EU utreder möjligheten till missbruk av det gränssnitt som coronaapplikationerna använder – fortfarande säkert att använda Coronablinkern
EU utreder en eventuell informationssäkerhetslucka i Android-telefonernas coronaapplikationer som använder sig av Googles gränssnitt och Google Play-tjänster. Tills vidare har det inte framkommit att gränssnittet skulle ha använts för fel ändamål. Också applikationen Coronablinkern som används i Finland använder gränssnittet i fråga.
"Coronablinkern kan fortfarande användas på ett säkert sätt. Vi har inte fått kännedom om missbruk i anslutning till den eller till coronaapplikationer som används i andra länder. EU utreder en eventuell informationssäkerhetslucka i samarbete med Google", säger Aleksi Yrttiaho, direktör för informationstjänsterna vid THL.
Problemet gäller sporadiska identifikationskoder
Utredningsarbetet inleddes när ett amerikanskt datasäkerhetsbolags rapport fäste uppmärksamhet vid att de sporadiska identifikationskoder som Google byter ut i telefonerna förutom i det EN-gränssnitt som applikationen använder även sparas i telefonens skyddade systemloggar.
Enligt gränssnittets definitioner skulle de sporadiska koderna inte sparas någon annanstans än i gränssnittet i 14 dygn. EU-länderna har krävt att Google korrigerar detta snabbt.
I Finland gick man i augusti 2020 både i samband med genomförandet av Coronablinkern och med Cybersäkerhetscentrets utvärdering igenom riskerna i anslutning till gränssnittet. Den eventuella informationssäkerhetsluckan som nu uppdagats framkom då och arbetsgruppen för Coronablinkern påpekade detta för Google.
THL och Cybersäkerhetscentret ansåg att de observerade riskerna är så osannolika att de kan godkännas.
Missbruk är osannolikt
För att följa exponeringen använder Coronablinkern Apples och Googles EN-gränssnitt, som skickar och tar emot sporadiska identifikationskoder mellan telefoner.
De sporadiska identifikationskoderna är anonyma nyckeltal som byts ut med 10–20 minuters mellanrum. Applikationsanvändaren kan inte identifieras med en enskild kod och därför är det inte farligt i sig om koderna avslöjas. Om koder samlas in från flera enheter och kopplas till annan information finns det en teoretisk möjlighet att avslöja identiteten.
Vanliga användare och applikationer har inte åtkomst till den skyddade systemloggen där koderna har sparats i Googles telefoner. Vissa av telefontillverkarnas egna förinstallerade program kan se loggens innehåll och dessutom kan innehållet avslöjas vid fel. Detta är dock mycket ovanligt.
Mer information:
Aleksi Yrttiaho
direktör för informationstjänster
THL
[email protected]
