V aplikaciji NHS za sledenje stikom so bile ugotovljene smešne varnostne napake

Varnostno poročilo, ki temelji na analizi izvorne kode aplikacije za sledenje stikov NZS, je razkrilo več resnih varnostnih napak v programski opremi.

Kot poroča Business Insider:

Po mnenju strokovnjakov za kibernetsko varnost, ki so analizirali njeno izvorno kodo, ima vlada Združenega kraljestva program za sledenje stikom številne resne varnostne napake.

V torek je bilo objavljeno poročilo dveh strokovnjakov za kibernetsko varnost, dr. Chrisa Culnaneja in Vanesse Teague. Opredelili so sedem varnostnih tveganj v zvezi z aplikacijo, ki jo trenutno preizkušajo na otoku Wight, v preostali del Združenega kraljestva pa naj bi jo uvedli v naslednjem tednu ali dveh.

Zadevno poročilo prihaja iz Državain dva strokovnjaka za kibernetsko varnost s sedežem v Avstraliji. Poročilo ugotavlja, da prizadevanja Združenega kraljestva bolje blažijo učinke kot Singapur in ZDA V avstralski aplikaciji pa še vedno niso prepričani, da "zaznane koristi centraliziranega sledenja odtehtajo tveganja. "

Kot povzema Business Insider:

Ranljivosti vključujejo eno, ki bi hekerjem omogočila, da prestrežejo obvestila in katero koli drugo blokirajte jih ali pošljite lažne osebe, ki ljudem sporočajo, da so prišli v stik z nekom, ki ga prevaža COVID-19. Raziskovalci so tudi ugotovili, da bi lahko organi pregona dostopali do šifriranih podatkov, shranjenih na prenosnih enotah uporabnikov. Čeprav je vlada Združenega kraljestva vztrajala, da se podatki ne bodo uporabljali za nič drugega kot za odziv na COVID-19, je skupina 177 strokovnjaki za kibernetsko varnost so ga že pozvali, naj uvede zaščitne ukrepe, ki ščitijo podatke pred prenamenitvijo nadzor.

Ne samo to, ampak osupljivo se vrteča naključna ID koda, ki se uporablja za zaščito zasebnosti uporabnikov, spremeni le enkrat na dan. Za primerjavo, Apple in Googlov API to počneta vsakih 10-20 minut.

V nadaljnjem, morda še bolj pretresljivem razkritju je Nacionalni center za kibernetsko varnost objavil odgovor na poročilo in pri šifriranju opozoril na naslednje:

Beta različica aplikacije ne šifrira podatkov o dogodku neposrednega stika v telefonu in jih pred pošiljanjem na strežnik ne šifriramo samostojno. Torej, ko se prenese na zadnji del, je zaščiten samo s TLS. Če bi se Cloudflare pokvaril (ali jih je kdo ogrozil), bi lahko dobil dostop do teh podatkov dnevnika bližine. Skupina NHS popolnoma razume, da imajo podatki vrednost in jih je treba pravilno zaščititi, vendar šifriranja bližnjih dnevnikov preprosto ni bilo mogoče izvesti pravočasno za beta različico. To bo popravljeno, poleg tega pa bo ublažilo fizični dostop do zgornjih dnevnikov.

"Preprosto ni bilo mogoče narediti pravočasno za različico beta." Namesto da bi odložili izdajo beta, da bi lahko, veste, šifrirali podatke, je NHSX aplikacijo vseeno potisnil ven. Odlično delo vsem.

Poročilo zaključuje:

Obstajajo čudoviti deli izvajanja in po izvedbi že omenjenih sprememb in posodobitev bodo obravnavani številni pomisleki, navedeni v tem poročilu. Vseeno ostaja zaskrbljenost, kako se uravnoteži zasebnost in koristnost. Dolgotrajne BroadcastValues ​​in podrobni zapisi o interakcijah ostajajo zaskrbljujoči. Čeprav razumemo, da so za epidemiološke modele morda zaželene podrobnejše evidence, jih je treba uravnotežiti z zasebnostjo in zaupanjem, če želimo, da bo aplikacija dovolj sprejeta.