Um bug do Android permite que alguns aplicativos acessem incorretamente os dados de rastreamento do COVID-19
Uma falha de privacidade na versão Android do aplicativo de notificação de exposição COVID-19 da Apple e do Google permitiu que outros aplicativos pré-instalados vissem dados confidenciais, inclusive se os usuários tivessem contato com uma pessoa positiva para COVID. O Google agora está trabalhando para lançar uma correção.
A empresa de análise de privacidade AppCensus notou o bug pela primeira vez em fevereiro e o relatou ao Google. No entanto, de acordo com o The Markup, o Google não conseguiu resolver o problema na época. O bug vai contra várias promessas feitas pelo CEO da Apple, Tim Cook, pelo CEO do Google, Sundar Pichai, e por várias autoridades de saúde pública de que os dados coletados do aplicativo de exposição não seriam compartilhados além do dispositivo de um indivíduo.
“A correção é uma coisa de uma linha em que você remove uma linha que registra informações confidenciais no log do sistema. não afeta o programa, não muda a forma como funciona", disse Joel Reardon, cofundador e líder forense da AppCensus na mesma entrevista ao The Markup. não era visto assim."
O artigo também compartilhou uma citação do porta-voz do Google, José Castañeda, que afirmou: “Fomos notificados de um problema em que os identificadores Bluetooth estavam temporariamente acessíveis a aplicativos específicos no nível do sistema para fins de depuração e imediatamente começamos a lançar uma correção para resolver isso”.
Para que o sistema de notificação de exposição funcione, ele precisa pingar os sinais Bluetooth anônimos dos dispositivos com o sistema ativado. Então, no caso de um dos usuários testar positivo para COVID-19, ele trabalha com as autoridades de saúde para enviar um alerta a outros usuários que entraram em contato com essa pessoa com sinais correspondentes que estão registrados na memória do telefone.
O problema é que, em telefones Android, os dados de rastreamento de contratos são registrados na memória privilegiada do sistema. Embora a maioria dos aplicativos e softwares executados nesses dispositivos não tenham acesso a isso, os aplicativos pré-instalados por fabricantes como Google, LG ou Verizon têm privilégios especiais de sistema que permitem acessar esses logs de dados, tornando-os vulneráveis.
No entanto, o AppCensus não encontrou indicações de que nenhum aplicativo pré-instalado tenha coletado dados, nem descobriu que esse fosse o caso do sistema de notificação de exposição em iPhones. O diretor de tecnologia da empresa, Serge Egelmen, enfatizou no Twitter que o bug é um problema de implementação e não culpa do sistema de notificação de exposição e que deve prejudicar a confiança do público nas tecnologias de saúde pública.
via The Verge