seharusnya diluncurkan ke seluruh Inggris dalam satu atau dua minggu ke depan.

Laporan yang dimaksud berasal dari State of It, dan dua pakar keamanan siber yang berbasis di Australia. Sebagai penghargaan, laporan tersebut mencatat bahwa upaya Inggris memiliki mitigasi yang lebih baik daripada Singapura dan Aplikasi Australia, bagaimanapun, mereka tetap tidak yakin bahwa "manfaat yang dirasakan dari pelacakan terpusat lebih besar daripada risikonya. "

Seperti yang dirangkum oleh Business Insider:

Kerentanan termasuk salah satu yang memungkinkan peretas untuk mencegat notifikasi dan juga memblokir mereka atau mengirimkan yang palsu memberitahu orang-orang bahwa mereka telah melakukan kontak dengan seseorang yang membawa COVID-19. Para peneliti juga mencatat bahwa data tidak terenkripsi yang disimpan di handset pengguna dapat diakses dengan layak oleh penegak hukum. Meskipun pemerintah Inggris bersikeras bahwa data tersebut tidak akan digunakan selain untuk tanggapan COVID-19, sekelompok 177 Pakar keamanan siber telah menyerukannya untuk memperkenalkan pengamanan yang melindungi data agar tidak digunakan kembali pengawasan.

Tidak hanya itu, namun secara mengejutkan, kode ID acak berputar yang digunakan untuk melindungi privasi pengguna hanya berubah sekali dalam sehari. Sebagai perbandingan, Apple dan Google API melakukan ini setiap 10-20 menit.

Selanjutnya, wahyu yang mungkin lebih mengejutkan lagi, Pusat Keamanan Siber Nasional menerbitkan tanggapan atas laporan, dengan mencatat hal-hal berikut tentang enkripsi:

Versi beta dari aplikasi tidak mengenkripsi data kejadian kontak kedekatan di ponsel, dan kami tidak mengenkripsinya secara independen sebelum mengirim ke server. Jadi ketika ditransfer ke bagian belakang, itu hanya dilindungi oleh TLS. Jika Cloudflare menjadi buruk (atau seseorang membahayakan mereka), mereka bisa mendapatkan akses ke data log kedekatan itu. Tim NHS benar-benar memahami bahwa data memiliki nilai dan perlu dilindungi dengan baik, tetapi enkripsi log kedekatan tidak dapat dilakukan tepat waktu untuk versi beta. Ini akan diperbaiki dan sebagai tambahan akan mengurangi akses fisik ke log di atas.

"Tidak bisa selesai tepat waktu untuk beta." Daripada menunda rilis beta sehingga mereka bisa, Anda tahu, mengenkripsi datanya, NHSX tetap saja mengeluarkan aplikasinya. Kerja bagus semuanya.

Laporan tersebut menyatakan sebagai kesimpulan:

Ada bagian-bagian penerapan yang mengagumkan dan setelah perubahan dan pembaruan yang telah disebutkan dilakukan, banyak kekhawatiran yang diangkat dalam laporan ini akan ditangani. Namun, masih ada kekhawatiran tentang bagaimana privasi dan utilitas diseimbangkan. BroadcastValues ​​berumur panjang, dan catatan interaksi terperinci, tetap menjadi perhatian. Meskipun kami memahami bahwa catatan yang lebih rinci mungkin diperlukan untuk model epidemiologi, hal itu harus diimbangi dengan privasi dan kepercayaan jika akan dilakukan adopsi yang memadai dari aplikasi.