Auf Twitter hat @fs0c131y kürzlich eine Analyse zu COVID-19 Gov PK, der pakistanischen Corona-App, geschrieben. Ich fasse die Inhalte unten zusammen.
Die App ist keine klassische Contact-Tracing-App, sondern gibt einfache Informationen zu Provinzen, man kann eine Selbsteinschätzung machen, Alarme für Regionen einstellen und sich an Hygieneregeln erinnern lassen. Sie wurde vom National Information Technology Board entwickelt und kann beispielsweise über den Playstore installiert werden. Die pakistanische Regierung betreibt eine eigene Webseite, wo Informationen zu COVID-19, Corona und anderem bereit gestellt werden. Der erste Aufruf der App geht dann auch zu der Webseite. Auf http://covid.gov.pk/api/statistics werden aktuelle Statistiken heruntergeladen. Natürlich ohne Verschlüsselung über HTTP.
Die Kommunikation der App läuft dann schließlich über die Domain covidappapi1.nitb.gov.pk. Der Username und das dazugehörige Passwort sind fest in der Anwendung hinterlegt:
- User:
CovidAppUser - Passwort:
CovidApi!@#890#
Wenn dann später Anfragen gestellt werden, so wird eine andere Kombination verwendet:
- User:
ApiUser - Passwort:
ApiUser@1234#
Das allein reicht schon für einen ordentlichen Facepalm. Aber es wird noch besser.
Über einen »Radius Alert« kann man sich über Fälle in der näheren Umgebung warnen lassen. Falls es Fälle gibt, werden die mit roten Stecknadeln auf einer Karte gekennzeichnet. Schat man in die Kommunikation, enthält diese u.a. die zwei Lat und Long. Diese enthalten Länge und Breite, also die genauen Ortsangaben der erkrankten Person. Deren Privatsphäre scheint nicht so wichtig zu sein. 🙂
Während also die Daten der App-Benutzer so leidlich geschützt werden, ist die für die Erkrankten nicht der Fall.