Ứng dụng Theo dõi Tiếp xúc Covid-19 của Ấn Độ Có Thể Lộ Địa Điểm Bệnh Nhân

Trong khi các quốc gia trên thế giới vội vã xây dựng ứng dụng điện thoại thông minh có thể giúp theo dõi sự lan truyền của Covid-19, những người bảo vệ quyền riêng tư đã cảnh báo rằng những hệ thống đó có thể, nếu triển khai không đúng cách, dẫn đến một sự kết hợp nguy hiểm giữa dữ liệu sức khỏe và giám sát số. Ứng dụng theo dõi tiếp xúc mới của Ấn Độ có thể phục vụ như một bài học về những rủi ro về quyền riêng tư đó: Các nhà nghiên cứu an ninh cho biết nó có thể tiết lộ vị trí của những người mắc Covid-19 không chỉ cho chính quyền mà còn cho mọi hacker đủ khéo léo để khai thác nhược điểm của nó.

Nhà nghiên cứu an ninh độc lập Baptiste Robert đã đăng một bài đăng trên blog hôm nay cảnh báo về ứng dụng Health Bridge của Ấn Độ, hay Aarogya Setu, được tạo ra bởi Trung tâm Thông tin Quốc gia của chính phủ. Robert phát hiện rằng một tính năng của ứng dụng, được thiết kế để cho phép người dùng kiểm tra xem có người nhiễm bệnh gần đó hay không, thay vào đó cho phép người dùng làm giả vị trí GPS của họ và biết được có bao nhiêu người báo cáo họ là nhiễm bệnh trong bán kính 500 mét bất kỳ. Ở những khu vực có số báo cáo nhiễm bệnh tương đối ít, Robert nói rằng hacker thậm chí có thể sử dụng một cuộc tấn công tam giác để xác nhận chẩn đoán của người mà họ nghi ngờ là dương tính.

"Những nhà phát triển của ứng dụng này không nghĩ rằng ai đó độc hại sẽ có khả năng chặn các yêu cầu của nó và sửa đổi chúng để có thông tin về một khu vực cụ thể," nói Robert, một nhà nghiên cứu người Pháp nổi tiếng một phần vì tìm ra các lỗ hổng bảo mật trong hệ thống ID quốc gia của Ấn Độ được biết đến với tên gọi là Aadhaar. "Với tấn công tam giác, bạn có thể nhìn rất chính xác ai bị ốm và ai không bị ốm. Thực sự, họ không cân nhắc đến cách sử dụng của ứng dụng này."

Những nhà nghiên cứu an ninh như Robert đã tập trung chú ý vào Aarogya Setu một phần do quy mô lớn của nó. Chính phủ Ấn Độ đã tuyên bố ứng dụng theo dõi tiếp xúc này là bắt buộc đối với nhiều công nhân và đã được tải xuống hơn 90 triệu lần theo các quan chức chính phủ.

Khác với nhiều ứng dụng đang triển khai trên khắp châu Âu hiện nay và sắp tới ở Hoa Kỳ, Aarogya Setu theo dõi chuyển động của những người có khả năng nhiễm bệnh thông qua dữ liệu GPS thay vì chỉ dữ liệu Bluetooth. Điều này có thể là một câu chuyện cảnh báo về cách triển khai lỗi lạc của các ứng dụng theo dõi tiếp xúc - đặc biệt là những ứng dụng dựa vào dữ liệu vị trí - có thể dẫn đến rò rỉ nghiêm trọng của thông tin y tế nhạy cảm.

"Tôi kỳ vọng nhiều ứng dụng theo dõi tiếp xúc sẽ có những vấn đề như vậy, và tôi nghĩ đặc biệt là những ứng dụng dựa vào GPS sẽ xâm phạm quyền riêng tư hơn," nói Ashkan Soltani, một cựu chuyên gia công nghệ hàng đầu của Ủy ban Thương mại Liên bang đã xem xét những phát hiện của Robert và phân tích các ứng dụng theo dõi tiếp xúc khác. "Khi bạn kết nó với điều gì đó như tình trạng sức khỏe, không có gì ngạc nhiên khi những loại suy luận này có thể được đưa ra."

Robert đầu tiên nhận ra vấn đề về quyền riêng tư của Aarogya Setu khi anh ta phân tích một tính năng kiểm tra báo cáo về những người nhiễm bệnh trong một bán kính nhất định. Anh ta phát hiện ra rằng bằng cách bắng những yêu cầu đó từ laptop của mình, anh ta có thể đơn giản là làm giả địa điểm của mình, thay đổi các truy vấn để hỏi về số người nhiễm bệnh trong bán kính 500 mét xung quanh bất kỳ vĩ độ và kinh độ nào.

Khả năng làm giả địa điểm GPS đó là đủ làm lo lắng. Nếu ai đó sống ở khu vực hẻo lánh, họ có thể dễ dàng được xác định là dương tính với Covid-19. Nhưng Robert cho rằng lỗi có thể cũng được sử dụng để thực hiện một kỹ thuật được biết đến là tam giác hoặc tam tuyến, tìm kiếm tình trạng Covid-19 được báo cáo của người nào đó ở một địa điểm có mục tiêu cụ thể hơn.

Nếu một hacker nghi ngờ rằng ai đó có Covid-19, họ có thể kiểm tra một loạt các khu vực tròn 500 mét trùng nhau xung quanh mục tiêu của họ, cẩn thận đặt trung tâm của những vòng tròn đó sao cho chúng không che phủ nhà của mục tiêu, nhưng sao cho mép của những vòng tròn tạo ra một biên giới xung quanh nó. Nếu mỗi khu vực bán kính 500 mét đó chứa số người nhiễm bệnh là không, hacker sau đó sẽ vẽ một vòng tròn mới, lần này đặt trung tâm của nó trên nhà của người đó. Nếu số người bệnh tăng lên một, hacker có thể suy luận rằng có một người nhiễm bệnh ở địa điểm được xác định hẹp hơn. "Nếu tôi muốn biết liệu người trong một căn nhà có bị bệnh không, tôi có thể vẽ một ranh giới xung quanh nó và ứng dụng sẽ cho tôi kết quả," Robert nói.

Mẹo này có những hạn chế nghiêm trọng. Tuy Robert nói rằng nó có thể được sử dụng để xác định vị trí của một người nhiễm Covid-19 chỉ xuống một vài mét trong mỗi chiều, điều đó sẽ phụ thuộc chủ yếu vào độ chính xác của các đo lường của ứng dụng. Robert nói anh ta không thử nghiệm kỹ thuật đầy đủ, một phần để tránh vi phạm quyền riêng tư. "Tôi chỉ thử nghiệm tối thiểu để xác nhận nó đang hoạt động," anh ấy nói.

Tam giác cũng sẽ hiệu quả nhất khi một người nghi ngờ tích cực Covid-19 là trường hợp báo cáo duy nhất trong một bán kính khoảng một kilômét. Điều kiện cuối cùng này không phải là không thể như có vẻ, ít nhất là hiện tại; mặc dù mật độ dân số cao của Ấn Độ, Robert kiểm tra các khu vực bán kính 500 mét ở trung tâm Delhi và thấy rằng trong hầu hết các trường hợp chỉ có một hoặc hai người đã báo cáo là dương tính với Covid-19. Những nơi nông thôn có thể là mục tiêu dễ dàng hơn.

Cả Trung tâm Phản ứng Khẩn cấp Máy tính của Ấn Độ và Trung tâm Thông tin Quốc gia của nó đều không trả lời yêu cầu ý kiến của Mytour. Nhưng một tài khoản Twitter của nhóm phát triển đằng sau ứng dụng đã đăng một tuyên bố, khẳng định rằng "không có thông tin cá nhân nào của bất kỳ người dùng nào đã được chứng minh là có nguy cơ," và "không xác định có bất kỳ dữ liệu hoặc vi phạm bảo mật nào đã được xác định." Tuyên bố cũng dường như cho rằng khả năng của người dùng làm giả địa điểm khác nhau là một tính năng chứ không phải là lỗi: "Người dùng có thể thay đổi vĩ độ/kinh độ để nhận dữ liệu cho nhiều địa điểm khác nhau."

Tuyên bố không đề cập đến khả năng nhắm mục tiêu người dùng thông qua tam giác, nhưng lại nói rằng một tường lửa ứng dụng web giới hạn tần suất các yêu cầu mà người dùng có thể thực hiện từ ứng dụng. Nhưng Robert chỉ ra rằng kỹ thuật tam giác có thể chỉ đòi hỏi ít hơn 10 lần đọc vị trí liên tục, điều mà anh ta thấy mình có thể dễ dàng thực hiện trong quá trình thử nghiệm. Với nhiều đo lường hơn, có thể từ nhiều tài khoản để vượt qua tường lửa của ứng dụng, một hacker có thể xác định tình trạng Covid-19 của một mục tiêu với sự chắc chắn hơn.

Cựu chuyên gia công nghệ của FTC Soltani lập luận rằng, ngay cả khi có lỗ hổng tam giác, ứng dụng của Ấn Độ vẫn làm những hy sinh quyền riêng cơ bản hơn do tính năng theo dõi vị trí GPS của nó. "Đây là cách sử dụng đúng đắn: Bạn có thể xem nơi mà người ta nhiễm bệnh, đó là điều chúng ta coi là vi phạm quyền riêng tư nhưng cũng là nhu cầu sức khỏe cộng đồng," Soltani nói. "Cách sử dụng đúng đắn của các ứng dụng là xâm phạm quyền riêng tư."

Vấn đề về vị trí đã là điểm gai riêng biệt trong các cuộc tranh cãi giữa các nhà phát triển tập trung vào ứng dụng theo dõi tiếp xúc và những người ủng hộ quyền riêng tư. Khi các vết dính của virus corona mới để lại trên bề mặt có thể làm nhiễm trùng người—điều được gọi là "truyền nhiễm môi trường"—một số nhà phát triển ứng dụng đã lập luận rằng việc đo đạc sự gần gũi giữa người dùng chỉ với Bluetooth không đủ để bắt kịp tất cả các khả năng tiếp xúc. Nhưng việc theo dõi vị trí, ngay cả khi nó được thực hiện an toàn hơn so với trường hợp của Aarogya Setu, có thể cho phép chính quyền biết về di chuyển của người dân, có thể tiết lộ các hoạt động nhạy cảm từ việc ngoại tình đến các nhóm phản đối chính trị. Ngay cả các kế hoạch mật mã phức tạp cũng không thể bảo vệ hoàn toàn khỏi sự lạm dụng của các hệ thống theo dõi vị trí đó.

Nhưng Robert lập luận rằng vượt quá những câu hỏi sâu xa về quyền riêng tư và đối thoại về sức khỏe cộng đồng trong các ứng dụng theo dõi tiếp xúc, nhược điểm của Aarogya Setu chỉ ra rằng ở một số trường hợp, các nhà phát triển thậm chí còn không xây dựng các ứng dụng với các biện pháp bảo mật cơ bản. "Những gì tôi tìm thấy rất dễ thực hiện, và tôi không hiểu tại sao không ai nhìn vào trước tôi," Robert nói. "Chúng ta cần những công cụ mới để chiến đấu Covid-19. Chúng ta đang trong một tình huống khẩn cấp. Nhưng chúng ta vẫn cần phải xây dựng với an ninh và quyền riêng tư trong tâm trí."

Thêm từ Mytour về Covid-19

• “Hãy cứu một số sinh mạng”: Hành trình của một bác sĩ trong đại dịch
• Bên trong những ngày đầu của sự che đậy đại dịch coronavirus ở Trung Quốc
• Một lịch sử miệng về ngày mọi thứ thay đổi
• Đại dịch coronavirus làm thay đổi biến đổi khí hậu như thế nào?
• Câu hỏi thường gặp và hướng dẫn của bạn đối với mọi thứ về Covid-19
• Đọc tất cả bài viết của chúng tôi về bảo vệ coronavirus ở đây