Mag ik je mening vragen over enkele hypothetische situaties?
1 t/m 3 gaan over het extern opvangen van signalen, 4 & 5 gaat over het via een secundaire app meekijken, en 6 & 7 gaan over het analyseren van IP verkeer.
Hypothetical 1:
- Ik plaats enkele kleine cameras bij de in-en-uitgang van enkele supermarkten in Amsterdam (via de bestaande bewakingscameras, of een derde partij plaatst zelf kleine apparaatjes).
- Ik scan via bluetooth welke Exposure Notification codes langskomen. Als ik een nieuwe code zie, maak ik een foto.
- De code verdwijnt weer (de persoon is diep in de supermarkt).
- De code verschijnt weer (binnen 10 tot 20 minuten). Ik maak nog een foto. Deze data bewaar ik op een SD kaartje of upload ik meteen dankzij de gratis wifi van de supermarkt.
- Via gezichtsherkenning kijk ik welke persoon weer op de foto staat, en ga ik ervanuit dat code 234645634525 hoort bij persoon X.
- Optioneel gebruik ik signaalsterkte om in te schatten of de persoon naar de camera toeloopt of er vandaan gaat.
- De volgende dag blijkt dat code 234645634525 op dat moment covid had.
- Ik heb nu een groeiende lijst van fotos van mensen met covid.
- Die lijst voer ik (in de toekomst) aan een Clearview AI achtige dienst.
Hypothetical 2:
- Ik ben uitbater van een grote hoeveelheid apparaten in de publieke ruimte die o.a. aan bluetooth scanning doen (bushokjes, etc).
- Ik hou alle opgevangen codes bij (is dit verboden?).
- Wanneer ik een nieuwe code spot kijk ik ook of ik een nieuw bluetooth apparaat in de omgeving zie. Bijvoorbeeld een draadloze koptelefoon. Ik noteer daarvan het mac adres. Veel bluetooth koptelefoons (met name de goedkopere) gebruiken geen mac-adres randomisation.
- Elke keer dat ik ergens dat apparaat spot weet ik: deze persoon heeft Covid (gehad).
Hypothetical 3:
- Ik doe hetzelfde in een cafe, bibliotheek of andere plek waar mensen op de wifi inloggen.
- Wanneer ik een nieuwe code spot kijk ik ook of ik een nieuw apparaat op de wifi zie.
- Omdat veel fabrikanten de mac-adressen van hun apparaten niet updaten heb ik nu het mac adres van iemand met Covid.
Hypothetical 4:
- Ik maak een gratis game voor Android/iPhones.
- Deze app vraagt om bluetooth permissies (want dan kun je een game controller aansluiten).
- Deze app verzamelt allerlei data over de eigenaar van de telefoon via de telefoon API, en je moet ook inloggen met Facebook/etc om de game te kunnen spelen.
- De app houdt ook bij welke Exposure Notification codes het apparaaat uitzendt (kan dat?)
- Alle data verstuur ik naar mijn server, en controleer ik later tegen de lijst van codes van mensen met covid.
- Nu heb ik gedetailleerde profielen van mensen met covid?
Hypothetical 5:
- Hetzelfde als nummer 4, maar nu ben ik Google en maak ik zelf de match tussen uitgezonden EN-codes en mensen met covid, al dan niet on-device.
- Als iemand covid lijkt te hebben, dan markeer ik ze als "heeft interesse in covid zorg" in hun profiel.
- Als databroker kijk ik mee in de bidding requests voor online advertenties, en ontdek ik zo welke personen in Nederland Covid hebben.
- Een paar jaar later zijn de medische gevolgen van het krijgen van Covid in beeld (meer kans op herseninfarcten op latere leeftijd, ik noem maar wat).
- Als databroker verkoop ik profielen van Nederlanders aan verzekeraars waarbij ik het vermoeden dat mensen covid hebben gehad niet expliciet maak maar wel mee laat wegen in een iets breder geformuleerde risico score.
Hypothetical 6:
- Er is een centrale server die verwerkt welke EN-codes covid hebben, en die deze via de API ook weer naar alle telefoons verspreid.
- Aan de IP adressen van telefoons die verbinding maken kan ik (ergens in de keten / MITM) zien welke Nederlanders braaf de app gebruiken.
- Ik weet nu welke IP adressen 'goeie burgers' zijn.
- Aan het soort verbinding dat ze met de API maken kan ik zien of ze enkel de updates komen ophalen, of een ziekte aanmelden.
- Ik weet nu welke IP adressen covid hebben. Er worden dummy-uploads gedaan om dit te maskeren lees ik.
// update: al lees ik
hier dat die dummy uploads eruit te filteren zijn, en uberhaupt alleen worden toegevoegd als er weinig uploads zijn?
Hypothetical 7:
- Vergelijkbaar met 6, maar nu ben ik een router/MITM in het netwerk of een DNS server die bijhoudt welke apparaten contact leggen met de centrale server.
- Deze 'pols' zijn regelmatig zolang de updates opgehaald worden (is dat zo? wanneer wordt er verbinding gelegd om updates op te halen?)
- Ik spot dat een apparaat onregelmatig verbinding maakt, en dus waarschijnlijk een covid ziekte rapporteert.
- Nu weet ik dat iemand in mijn apartementencomplex/hotel/etc covid heeft.
Bij al deze hypotheticals is er ook nog de optie:
- De dataset lekt uit
Alle gekheid op een stokje: mijn punt is dat ik me afvraag in hoeverre de focus op security nu heel erg binnen de specifieke context van de app zelf is gebleven. In hoeverre is erook gekeken naar dit soort eindeloze interacties met andere systemen die in de echte wereld ook kunnen plaatsvinden?
[Reactie gewijzigd door unfold op 22 juli 2024 20:47]