谷歌承诺其联系跟踪应用程序完全私密，但这不是

当谷歌和苹果公司于2020年4月推出他们的Covid-19联系方式框架时，该公司旨在安慰担心与主要公司共享私人健康信息的人。

谷歌和苹果提供了通过应用程序 - 人民的动作产生的数据，他们可能会接触，以及他们是否报告了对Covid-19的阳性测试的数据，这将是匿名的，并且永远不会与公共卫生以外的任何人分享机构。

“我们的目标是通过另一个工具授予[公共卫生机构]，帮助对抗病毒的同时保护用户隐私，”谷歌首席执行官Sundar Pichah在最后一次可用的推文中写在推文中。

从那以后，数百万人已经下载了通过Apple和Google框架开发的联系跟踪应用程序：英国的国家卫生服务的应用程序至少有1600万用户，而加拿大的数字服务Covid Alert应用程序在1月份拥有超过600万下载，而弗吉尼亚州的卫生部注意到超过200万居民正在使用其CovidWise应用程序。

加州州长Gavin Newsom赞助他州的应用程序版本，称之为“100％私人＆amp;在去年12月的推文中安全。

但是，标记已经了解到，联系跟踪工具的Android版本不仅包含隐私缺陷，而且当隐私分析公司AppCensus的研究人员提醒谷歌时，谷歌未能改变它。 AppCensus正在测试该系统作为与国土安全部合同的一部分。该公司发现框架的iPhone版本没有类似的问题。

“此修复程序是一个单线的东西，您可以在其中删除将敏感信息记录到系统日志的行。它不会影响程序，它不会改变它的工作原理，“Appcensus的联合创始人和取证领导者。 “这是一个如此明显的修复，我是惊人的，因为它没有被视为。”

“我们被通知了一个问题，其中蓝牙标识符暂时访问特定的系统级别应用程序以进行调试目的，我们立即开始向解决此问题推出解决此问题，”谷歌发言人Josécastañeda在标记的电子邮件声明中表示。

然而，Serge Egelman，Appcensus的联合创始人和首席技术官员表示，谷歌一再驳回了该公司对该错误的担忧，直到标记联系谷歌上周晚些时候对该问题发表评论。

询问漏洞是否已被淘汰，Castañeda表示，几周前，“滚出此更新到Android设备即可开始，即将在未来几天完成。”

Reedton表示，这是Samsung浏览器和摩托罗拉的MotoCare等数百个预装应用程序在Android设备上可以访问潜在的敏感信息，这些信息是系统日志中的联系方式 - 预安装的应用程序如何接收有关用户分析的信息的副产品崩溃报告。

联系跟踪工具通过与具有联系跟踪应用程序的其他手机交换匿名的蓝牙信号。每15分钟更改这些信号，以使其难以识别某人，并从每24小时更改的键创建。

手机的联系方式数据生成和接收的信号保存到Android设备的系统日志中。研究发现，三星，摩托罗拉，华为和其他公司建造的手机上有400多个应用程序有权读取崩溃报告和分析目的的系统日志。

在联系跟踪应用程序的情况下，ReRedon发现系统日志包括关于一个人是否与Covid-19肯定的人联系的数据，并且可以包含识别信息，例如设备名称，MAC地址和广告ID其他应用。从理论上讲，可以通过预安装的应用程序扫除该信息并将其发送回其公司的服务器。他尚未发现任何应用程序实际上都收集了该数据，但没有什么可以阻止他们这样做。

“谷歌的说法是，这些日志永远不会离开设备，”Reredon说。 “他们不能制作那个声明 - 他们不知道这些应用是否正在收集系统日志。”

“这些蓝牙标识符不显示用户的位置或提供任何其他识别信息，并且我们没有指示它们以任何方式使用 - 任何应用程序甚至都知道这一点，”谷歌发言人Castañeda在电子邮件中表示到标记。

谷歌已经提出了几个公共承诺，即将在用户的手机上处理所有联系跟踪数据，而不是发送到任何服务器。虽然应用程序正在交换匿名的蓝牙信号，但如果用户将自己识别为Covid-19的测试，则唯一的任何数据将被发送到外部实体的时间，并且选择与公共卫生当局共享该信息。

当谷歌和苹果首次发布该工具时，他们承诺“除非您在新闻发布会期间，否则您已接触的人列表不会留下您的手机。

在去年7月的国际隐私专业人士的主题演讲协会，谷歌和苹果公司首席隐私官员强调，仅在设备上而不是服务器的数据存储和处理数据保护他们的隐私。

“我们强烈地感受到所有这些曝光通知信息在[该设备上，并在用户的严格控制下进行的处理是优化系统隐私的基本设计特征，”Keith Enright，Google的首席隐私官员，在小组上说。

Connecticut的隐私政策为州的联系跟踪应用程序还指出，除非一个人具有积极的Covid-19诊断并选择分享该信息，否则数据仅存储在用户的设备上并没有共享。该州的应用程序基于Google和Apple的曝光通知框架。

“这些数据仅存储在用户的设备上，并未共享，除非用户有正面的Covid-19诊断和选择在系统内共享此信息，”策略状态。

REDRON首先于2月19日首先向Google达到了谷歌，将报告提交给Google的BUG BOUNTY计划。

谷歌拥有一个计划，其中它支付了研究人员以与其服务寻找安全问题，但只有公司认为这是一个严重的缺陷。根据AppCensus提供给标记的电子邮件，该团队并不相信Reedton的调查结果符合其标准。

在3月12日，Re后门收到了一封来自“Enzo，Google Security Team”的电子邮件，说：“这可能不会严重，以便有资格获得奖励，尽管小组将看看下一个会议，我们会更新一次我们有更多信息。你现在需要做的就是等。如果您在2-3周内没有收到美国或有关于漏洞的其他信息，请告诉我们。“

四天后，Re后门收到了谷歌的自动电子邮件，告诉他它已经证实，缺陷不足以保证支付，并且安全团队将“决定他们是否想要改变或不改变。”

2月19日，REDRDON还涉及吉尔斯·Hogben，于2月19日致电Android的隐私工程总监。在一封电子邮件中，Hogben以响应REDRDON的担忧，系统日志只能由某些应用程序访问。

“[系统日志]尚未通过android 11之前的方式读取（仅在read_logs特权权限中读取）（只能在何时何时检查，但我觉得何时回复4），”Hogben在他的2月25日回复时表示。

然而，后退，仍然可以读取数百个应用程序仍然读取这些系统日志。 “他们实际上收集了摧毁了使用联系跟踪的人的隐私的信息，”他说。 随着技术延伸到培养的所有角落和Blackbox算法中的所有角落，以无法解决的方式重塑我们的生活，标记正在努力使其成为焦点。 我们是一个非营利组织新闻室，为技术报告提供了技术专业知识。 我们追求难以击球，数据驱动的分析，并持有强大的机构来账户。 独立新闻对健康的社会至关重要，您的支持对于独立新闻至关重要。 立即支持标记