Güvenlik araştırmacılarına göre, Android cihazlardaki yüzlerce üçüncü taraf uygulamaya, Google ve Apple'ın API'sı üzerine kurulu kişi izleme uygulamaları tarafından kaydedilen hassas verilere erişim izni verildi. 

Android uygulamalarının gizlilik uygulamalarını analiz etme konusunda uzmanlaşmış ABD merkezli bir start-up olan AppCensus, İç Güvenlik Bakanlığı tarafından yaklaşık 200,000 dolar bağışlandı bu yılın başlarında temas izleme uygulamalarının güvenilirliğini test etmek ve doğrulamak için. 

Şirketin araştırmacıları, Google ve Apple'ın Temas Bildirimleri Sistemini (ENS) kullanan uygulamalardan veri kaydeden Android telefonların, cihazın sistem günlüklerine (hata ayıklama amacıyla kullanılan ve normalde uygulamaların kullanıcı hakkında bilgi aldığı yer) önemli kişi izleme bilgilerini kaydettiğini buldu. analizler ve kilitlenme raporları. 

GÖRMEK: 5G akıllı telefonlar: Hile sayfası (ücretsiz PDF) (TechRepublic)

Tüm uygulamalar sistem günlüklerini okuyamaz; ancak Android'de Google, bazı donanım üreticilerinin, ağ operatörlerinin ve ticari ortakların "ayrıcalıklı" uygulamaları önceden yüklemesine izin veriyor. Ayrıcalığın bir kısmı sistem günlüklerine erişimdir. 

Örneğin herhangi bir Xiaomi Redmi Note 9 stokunda 54 uygulamanın sistem günlüklerini okumasına izin verilirken, Samsung Galaxy A89'de bu 11 uygulamanın durumudur. "Google'ın uygulanmasının bir sonucu olarak artık kullanıcıların tıbbi ve diğer hassas bilgilerini alıyorlar." AppCensus'un kurucu ortağı ve adli tıpa liderlik eden Joel Reardon bir blog yazısında şunları söyledi:. 

Google ve Apple, dünyanın dört bir yanındaki sağlık yetkililerine yardımcı olmanın bir yolu olarak geçen yıl ENS'yi ortaklaşa yayınladı. gizlilik zorunluluğuyla uyumlu kişi izleme uygulamaları oluşturma Her iki şirkete göre bu, Android ve iOS ekosistemlerinin temelini oluşturuyor. 

Apple ve Google tarafından geliştirilen API, hükümetlerin Bluetooth sinyallerine dayanan merkezi olmayan kişi izleme uygulamaları oluşturmasına olanak tanıyor.  

Uygulamanın yüklü olduğu cihazlar, periyodik olarak değişen, dönen yakınlık tanımlayıcıları (RPI'ler) adı verilen anonim tanımlayıcılar yayar ve bunlar, uygulamayı kullanan çevredeki telefonlar tarafından "duyulabilmeleri" için Bluetooth aracılığıyla yayınlanır. Bu nedenle, RPI'leri yayınlamanın yanı sıra, telefonlar aynı zamanda duydukları tüm RPI'leri de günlüğe kaydeder. 

Bir kullanıcının daha sonra COVID-19 testi pozitif çıkarsa sağlık yetkilileri, o kullanıcının telefonuna bağlı tüm RPI'lerin bir listesini yayınlar. Her cihazda, bulaşıcı RPI'lerin listesi ile uygulama tarafından kaydedilenler arasında bir karşılaştırma yapılıyor ve riskli bir temas tespit edilirse kullanıcıya bir bildirim gönderiliyor. 

Eşleştirmenin tamamı yerel olarak telefonda gerçekleştiriliyor ve prensip olarak, kullanıcı, COVID-19 testinin pozitif çıktığını sağlık hizmetleriyle paylaşmaya karar vermediği sürece hiçbir veri cihazdan çıkmamalı. Google ve Apple'ın sistemlerini merkezi olmayan olarak adlandırmasının ve ENS'yi tasarım gereği gizliliği koruyan bir sistem olarak öne sürmesinin nedeni budur. 

Artık çok sayıda kullanıcı, Apple ve Google'ın ENS'si sayesinde oluşturulan kişi izleme uygulamalarını indirdi. Örneğin Birleşik Krallık'ta NHS COVID-19 uygulaması 21 milyondan fazla indirilirken, Almanya'nın CoronaWarn uygulaması 25 milyondan fazla kişi tarafından kullanılıyor.  

AppCensus'un bulguları artık iki teknoloji devinin verdiği gizlilik vaadinin bazı eksiklikleri olduğunu gösteriyor. Reardon ve ekibi, hem yayınlanan hem de duyulan RPI'lerin Android telefonların sistem günlüklerinde bulunabileceğini ve cihazın, duyulan RPI'ler için gönderen cihazın geçerli Bluetooth MAC adresini de günlüğe kaydettiğini buldu. 

Fransız Ulusal Dijital Bilim ve Teknoloji Araştırma Enstitüsü'nden (INRIA) araştırmacı Gaetan Leurent, "Elbette, temas takibini yapabilmek için bilgilerin bir yere kaydedilmesi gerekiyor, ancak bu dahili olarak ENS'de olmalıdır" dedi. Araştırmaya katılmayan ZDNet'e anlatıyor. "Bu bilginin sistem günlüğünde saklanması rahatsız edici. Onu oraya koymanın hiçbir iyi nedeni yok.” 

RPI'ler ve Bluetooth MAC adresleri rastgele ve anonimleştirilmiş olsa da AppCensus, verilerin gizlilik saldırıları gerçekleştirmek için kullanılabileceği ve hesaplanabileceği çeşitli yollar belirledi.  

Farklı veri kümeleriyle birleştirildiğinde RPI'ler, bir kullanıcının COVID-19 testinin pozitif çıkıp çıkmadığını, bulaşıcı bir kişiyle temas halinde olup olmadığını veya hatta birden fazla kullanıcının sistem günlüklerine erişimle iki kişi olup olmadığını anlamak için kullanılabilir. birbirleriyle karşılaştılar. 

Leurent, "Tüm temas izleme sisteminin gizliliği koruyacak şekilde olması ve bu tür bilgilerin sızmasını tam olarak önlemesi gerekiyor" diyor. "Yani bu protokolün temelinde olması gereken korumanın tamamını gerçekten boşa çıkarıyor." 

Bu durumda düzeltme kolaydır: Google'ın tek yapması gereken, ENS'nin cihazın sistem günlüğüne veri kaydetmesini durdurmaktır. Reardon, sorunun temas takibinin doğasında olan bir kusur değil, sistemdeki bir uygulama hatası olduğunu vurguladı. 

GÖRMEK: Giyilebilir cihazların geleceği: Neden akıllı saatiniz yakında doktorunuzun en sevdiği cihaz olabilir?

Ancak AppCensus, araştırmacılar sorunu Google'a açıkladığında arama devinin sorunu kabul etmediğini veya düzeltmediğini bildirdi. 60 gün geçtikten sonra analistler, Google'ın hata ödülleriyle ilgili kendi tavsiyelerine uymaya ve bulgularını kamuya açıklamaya karar verdi. 

Bir Google sözcüsü ZDNet'e şunları söyledi: "Bluetooth tanımlayıcılarının bazı önceden yüklenmiş uygulamalar tarafından hata ayıklama amacıyla geçici olarak erişilebilir olduğu bir sorun hakkında bilgilendirildik. Bu araştırmadan haberdar olur olmaz, sorunu gözden geçirmek, hafifletici önlemleri değerlendirmek ve sonuçta kodu güncellemek için gerekli süreci başlattık." 

"Bu Bluetooth tanımlayıcıları kullanıcının konumunu açığa çıkarmıyor veya başka herhangi bir tanımlayıcı bilgi sağlamıyor ve bunların herhangi bir şekilde kullanıldığına dair hiçbir göstergemiz yok, hatta herhangi bir uygulamanın bundan haberi bile yok." 

Google'a göre güncellemenin Android cihazlara dağıtımı birkaç hafta önce başladı ve önümüzdeki günlerde tamamlanacak. 

Leurent için gizlilik sorunları hakkında kapsamlı araştırmalar yaptı Temas izleme uygulamalarıyla birlikte gelen bu durum, yalnızca teknolojinin yararları ve riskleri hakkında yapılması gereken daha geniş bir tartışmayla bağlantılıdır. 

Araştırmacının önceki yayınları, uygulama ne olursa olsun, temas takibi için dijital teknolojilerin kullanılması söz konusu olduğunda kaçınılmaz olarak bir gizlilik riskinin ortaya çıkacağını gösterdi. "Şimdi, bunun önemli olup olmadığı tartışılacak bir konu" diyor ve şöyle devam ediyor: "Fakat bu riskleri ve faydaları değerlendiren bir tartışmaya gerçekten ihtiyacımız olduğunu düşünüyorum. Temas izleme uygulamaları konusunda bu tür tartışmaları hiç yapmadık.

"Bu uygulamalar bir yıldır kullanılıyor ve ne kadar iyi çalıştıkları konusunda hâlâ çok az bilgiye sahibiz. Benim sezgilerim faydaların çok yüksek olmadığı yönünde.” 

GÖRMEK: Wi-Fi noktaları, kirlilik ölçerler, silah yeri bulucular: Elektrik direkleri şehirleri nasıl daha akıllı hale getiriyor

Birleşik Krallık'taki Alan Turing Enstitüsü ve Oxford Üniversitesi'nden bilim adamlarının yakın zamanda yayınladığı araştırma NHS COVID-19 uygulaması için cesaret verici ön sonuçlar gösterdiDeneysel hesaplamalar, teknolojinin ülke çapında 600,000'e kadar pozitif vakayı potansiyel olarak önlediği sonucuna vardı. 

Ancak araştırmacılar, sonuçları etkileyebilecek birçok faktör nedeniyle uygulamanın verimliliğine ilişkin tam bir anlayışa ulaşmanın bilimsel olarak zor olduğunu kabul etti. 

Öte yandan eleştirmenler, kişi izleme uygulamalarının doğruluktan yoksun olduğunu ve alım olmadığı sürece ilgili faydaları gösterememek nüfusun büyük çoğunluğu arasında. 

Coinsmart. Europa İçindeki En İyi Bitcoin-Börse
Kaynak: https://www.zdnet.com/article/contact-tracing-apps-android-phones-were-leaking- sensitive-data-find-researchers/#ftag=RSSbaffb68