{"id":4945,"date":"2020-05-27T10:13:09","date_gmt":"2020-05-27T08:13:09","guid":{"rendered":"https:\/\/gilbertbrands.de\/blog\/?p=4945"},"modified":"2020-05-27T10:13:10","modified_gmt":"2020-05-27T08:13:10","slug":"die-covid19-app","status":"publish","type":"post","link":"https:\/\/gilbertbrands.de\/blog\/2020\/05\/27\/die-covid19-app\/","title":{"rendered":"Die Covid19-App"},"content":{"rendered":"\n

Zu der \u00dcberwachungs-App kursieren zur Zeit eine Menge Ger\u00fcchte. Ich kann zwar auch nur sozusagen einen Screenshot liefern, versuche aber mal, ein wenig Technik einzubringen.<\/p>\n\n\n\n\n\n\n\n

So ein Mobilphone verf\u00fcgt \u00fcber eine ganze Reihe von Kommunikationsm\u00f6glichkeiten: \u00fcber das Mobilfunknetz, \u00fcber ein WLAN, \u00fcber Bluetooth und \u00fcber NFC. Zus\u00e4tzlich kann \u00fcber GPS auch der Standort festgestellt werden. Interessant f\u00fcr die \u00dcberwachungs-App ist die Bluetooth-Schnittstelle, da sie den Bereich bis etwa 10 m abdeckt (NFC ca. 10 cm). Das sind nat\u00fcrlich nur die normalen Reichweiten; milit\u00e4rische und auf Spionage getrimmte Ger\u00e4te k\u00f6nnen auch gr\u00f6\u00dfere Entfernungen \u00fcberbr\u00fccken.<\/p>\n\n\n\n

Ist Bluetooth aktiviert, senden die Ger\u00e4te periodisch ihre MAC-Adresse aus, an der sie eindeutig identifiziert werden k\u00f6nnen. Erkennen sie andere Ger\u00e4te in Reichweite, werden diese zum Verbinden angeboten. Die Verbindung muss vom Nutzer authorisiert werden. Was dann passiert, ist Sache der App, die die Schnittstelle nutzt. Die Sicherheitsma\u00dfnahmen auf der unteren Ebene sind minimal, so dass die Sicherheit einer Bluetooth-Verbindung von den Sicherungsma\u00dfnahmen der nutzenden App abh\u00e4ngen. Schlechte Apps = Eindringm\u00f6glichkeiten f\u00fcr Angreifer in geeigneter Entfernung.<\/p>\n\n\n\n

In dieser Funktionalit\u00e4t fehlt allerdings die Entfernungserkennung, die ja gerade f\u00fcr die Covid-App gew\u00fcnscht wird. Die Hersteller sind daher zun\u00e4chst einmal gezwungen, die Programmierung so zu \u00e4ndern, dass neben den Verbindungsdaten auch die Entfernungsdaten zug\u00e4nglich werden. Das ist im wesentlichen die Covid19-API, die derzeit mit Updates auf die Mobiltelefone aufgespielt wird. Wichtig ist hierbei: das ist eine API, also ein Application Interface und keine App, also keine Application selbst.<\/p>\n\n\n\n

Zus\u00e4tzlich sind ein paar Modifikationen durchgef\u00fchrt worden, um die Identifizierung einer Person zu erschweren: die API erzeugt wechselnde Identifikationsnummern anstelle der festen MAC-Adresse und benutzt eine andere Bluetooth-Variante mit geringerem Energieverbrauch. Da die App-Programmierer die API kennen m\u00fcssen und Google\/Apple nicht wie Bill Gates‘ Firma Kleinweich (Windoofs) auf Geheimhaltung setzt, ist nat\u00fcrlich alles ordentlich dokumentiert (hoffe ich zumindest: https:\/\/www.google.com\/covid19\/exposurenotifications\/<\/a>). <\/p>\n\n\n\n

Auf diese Schnittstelle muss nun die eigentliche App, die noch in der Mache zu sein scheint, zugreifen. Deren Aufgabe besteht nun darin, die wechselnden IDs des eigenen Ger\u00e4tes und der in der N\u00e4he befindlichen auszulesen und an einen zentralen Server zu \u00fcbertragen, wo alles unter einer weiteren festen IP gespeichert ist. Werden nun zus\u00e4tzliche Informationen wie „ich habe Corona-Schnupfen“ \u00fcbertragen, k\u00f6nnen die Kontaktpersonen informiert werden. Bis dahin alles anonym. So weit die Theorie.<\/p>\n\n\n\n

\n\n\n\n

Der derzeitige Deaktivierungs-Hype, der durch die Blogs rauscht, betrifft daher zun\u00e4chst nur die Covid19-API. Die kann man aber nicht l\u00f6schen, weil sie ein Betriebssystembestandteil sind (weshalb das auch Samsung, Huawei, Apple usw. aufspielen und nicht Google selbst oder irgendein App-Programmierer). Man kann nur der nachgeschalteten App das Leben nur schwerer machen, indem man beispielsweise die gespeicherten Daten im API-Umfeld l\u00f6scht. <\/p>\n\n\n\n

Bluetooth muss auf dem Smartphone aktiviert sein, damit die API funktioniert – so zumindest die Hersteller. Darauf muss man sich zun\u00e4chst einmal verlassen. Dass das nicht immer so ist, beweisen die Silent-SMS-Funktionen, die eine Ortung selbst von ausgeschalteten Ger\u00e4ten erlauben. Allerdings stecken die im Gegensatz zu den hier betroffenen Funktionen nicht in \u00f6ffentlichen Codeteilen. Wer also ein Tracking verhindern m\u00f6chte, sollte zun\u00e4chst einmal Bluetooth ausschalten, wenn er es nicht ben\u00f6tigt. Ob dennoch etwas aufgezeichnet wird, l\u00e4sst sich vermutlich durch eine Speicheranalyse feststellen. Das w\u00fcrde vermutlich relativ schnell auffallen und f\u00fcr b\u00f6se Publicity sorgen.<\/p>\n\n\n\n

Kritischer wird dann die App werden. Die k\u00f6nnte neben den Zufalls-IDs auch die MAC, den Standort und weitere Daten auslesen und an den Server melden, was dann den zentralen Server tats\u00e4chlich in die Lage versetzen w\u00fcrde, zu analysieren, wer mit wem und wo wie lange geredet hat. Das Einschalten des Mikrofons und der Kamera w\u00e4ren dann der n\u00e4chste Schritt in der totalen \u00dcberwachung. Das soll nat\u00fcrlich nicht passieren, weshalb Apps \u00fcber die App-Stores von Apple und Google installiert werden und diese beiden Unternehmen vorher kontrollieren, ob sich die App-Anbieter an bestimmte Konventionen halten. Auch hier kann man nat\u00fcrlich bef\u00fcrchten, dass die Kontrolleure bei bestimmten App-Anbietern die Augen etwas zudr\u00fccken oder die letzteren Wege finden, die Sicherheitskontrollen zu umgehen.<\/p>\n\n\n\n

\n\n\n\n

Entscheidend f\u00fcr Misstrauen ist f\u00fcr mich, dass der Staat seine dreckigen Finger im Getriebe hat. Firmen wollen mir etwas verkaufen und das k\u00f6nnen sie in der Regel nur, wenn sie mit offenen Karten spielen. Staaten wollen mich verkaufen und das erreichen sie, indem sie betr\u00fcgen. In beiden F\u00e4llen kann man das Risiko mit etwas Sorgfalt halbwegs einsch\u00e4tzen: bei Unternehmen das Risiko, dass sie mir etwas anderes verkaufen als sie vorgeben, beim Staat das Risiko, dass er ausnahmsweise einmal nicht betr\u00fcgt. <\/p>\n\n\n\n

Als letzte Absicherung vor der App, wenn man das Handy nicht zu Hause lassen will, sei daher ein Blocker empfohlen:<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

In ein St\u00fcck Alu-Folie einh\u00fcllen hilft nat\u00fcrlich auch. Einfach ein St\u00fcck Folie vom Aluhut nehmen.<\/p>\n","protected":false},"excerpt":{"rendered":"

Zu der \u00dcberwachungs-App kursieren zur Zeit eine Menge Ger\u00fcchte. Ich kann zwar auch nur sozusagen einen Screenshot liefern, versuche aber mal, ein wenig Technik einzubringen. Download Artikel als PDF<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[5],"tags":[],"class_list":["post-4945","post","type-post","status-publish","format-standard","hentry","category-it-sicherheit"],"post_mailing_queue_ids":[],"_links":{"self":[{"href":"https:\/\/gilbertbrands.de\/blog\/wp-json\/wp\/v2\/posts\/4945","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/gilbertbrands.de\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/gilbertbrands.de\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/gilbertbrands.de\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/gilbertbrands.de\/blog\/wp-json\/wp\/v2\/comments?post=4945"}],"version-history":[{"count":1,"href":"https:\/\/gilbertbrands.de\/blog\/wp-json\/wp\/v2\/posts\/4945\/revisions"}],"predecessor-version":[{"id":4947,"href":"https:\/\/gilbertbrands.de\/blog\/wp-json\/wp\/v2\/posts\/4945\/revisions\/4947"}],"wp:attachment":[{"href":"https:\/\/gilbertbrands.de\/blog\/wp-json\/wp\/v2\/media?parent=4945"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/gilbertbrands.de\/blog\/wp-json\/wp\/v2\/categories?post=4945"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/gilbertbrands.de\/blog\/wp-json\/wp\/v2\/tags?post=4945"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}