Rozwiązania cyfrowe, takie jak aplikacje do śledzenia kontaktów mogą nam pomóc poradzić sobie z pandemią i pozwolić obywatelom na powrót do normalności. Jak wynika z naszych badań, rządy w całej Europie przeznaczyły miliony euro na rozwój aplikacji do śledzenia kontaktów z różnym powodzeniem. Dotyczy to również Niemczech i ich aplikacji Corona Warning. Początkowo jednak aplikacja ta nie oferowała funkcji wykrywania ognisk zakażeń czy nawet rejestracji przypadków, dlatego opracowano alternatywną aplikację Luca. Czym jest? Jak działa i jakie budzi obawy? Ten artykuł odpowie na te i inne pytania.

Czym jest aplikacja Luca? Kto ją stworzył i w jakim celu?

Aplikacja Luca została opracowana w 2020 roku w celu zapobiegania potencjalnym łańcuchom infekcji COVID19 poprzez zarządzanie danymi kontaktowymi i śledzenie kontaktów z wirusem. Wiosną 2021, kiedy sklepy, restauracje i obiekty eventowe w całym kraju zostały poproszone o zbieranie danych kontaktowych ich gości, aplikacja wydawała się dobrą, wydajną i lepiej chroniącą prywatności alternatywą dla papierowych formularzy używanych dotąd przez właścicieli.

Twórcy aplikacji Luca użyli tego argumentu, aby przekonać wielu polityków i decydentów. Do września 2021, 13 krajów związkowych Niemiec wydało w sumie ponad 21 milionów euro za licencje aplikacji Luca, wśród nich znalazły się: Badenia-Wirtembergia, Bawaria, Berlin, Brandenburgia, Brema, Hamburg, Hesja, Meklemburgia-Pomorze Przednie, Dolna Saksonia, Nadrenia-Palatynat, Saara, Saksonia-Anhalt i Szlezwik-Holsztyn. W ciągu wiosny 2021 r. większość tych krajów związkowych dostosowała aplikacje do przepisów prawa, tak by móc korzystać z systemu Luca zamiast z ręcznego wprowadzania danych kontaktowych.

Za rozwojem tego projektu stoją przede wszystkim dwie firmy: neXenio GmbH, które stworzyło aplikację oraz culture4lifeGmbH, które ją rozpropagowało. Zainteresowanie mediów aplikacją zapewnił Smudo, członek hip-hopowej grupy „Die Fantastischen Vier”. Zespół Luca podaje, że do tej pory w aplikacji zarejestrowało się ponad 40 milionów obywateli i "zameldowano się" w niej ponad 330 milionów razy.

Aplikacje śledzenia kontaktów podczas kryzysu covidowego: jak działa system Luca?

Aby móc korzystać z aplikacji Luca, użytkownicy muszą podać swoje imię i nazwisko oraz dane kontaktowe. Wchodząc do restauracji lub biorąc udział w jakimś wydarzeniu rozrywkowym, użytkownicy skanują kod QR wygenerowany przez organizatora za pośrednictwem aplikacji. Dane gości są szyfrowane w momencie zameldowania i przechowywane na centralnych serwerach systemu Luca.

Dane kontaktowe są podwójnie szyfrowane: po raz pierwszy na smartfonie użytkownika za pomocą klucza ustalonego przez organy służby zdrowia i ponownie podczas meldowania się w konkretnym miejscu lub wydarzeniu, tym razem za pomocą klucza dostarczonego przez organizatora imprezy. W ten sposób ani zespół Luca, ani organizatorzy wydarzeń nie mają pełnego dostępu do niezaszyfrowanych danych. Użytkownicy aplikacji, którzy uzyskali pozytywny wynik testu na obecność COVID, mogą zgłosić służbie zdrowia listę wszystkich miejsc, które odwiedzili w ciągu ostatnich 14 dni. Departament zdrowia może wówczas poprosić organizatora imprezy o dane kontaktowe wszystkich gości, którzy mogli mieć kontakt z zakażonym. Wtedy mogą odszyfrować i ujawnić niezbędne informacje kontaktowe. Nawet wtedy dane te nie są widoczne dla zespołu Luca czy organizatorów wydarzenia, ponieważ pozostają zabezpieczone kluczem wydziału zdrowia. Ostatecznie służba zdrowia będzie w stanie w pełni odszyfrować dane kontaktowe, kiedy otrzyma je od aplikacji.

Ogłoszenie ogólnego alertu dla wszystkich użytkowników, którzy są w potencjalnej grupie zagrożenia, zależy od decyzji urzędu służby zdrowia. Tym Luca różni się od zdecentralizowanego systemu alarmowania Corona Warning App (CWA), w którym użytkownicy z grupy kontaktu są ostrzegani automatycznie po przesłaniu zweryfikowanych pozytywnych wyników testów do aplikacji i nie wymaga to autoryzacji centralnej agencji rządowej.

Czy aplikacja Luca spełniła swoje obietnice?

Wydziały zdrowia donoszą, że Luca nie jest dla nich zbyt przydatna. W ankiecie przeprowadzonej przez serwis informacyjny netzpolitik.org, jedynie 3 ze 137 oddziałów służby zdrowia potwierdziło regularne wykorzystanie aplikacji. Wśród powodów dla takiej sytuacji podawano słabą jakość danych, brak zastosowania otrzymanych informacji, słabą obsługę klienta i ogólne przeciążenie pracowników. Wiele oddziałów służby zdrowia poinformowało, że rzadko wykorzystują listy kontaktowe dostarczane przez restauracje. Dlatego większość krajów związkowych nie odnowi kontraktów na licencje z Culture4Life, po tym jak wygasną.

Problemy z aplikacją Luca

Od momentu wypuszczenia jej na rynek aplikacja Luka zmagała się z problemami technicznymi i zagrożeniem bezpieczeństwa. Nowe wady i naruszenia zgłaszane były praktycznie każdego tygodnia jej działania. Poniżej jedynie kilka przykładów:

Deanonimizacja: Już wiosną 2021 r. badacze na Uniwersytecie EPFL w Lozannie wskazali pewne luki w zabezpieczeniach: na przykład odkryto, że użytkownicy w momencie meldowania w aplikacji, wraz z zaszyfrowanymi danymi, przesyłają na serwer Luca również inne informacje, jak chociażby adres IP. Na tej podstawie hakerzy potrafiliby zrekonstruować tożsamość osoby za danym identyfikatorem i prześledzić wszystkie jej zameldowania z ostatnich dwóch tygodni. Badacze skrytykowali również decyzję przechowywania tak dużej ilości danych wrażliwych na centralnym serwerze, co stanowi poważne niebezpieczeństwo w przypadku potencjalnego ataku hakerskiego.

Brak przejrzystości:kiedy twórcy aplikacji Luca, pod wpływem silnych nacisków ze strony społeczności internetowej, w końcu zgodzili się ujawnić kod źródłowy, wykorzystali tak restrykcyjną licencję, że tym samym zablokowali możliwość powielania, udostępniania czy odtwarzania kodu w jakikolwiek inny sposób w sieciach publicznych. W ten sposób praktycznie uniemożliwili jakąkolwiek próbę przeprowadzenia krytycznej analizy kodu. Dodatkowo nadal nie opublikowano jeszcze oceny skutków działania aplikacji w zakresie ochrony prywatności (DFSA), co nie świadczy najlepiej o staranności firmy w zapewnieniu transparentności.

Niezadowalające zarządzanie kluczami: W marcu 2021 roku niemiecka konferencja nt. ochrony danych (DSK) podniosła krytykę wokół koncepcji szyfrowania stosowanej w aplikacji Luca. Przede wszystkim faktu, że wszystkie urzędy zdrowia otrzymały te same klucze do odszyfrowania danych kontaktowych. W ten sposób spowodowali ryzyko, że "poprzez próbę szpiegowania lub niewłaściwe użycie kluczy znacząca ilość danych pozostająca pod kontrolą centrali może zostać udostępniona nieautoryzowanym jednostkom. Podobnie organizatorom wydarzeń trudno jest zweryfikować, czy otrzymane żądanie jest autoryzowane, więc istnieje prawdopodobieństwo nieuzasadnionego odszyfrowania danych. Udany atak na systemy culture4life GmbH mógłby zatem zagrozić bezpieczeństwu całego systemu." zatem zagrozić bezpieczeństwu całego systemu.” Dlatego DSK wezwało zespół Luca do podjęcia próby przeniesienia funkcjonalności aplikacji Luca na zdecentralizowany system.

Meldowanie uczestnictwa za pomocą fizycznych breloków: Zespół Luca zaoferował fizyczne breloki z wydrukowanymi kodami QR. W ten sposób chcą umożliwić osobom nie posiadającym smartfonów korzystanie z aplikacji Luca. Jednak grupa ekspertów IT wskazała, że przy użyciu tych fizycznych breloków nieautoryzowane osoby mogą odtworzyć ruchy poszczególnych użytkowników. W przeciwieństwie do cyfrowej wersji aplikacji, kody QR zamieszczone na brelokach się nie zmieniają, więc już samo ich zdjęcie wystarczyłoby, aby prześledzić wszystkie logowania danej osoby z ostatnich 30 dni.

Kodowanie przy użyciu plików CSV: w maju 2021 r. odkryto lukę w zabezpieczeniach, która umożliwiła hakerom na "wstrzyknięcie" złośliwego oprogramowania do systemów informatycznych służby zdrowia. Zespół Luca nie zabezpieczył znaków specjalnych w formularzach rejestracji imion. Umożliwiło to użytkownikom wprowadzanie kodów do plików CSV. Poprzez otworzenie takiego pliku CSV w programie Microsoft Excel, można usuwać i zarządzać informacjami kontaktowymi z systemów departamentu zdrowia lub nawet wysłać do nich na serwery ransomware, czyli oprogramowanie szantażujące. Niemiecki Federalny Urząd ds. Bezpieczeństwa Informacji (BSI) ujawnił tę lukę w publicznym oświadczeniu i obarczył odpowiedzialnością zespół Luca.

Pod wpływem tych i wielu innych niedociągnięć i pogwałceń kwestii bezpieczeństwa odezwały się głosy krytyki: grupa ponad 70 czołowych ekspertów - niemieckich badaczy bezpieczeństwa IT opublikowała list otwarty, w którym ostro krytykowali aplikację Luca oraz przestrzegali przed jej nabywaniem i używaniem. W liście napisali, że Luca nie uwzględniła żadnej z czterech głównych zasad działania aplikacji śledzącej kontakty: ograniczenia celu, przejrzystości, dobrowolności i oceny ryzyka. Chaos Computer Club (CCC) wezwał do zastosowania „federalnego hamulca awaryjnego” („Bundesnotbremse”) w kwestii Luca.

Jaka przyszłość czeka aplikację Luca?

Od kiedy władze służby zdrowia zdecydowały się zaprzestać śledzenia kontaktów, aplikacja Luca stała się przestarzała i zbędna. Dlatego w reakcji zespół Luca postanowił dodać do aplikacji dwie nowe funkcje. W nowej wersji użytkownicy będą mogli zapisać swój dowód osobisty na swoim smartfonie, a wchodząc do restauracji lub lokalu będą mogli okazać go razem z paszportem szczepień, co ma skracać czas trwania takiej kontroli. Dodatkowo już niebawem będzie można płacić za pośrednictwem aplikacji Luca w restauracjach, kawiarniach i barach.

Photocredits:

Clay Banks/Unsplash.com
Ashkan Forouzani/Unsplash.com
Ashkan Forouzani/Unsplash.com
Mufid Majnun/Unsplash.com