La magie du masque électronique: analyse du système de notifications d'exposition COVID

Comment tout a commencé

De nombreux amis m'ont demandé de consulter une application tchèque de suivi des personnes infectées par Covid, appelée eRouška (traduction littérale du tchèque eMask). Il y a beaucoup de rumeurs autour de cette application. Par exemple, qu'un gouvernement maléfique a décidé d'établir un contrôle total sur ses citoyens et leur impose cette application. Je ne suis pas du tout un théoricien du complot, mais c'est devenu vraiment intéressant. L'application utilise Bluetooth pour communiquer avec d'autres appareils à portée. Il écrit ces données dans sa base de données et reçoit des mises à jour du serveur. S'il y a eu contact avec un infecté, il envoie une alerte. Selon la rumeur, après cette notification, ils seraient immédiatement mis en quarantaine. 

Histoire

La première version de l'application était tout simplement horrible, comme toutes les applications de ce type développées dans différents pays. L'application n'a pas pu entrer dans l'App Store pendant très longtemps, seulement après environ un mois, les développeurs ont réussi à le terminer d'une manière ou d'une autre. Ensuite, il s'est avéré que cela ne fonctionnait pas vraiment sur les appareils Apple, cela ne faisait que dévorer la batterie. Pour s'inscrire sur le serveur, il était nécessaire de saisir un numéro de téléphone et de recevoir un SMS dessus. Cela a déjà permis au ministère de la Santé de savoir qui avait des contacts avec les personnes infectées. Cette application n'a pas reçu beaucoup de popularité et le gouvernement tchèque a été contraint d'admettre que le projet avait échoué. 

Google et Apple

Après avoir examiné ce désordre, Google et Apple ont décidé de travailler ensemble et ont créé leur propre API pour écrire des applications similaires. Ce qui, d'ailleurs, a donné lieu à la deuxième vague de théories du complot. Par exemple, après la mise à jour d'iOS vers la version 13.5, un paramètre terrible est apparu: les notifications d'exposition, et même avec l'icône du coronavirus.

5G, , – . « ».  API  .  API   eRouška.  « » , . ,  AES, SHA-256  HMAC, !

, . , ,  Apple  Google.  Google,  Google Play. , . , . , . 

Bluetooth

«» BLE (Bluetooth Low Energy Beacon). -, . 2013  Apple  iBeacon, 2019,  iOS 13,  Find My. , . Bluetooth  broadcast , . , , - , . , . 

,  SMS- . , ,  API Exposure Notifications. .  Temporary Exposure Key (TEK) – 16 . , .  Rolling Proximity Identifier (RPI). 10 , .  TEK   HKDF  .

: RPI Key  AEM Key.  RPI  , 10- .  AEM  . , metadata  . ,  padding-  RPI .  RPI  TEK  , . 

 RPI

TEK  , , . , , .  Google Play  :

, 14:

— , . : export.bin  export.sig.  protobuf  , , ,  TEK. 14 , , 2 . , 31 , , . . 

,  TEK,  RPI   Bluetooth, . , , , , . ,  eRouška , 15 , 2 . -. . .  TEK  , « ». ,  TEK, ,  RPI, . .

. . , :

  1. . . , . , . , , . . 

  2. - , .  SMS : , ,  eRouška. . . . , . 

, : . , .  BLE  . , - , . , , , , . 

 Google Play, .  iOS , , . , 12-15% . , , . , , 15664 , 500 . - , , . 

« , …» , , . « ». , . , , . , , . , , . , iPhone  , . , , .  GPS  , , .  RPI,  BLE beacons, , . , , , . , . , -, . , , . , . 

Par conséquent, prenez soin de vos données. Utilisez des appareils modernes, définissez des mots de passe forts, ne laissez pas un appareil déverrouillé sans surveillance. Ces conseils sont universels et seront utiles dans toutes les situations. Et ne tombez pas malade, bien sûr!

Liens connexes:

API pour les notifications d'exposition

Spécification de la cryptographie

Notification d'exposition (Apple)

eRouška




All Articles