פגמי אבטחה מצחיקים שזוהו באפליקציית מעקב אחר אנשי קשר של NHS

דוח אבטחה המבוסס על ניתוח קוד המקור של אפליקציית המעקב אחר אנשי קשר של NHS העלה כמה פגמי אבטחה חמורים בתוכנה.

כפי שדווח על ידי Insider Insider:

אפליקציית המעקב אחר מגעים של ממשלת בריטניה קיבלה מספר ליקויים ביטחוניים חמורים על פי מומחי אבטחת סייבר שניתחו את קוד המקור שלה.

ביום שלישי פורסם דו"ח של שני מומחים בתחום אבטחת הסייבר, ד"ר כריס קולננה וונסה טיג. הם זיהו שבעה סיכוני אבטחה סביב האפליקציה, שנמצאת כעת בניסיון על האי ווייט ואמורה להיות מגולגלת לשאר בריטניה בשבוע-שבועיים הקרובים.

הדו"ח המדובר מגיע מ מצב זה, ושני מומחים לאבטחת סייבר שבסיסם באוסטרליה. יאמר לזכותה של האפליקציה כי הדו"ח מציין כי המאמצים בבריטניה מקלים יותר על סינגפור האפליקציה של אוסטרליה, לעומת זאת, הם נותרים לא משוכנעים ש"היתרונות הנתפסים במעקב מרכזי גוברים הסיכונים שלה. "

לסיכום Business Insider:

הפגיעות כוללות אחת שיכולה לאפשר להאקרים ליירט הודעות וגם לחסום אותם או לשלוח כאלה מזויפים המספרים לאנשים שהם באו במגע עם מישהו שנושא COVID19. החוקרים ציינו גם כי ניתן לגשת לנתונים בלתי מוצפנים המאוחסנים במכשירי המשתמש על ידי רשויות החוק. למרות שממשלת בריטניה התעקשה שהנתונים ישמשו לשום דבר מלבד תגובת COVID-19 שלה, קבוצה של 177 מומחים בתחום אבטחת הסייבר כבר קראו לה להציג אמצעי הגנה המגנים על הנתונים מפני שימוש מחדש הַשׁגָחָה.

instagram viewer

לא רק זאת, אלא באופן מדהים, קוד הזיהוי האקראי המסתובב המשמש להגנת פרטיות המשתמשים משתנה רק פעם ביום. לשם השוואה, ה- API של אפל וגוגל מבצע זאת כל 10-20 דקות.

בגילוי נוסף, אולי אפילו מזעזע יותר, פרסם המרכז הלאומי לאבטחת סייבר תגובה לדו"ח וציין את הדברים הבאים בנושא הצפנה:

גרסת הבטא של האפליקציה אינה מצפנת את נתוני אירועי אנשי הקשר הקרובים בטלפון, ואנחנו לא מצפינים אותם באופן עצמאי לפני שנשלחים לשרת. לכן כאשר הוא מועבר לקצה האחורי, הוא מוגן רק על ידי TLS. אם Cloudflare היה רע (או שמישהו התפשר עליהם), הם יוכלו לקבל גישה לנתוני יומן הקרבה. צוות NHS מבין בהחלט שלנתונים יש ערך וצריך להגן עליהם כראוי, אך הצפנה של יומני הקרבה פשוט לא יכולה להיעשות בזמן לבטא. זה יתוקן ויתן בנוסף את הגישה הפיזית ליומנים לעיל.

"פשוט לא ניתן היה לעשות זאת בזמן הבטא." במקום לעכב את שחרור הגרסת הבטא כך שהם יוכלו, אתה יודע, להצפין את הנתונים, NHSX פשוט דחף את האפליקציה בכל מקרה. עבודה נהדרת לכולם.

הדו"ח קובע לסיכום:

ישנם חלקים ראויים להערצה ביישום וברגע שהשינויים והעדכונים שהוזכרו כבר, רבים מהחששות שהועלו בדוח זה יטופלו. עם זאת, נותר דאגה מסוימת לגבי האיזון בין פרטיות לתועלת. ערכי BroadcastValues ​​ארוכי השנים, ותיעוד האינטראקציה המפורט, נותרים דאגה. למרות שאנו מבינים שרשומות מפורטות יותר עשויות להיות רצויות עבור המודלים האפידמיולוגיים, עליה להיות מאוזנת עם פרטיות ואמון אם אמורה להתקיים אפליקציה מספקת.