“Il codice sorgente rimane con Microsoft, il protocollo è implementato e controllato da Apple e Google, il server è ospitato da Amazon. L'attuale politica di informazione soffre di informazioni poco chiare o errate. "(Dall'analisi del professor Vaudenay)
Mentre la politica e i media continuano a non comunicare apertamente, SPR pubblica estratti della devastante analisi del professore di informatica EPFL Serge Vaudenay sulla mancanza di trasparenza e sui rischi per la sicurezza del tracciamento dei contatti "decentralizzato". L'analisi è di importanza globale dal momento che il protocollo svizzero è diventato lo standard globale attraverso Google e Apple.
uno studio sulle pandemie influenzali nel 2019, l'OMS è giunto alla conclusione che il tracciamento dei contatti "non è raccomandato in nessuna circostanza" perché epidemiologicamente non ha senso. Edward Snowden, informatore della NSA, ha avvertito in questo contesto che Corona sarà utilizzata come pretesto per lo sviluppo completo della società di sorveglianza di massa .
L'interfaccia non visibile per il tracciamento dei contatti menzionata nell'analisi Vaudenay è stata ora integrata in tre miliardi di telefoni cellulari da Google e Apple . Vaudenay scrive: "Ora possiamo vedere che il sistema decentralizzato DP3T è diventato un sistema opaco centralizzato con i servizi Apple di Google".
“Il sito web del National Cyber Security Center NCSC elenca molti rapporti sulla sicurezza che SwissCovid giudica abbastanza positivi. Ma non elenca il nostro rapporto. Al contrario, contiene una "analisi dettagliata" della NCSC sul nostro rapporto. Non siamo d'accordo con questa analisi. Dal momento che sembra abbastanza chiaro che la comunicazione non è trasparente, qui presentiamo le nostre osservazioni al pubblico ".
"In sintesi, le nostre osservazioni sono le seguenti:
- Sebbene il codice sorgente dell'app sia disponibile, non possiamo compilarlo, eseguirlo ed eseguirlo senza firmare un accordo con Apple o Google. Pertanto, l'app non è compatibile con il termine "open source".
- Gran parte del protocollo di tracciamento dei contatti è implementato da Apple-Google in una parte del sistema chiamato GAEN. Questa parte non ha un codice sorgente disponibile, sebbene la legge richieda la divulgazione del codice sorgente di tutti i componenti del sistema.
- Alcuni server sono ospitati da Amazon come parte di un servizio esterno.
- Le informazioni disponibili per i potenziali utenti non sono chiare, incomplete o errate.
- Quando si utilizza SwissCovid, gli utenti possono essere rintracciati o identificati da sistemi di sorveglianza di terze parti.
- Gli utenti diagnosticati che inviano un rapporto sono a rischio di essere identificati da una terza parte.
- Terze parti potrebbero fornire falsi avvisi di possibile infezione su un telefono target o su un ampio gruppo di telefoni target. Ciò comporterebbe che le persone debbano essere messe in quarantena senza essere realmente a rischio.
Al fine di evitare il problema che GAEN (l'interfaccia di Google Apple) non ha un codice sorgente disponibile, sebbene la legge prescriva un codice sorgente per tutti i componenti, il Consiglio federale ha emanato un regolamento che elenca tutti i componenti ma non è contenuto in GAEN .
Per giustificare tale esclusione, i promotori di SwissCovid sostengono che GAEN fa parte del sistema operativo del telefono o parte dell'interfaccia Bluetooth del telefono e che non è comune richiedere la divulgazione del codice sorgente di tali parti.
Neghiamo che GAEN sia una tale parte del telefono, almeno sui telefoni Android. GAEN fa parte dei servizi di Google Play, che sono indipendenti dal sistema operativo e dalle interfacce di comunicazione. ()
Inoltre, la maggior parte del precedente protocollo DP3T (per il tracciamento dei contatti "decentralizzato") implementato nella versione originale è scomparso nella versione corrente dell'applicazione perché un protocollo equivalente è ora incorporato in GAEN.
Concludiamo che non esiste una giustificazione tecnica fondata per escludere GAEN dai componenti del sistema. Crediamo fermamente che il regolamento costituisca un trucco legale per eludere la legge, che è il risultato di una controversia tra SwissCovid e Apple-Google.
Esortiamo gli esperti costituzionali a valutare la validità del regolamento ".
- “Scopriamo che SwissCovid è lungi dall'essere open source. Il codice sorgente rimane con Microsoft, il protocollo è implementato e controllato da Apple e Google. Il server è ospitato da Amazon. L'attuale politica di informazione soffre di informazioni poco chiare o errate. "
- "Quasi tutto ciò che è sensibile è gestito dall'API GAEN [l'interfaccia tra Google e Apple], che non fornisce alcun codice sorgente e che non possiamo mai compilare o analizzare. "
- “ Ecco perché SwissCovid è lungi dall'essere open source. Nella migliore delle ipotesi, il codice sorgente dell'interfaccia utente grafica è disponibile, ma non può riprodurre o modificare l'applicazione in esecuzione. "
- "Ci sono alcuni aspetti strani nel rapporto con Google-Apple. Il progetto DP3T [per la traccia dei contatti "decentralizzata] chiede al suo partner Google-Apple di aprire l'interfaccia almeno per gli audit esterni e di aggiornarne l'implementazione. Ciò suggerisce che DP3T ha perso il controllo di SwissCovid. "
- “L'attuale relazione con Google-Apple mette SwissCovid in una strana situazione. () Gli utenti devono accettare di trasmettere i propri dati personali a Google-Apple, mentre SwissCovid non può utilizzarli . Anche l'applicazione SwissCovid non può utilizzare la posizione. Tuttavia, i servizi di Google Play utilizzano l'accesso a dispositivi, foto, posizione, segnalibri, calendario, archiviazione, telefono, microfono, ID dispositivo, fotocamera, contatti, Wi-Fi, stato e cronologia del dispositivo, identità, SMS e molti altri privilegi . Dato che iOS è chiuso, non potremmo dire nulla, ma sarà lo stesso ".
- “Ci sono state polemiche sull'introduzione di sistemi centralizzati o decentralizzati. Ora possiamo vedere che il sistema decentralizzato DP3T è diventato un sistema opaco che è centralizzato nei servizi Apple di Google. "
- “Indipendentemente da SwissCovid, la stessa tecnologia Bluetooth è già utilizzata da Apple e Google per individuare i dispositivi Bluetooth. Non usare il GPS non significa che è impossibile localizzare un telefono. "
- "Poiché la maggior parte del sistema è implementata dall'interfaccia Google-Apple, DP3T (la traccia dei contatti" decentralizzata ") non è rimasta molto."
- Elenco dei singoli rischi per la sicurezza nel rapporto originale.
- “ Abbiamo dimostrato che SwissCovid crea minacce critiche alla sicurezza e alla privacy. Indipendentemente dal fatto che siano ridotti o meno, riteniamo che debbano assolutamente essere comunicati. "
- "Ancora più importante, le informazioni disponibili sono inadeguate, ci sono informazioni sbagliate sull'anonimato e sull'open source , non sembrano esserci test di sicurezza pubblica e gli sviluppatori SwissCovid sono vincolati dalle decisioni di Google e Apple ."
- "Siamo consapevoli che numerosi attacchi sono stati testati e riportati empiricamente . Il nostro punto principale è che gli utenti volontari dovrebbero essere consapevoli di questi attacchi . Possono essere considerati minori per la maggior parte di essi, ma cruciali per alcuni. Finora, la documentazione resa disponibile all'utente è stata silenziosa. "
- “La legge del 19 giugno 2020 stabilisce che tutti i componenti del sistema SwissCovid devono avere un codice sorgente accessibile al pubblico e spetta al Consiglio federale trattare i dettagli dell'operazione. Il regolamento del Consiglio federale del 24 giugno 2020 definisce i componenti in modo tale da escludere ciò che viene fornito da Google-Apple e implementare le funzionalità DP3T. L'implementazione di DP3T ha aggirato la legge. "
- "Riteniamo che il regolamento fosse già in preparazione quando il Consiglio degli Stati e il Consiglio nazionale hanno discusso della necessità di un codice sorgente disponibile al pubblico e la nostra analisi è stata censurata . I cittadini e il Parlamento sono stati ingannati . Può essere per buoni motivi (ad esempio per prevenire la seconda ondata), è una truffa palese . A nostro avviso, 5 giorni dopo la sua approvazione , la legge creata per proteggere le persone dal dover utilizzare un sistema opaco si è rivelata insufficiente. "
- "Su Android, GAEN fa parte dei servizi di Google Play che regolano i servizi specifici di Google. () Ciò dimostra che GAEN non fa parte né dei driver di comunicazione né del sistema operativo, contrariamente alla solita scusa per la non divulgazione di GAEN, che viene ripetuta dalla stampa. "
- "Siamo convinti che la definizione legale di" componenti "in un regolamento sia un trucco per aggirare la legge sulla disponibilità del codice sorgente."
- “Chiediamo a esperti legali indipendenti di commentare questa controversia per determinare se GAEN debba essere considerato parte di SwissCovid e pertanto debba essere soggetto alla legge che richiede un codice sorgente disponibile.
- fonte
