COVID-19 Kontaktverfolgung: Wie sieht es mit der sicheren Kodierung aus?

Eine Version dieses Artikels erschien ursprünglich in DevOps Digest. Er wurde aktualisiert und hier syndiziert.

An diesem Punkt sind wir sicher alle ein wenig müde von der Phrase, "in diesen beispiellosen Zeiten"... aber, dies sind wirklich beispiellose Zeiten. Wer hätte Ende letzten Jahres gedacht, dass wir in diesem Jahr gegen eine weltweit zerstörerische Pandemie antreten und alles daran setzen würden, sie zu besiegen? Es wäre fast lächerlich und eher wie eine neue Netflix-Science-Fiction-Serie als Teil unserer weltweiten Realität erschienen. COVID-19 hat unser soziales Leben, unsere Wirtschaft und die Sicherheit unserer Arbeitsplätze völlig verändert, ganz zu schweigen von den politischen Prioritäten.

Einer der Gegenangriffe gegen COVID-19 ist die Technologie: Viele Länder haben Apps zur Kontaktverfolgung eingeführt. In Australien gibt es COVIDSafe nach dem Vorbild von TraceTogether aus Singapur. Hongkong, Taiwan, China, Südkorea, Israel und Deutschland haben alle eine Technologie zur Kontaktverfolgung implementiert oder sind dabei, diese einzuführen. Großbritannien ist die am stärksten betroffene Region in Europa, mit zehntausenden von virusbedingten Todesfällen und einer hohen Infektionsrate. Die Veröffentlichung ihrer App steht unmittelbar bevor. In den USA - die ebenfalls stark betroffen sind und in denen viele Menschen auf tragische Weise ihr Leben verloren haben - ist die Technologie ebenfalls im Einsatz, aber der bundesstaatliche Ansatz zur Kontaktverfolgung macht die Situation dort sehr komplex.

Mit Ausnahme von eher staatlich kontrollierten Ländern wie China und Taiwan ist die Nutzung dieser Apps freiwillig, sodass die Bürger die Technologie aus eigenem Antrieb herunterladen und nutzen müssen. Einige Adoptionsraten sind erfolgreicher als andere; zum Beispiel hatte die TraceTogether-App in Singapur eine Adoptionsrate von 25 %, was sie für den gewünschten Zweck ziemlich ineffektiv macht.

Die Idee hinter Apps zur Kontaktverfolgung ist gut. Diese Technologie würde, wenn sie gut funktioniert, sicherstellen, dass Hotspots schnell aufgedeckt werden und umfassende Tests durchgeführt werden können - beides wesentliche Komponenten im Kampf gegen die Verbreitung eines ansteckenden Virus. Allerdings klingen die Worte "Regierung" und "Rückverfolgung" nicht gerade sehr einladend, und es ist natürlich, dass die Menschen vorsichtig sind, was das Herunterladen von so etwas tatsächlich für sie bedeuten würde.

Was sind also die Hauptbedenken der Anwender? Wenn man den Online-Kommentaren Glauben schenken darf, dann gehören zu diesen Bedenken einige:

• Mangelndes Vertrauen in die Regierung, gesammelte Daten verantwortungsvoll zu nutzen
• Besorgnis darüber, wie gut persönliche Daten vor Cyberangriffen geschützt werden
• Unklarheit darüber, welche Daten tatsächlich gesammelt werden, wo sie gespeichert werden und mit wem
• ... und für die Entwickler/Geeks unter uns, wie solide die Apps tatsächlich gebaut sind.

Es ist immer ein bisschen beunruhigend, wenn Apps schnell gebaut werden, und diese Kontaktverfolgungs-Apps müssen in Rekordzeit ausgerollt werden. Es ist ein Albtraum für Entwickler, Sicherheitsleute und Behörden.

Ist Misstrauen also eine berechtigte Reaktion? Und was sollten wir als Priorität in unserer assessment von COVID-19 Kontaktverfolgungs-Apps und der Sicherheit der Endbenutzer betrachten? Als Sicherheitsexperte ist mein Instinkt natürlich, die Cybersecurity-Elemente des Programms zu untersuchen, nämlich wie sicher die Codebasis für eine App ist, zu deren Installation wir alle (mit den besten Absichten) gedrängt werden.

Viele der Apps sind Kopien voneinander (und erben die gleichen Probleme).

Die australische COVIDSafe-App basiert im Wesentlichen auf OpenTrace, ebenso wie die TraceTogether-Software in Singapur. Das Problem ist jedoch, dass TraceTogether eine Reihe von gemeldeten Problemen und eine schlechte Akzeptanz hatte, mit nur 25 % der Bevölkerung als Nutzer - weit entfernt von den 75 %, die erforderlich sind, damit es effektiv ist. Es gab Beschwerden über die allgemeine Leistung, vor allem unter iOS, einschließlich der Tatsache, dass die Batterien sehr schnell entladen werden. COVIDSafe hat einen potenziellen UX-Fehler in seiner iOS-Version, da das Telefon entsperrt sein muss und die App im Vordergrund laufen muss, um alle Daten korrekt aufzuzeichnen.

Während die oben genannten Probleme ärgerlich sind, ist die dringendere Sorge, dass Bluetooth-Schwachstellen weit verbreitet sind und weder TraceTogether noch das australische COVIDSafe immun gegen sie sind. Am 14. Mai berichtete das NIST, dass COVIDSafe eine Denial-of-Service-Schwachstelle aufweist, die es einem Angreifer ermöglicht, die App aus der Ferne zum Absturz zu bringen, wenn er sich in Bluetooth-Handshake-Distanz befindet. Dies würde es einem organisierten Angriff ermöglichen, die Kontaktverfolgung in dicht besiedelten Gebieten zu unterbrechen, wo sie am nützlichsten ist - etwas, das der Sicherheitsforscher Richard Nelson im Detail erklärt. Es ist bekannt, dass COVIDSafe, TraceTogether, das polnische ProteGO und das kanadische ABTraceTogether betroffen sind - sie alle erben das Problem vom fehlerhaften manuData.subdata-Aufruf von OpenTrace.

Es gibt auch andere Datenschutz- und Sicherheitsprobleme, die mit der Bluetooth-Funktionalität im Allgemeinen zusammenhängen. Die Tatsache, dass diese Technologie verwendet wird, um menschliche Bewegungen durch eine eindeutige ID (TempID) zu verfolgen und aussagekräftige Daten zu sammeln, wird unweigerlich zu einem erhöhten Interesse von Angreifern führen, die nach Schwachstellen suchen. An diesem Punkt muss genau untersucht werden, was gesammelt wird, wo es gespeichert wird und für wie lange.

Einige Apps zeigen bereits Anzeichen für einfache Fehler, die komplexe Schwachstellen verursachen.

Der australische Software-Ingenieur Geoffrey Huntley hat den Quellcode von COVIDSafe untersucht, und leider gibt es Probleme, die uns, den Endbenutzern, nicht unbedingt aufgezeigt werden.

Ein kritisches Beispiel war ein die Privatsphäre verletzender Logikfehler, der es einem Angreifer ermöglichen würde, eine Langzeitverfolgung von Geräten durchzuführen; etwas, das ein enormes Risiko für gefährdete Benutzer darstellt, ganz zu schweigen davon, dass es gegen die Datenschutzbestimmungen der App selbst verstößt.

Es ist wichtig anzumerken, dass diese logischen Schwachstellen seit dem 14. Mai gepatcht wurden, aber das dringendere Problem ist, dass diese Schwachstelle 17 Tage lang ungepatcht blieb, nachdem Herr Huntley sie gemeldet hatte. Er und andere Mitglieder der awesome-Sicherheits-Community verfolgen die CVEs im Zusammenhang mit der COVIDSafe-App hier.

Eine Sache, auf die Huntley nach dem Patch hinweist, ist, dass selbst der Fix Anzeichen von, nun ja, Inkompetenz zeigt. In seinem öffentlichen Log vermerkt er, dass der Patch eine zusätzliche Logik beinhaltete, anstatt einfach einen fehlerhaften Cache zu löschen, wobei letzteres eine weitaus robustere Lösung ist. Beides funktioniert, aber der Live-Lösung fehlt es an Finesse - ein Problem bei einer so wichtigen Anwendung.

Obwohl wir fleißige Mitglieder der Gesellschaft haben, die ihre eigene Zeit und ihr Fachwissen einsetzen, um den Quellcode zu durchforsten und auf Probleme hinzuweisen, wird ihre Arbeit viel schwieriger gemacht, als wenn der Code von vornherein Open Source wäre. So wie es aussieht, sind 28 Apps immer noch für Sicherheitsforscher gesperrt.

Die sichere Kodierung bringt uns immer wieder ins Stolpern.

Auch wenn ich sicherlich Verständnis für überarbeitete Entwickler habe - ebenso wie für die höchst ungewöhnliche Situation, eine lebensrettende App inmitten einer Pandemie herausbringen zu müssen - sollte das oben Gesagte verdeutlichen, dass ein paar einfache Schwachstellen in einer im Wesentlichen gemeinschaftlichen Codebasis erhebliche Probleme für Millionen von Benutzern bedeuten können.

Ich würde gerne glauben, dass die meisten Leute gute Bürger sein wollen, die App unterstützen und jedem die bestmögliche Chance geben wollen, Kontakte aufzuspüren und Ausbrüche dieses schrecklichen Virus zu kontrollieren. Auch ich unterstütze Technologie, die dabei helfen kann, dies zu erreichen, aber in vielerlei Hinsicht hat dies den allgemeinen Mangel an sicheren Codierungsprinzipien bei Entwicklern auf der ganzen Welt zutage gebracht.

In jeder Situation, in der Software schnell geschrieben werden muss, sind Fehler nicht gerade unerwartet. Gängige Sicherheitslücken wie Logikfehler, Fehlkonfigurationen und Code-Injection-Fehler sollten jedoch bereits beim Schreiben des Codes verhindert werden können und nicht erst, nachdem freiwillige White Hats die Codebasis auseinandergenommen haben.

Und es ist nicht die Schuld der Entwickler, nebenbei bemerkt. Sie verlassen ihre Hochschulausbildung mit wenig Kenntnissen in sicherer Programmierung, und in ihrer Karriere beziehen sich ihre KPIs fast immer auf die Funktionalität der Funktionen und die Geschwindigkeit der Bereitstellung - um die Sicherheit muss sich jemand anderes kümmern, wenn sie fertig sind. Wir müssen einen Endzustand erreichen, in dem die sichere Programmierung schnell erfolgt. Auch wenn jetzt nicht die Zeit ist, in den Abteilungen, die diese Apps entwickeln, einen seismischen Kulturwandel herbeizuführen, so ist es doch eine rechtzeitige Erinnerung daran, dass sich unser digitaler Risikobereich ausweitet und sie sich in der Pole-Position befinden, um einen Unterschied zu machen, wenn sie die Werkzeuge und das Wissen erhalten, um die Verantwortung für die besten Sicherheitsverfahren zu teilen.

Ist es sicher, die App herunterzuladen?

Die Sache ist die: Für mich, einen Sicherheitsexperten, bin ich zu dem Schluss gekommen, dass die Vorteile der App die Probleme überwiegen. Es ist nicht ideal, dass die oben genannten Schwachstellen in dieser Software vorhanden sind - oder waren -, aber die Auswirkungen, wenn diese als Waffe eingesetzt werden, sind das Worst-Case-Szenario. Im Moment ist die Kontaktverfolgung ein wichtiger Bestandteil, um unsere medizinischen Helden auf der ganzen Welt dabei zu unterstützen, die Ausbreitung zu kontrollieren, den Fluss der Krankenhauseinweisungen einzudämmen und sich gegenseitig so sicher wie möglich zu halten.

Es zeigt, dass wir noch einen weiten Weg vor uns haben, wenn es darum geht, bewährte Sicherheitspraktiken standardmäßig in einem Software-Build zu implementieren, und dass es wichtig ist, dass die Öffentlichkeit die nötigen Informationen erhält, um fundierte Entscheidungen zu treffen.

Meine Familie und ich werden es weiterhin verwenden, obwohl wir wachsam bleiben und unsere Android-Patches auf dem neuesten Stand halten, wie wir es alle tun sollten.