Mit "CovidGuardian", einem neuen Tool zur automatisierten Bewertung von Sicherheit und Datenschutz, testeten Forscher der Queen Mary University of London (QMUL) Contact-Tracing-Apps auf potenzielle Bedrohungen wie Malware, eingebettete Tracker und die Preisgabe privater Informationen. Mithilfe des Tools haben Cybersecurity-Experten 40 genutzte Apps geprüft, darunter auch die Schweizerische.

Zu den Risiken gehört, dass Token mit Usern in der Nähe geteilt würden, heisst es zum Schweizer Konzept. Es sei allerdings nur ein mittleres Risiko, weil nur Token ohne personenbezogene Daten zwischen Benutzern ausgetauscht werden.

Ein ernsthaftere Bedrohung durch Apps wie SwissCovid stellen Linkage-Attacken durch User dar. "Linkage-Angriffe, die von Benutzern durchgeführt werden und versuchen andere zu re-identifizieren", heisst es erläuternd. Dies sei beispielsweise möglich, indem man einen Bluetooth-Empfänger in der Nähe der Wohnung oder Arbeitsplatzes des Opfers platziere und sicherstelle, dass das Gerät nur Bluetooth-Sendungen der Zielperson empfängt. So sei es möglich, einen Infizierten zu identifizieren, weitere Daten zu protokollieren und potenziell infizierte weitere Benutzer erneut zu identifizieren. Das Vorgehen sei vergleichbar mit "Paparazzi-Attacken" und "Nerd-Attacken" wie sie von der EPFL im Paper "Analysis of DP3T: Between Scylla and Charybdis" 2020 beschrieben worden sind (PDF).

"Noch schlimmer" sei es, heisst es in der Studie der QMUL weiter zum Thema, wenn ein Angreifer mehrere Broadcast-Empfänger in einem grossen Gebiet verteilt. "So könnte er potenziell die Bewegung der Zielperson zurückverfolgen, indem er die Aufzeichnungen auf jedem Gerät verfolgt."

"Vermeiden Sie die gemeinsame Nutzung von Daten durch andere Benutzer oder stellen Sie sicher, dass die Privatsphäre für alle veröffentlichten Daten geschützt ist", so die Empfehlung der Wissenschafter, um die Schwächen zu beheben.

Zum Zweiten sei die Schweizer Covid-App auch für "Relay-Attacken" anfällig. Das bedeutet, in Bluetooth-basierten Apps könnte ein Angreifer Bluetooth-Übertragungen von einem Ort zum anderen umleiten, beziehungsweise vervielfältigen und so falsche Warnungen erzeugen.

Die "Implementierung eines Validierungsansatzes" löse dieses Problem, oder, alternativ, solle man keine Informationen auf diese Weise übermitteln.

Gut gesichert sei die Schweizer App jedoch gegen Linkage-Attacken via Server und False-Positive-Behauptungen.

Von den 40 mit "CovidGuardian" analysierten Apps aus dem Google Play Store zeigen viele Schwächen:

Die kirgisische App "Stop Covid-19 KG" erwies sich sogar als Malware-verseucht.

Die Schwächen der unterschiedlichen Covid-Apps resultieren laut den Autoren vor allem aus dem grossen Zeitdruck bei der Entwicklung: "Aufgrund der Pandemie gab es schnellen Bedarf an Contact-Tracing-Apps, um Bemühungen zur Eindämmung der Ausbreitung von Covid-19 zu unterstützen", sagt Gareth Tyson, Dozent an der Fakultät für Elektrotechnik und Informatik der QMUL. "Daher wurde schnell und wenig überraschend oft auch nicht ganz sauber programmiert. Viele der in diversen Ländern genutzten Apps enthalten also relativ gängige Sicherheitslücken."

Zu diesen zählt Tyson veraltete Verschlüsselungs-Algorithmen und das Speichern sensibler Daten in Klartext.

Die Forscher informierten die App-Anbieter über ihre Erkenntnisse. Vier von ihnen hätten Verbesserungen vorgenommen, ein Anbieter löschte die App aus dem Google Play Store.

Die Studie "An Empirical Assessment of Global Covid-19 Contact Tracing Applications" ist als PDF verfügbar.

Bereits zuvor hatten andere Wissenschafter auf Security-Mängel bei SwissCovid und anderen Contact-Tracing-Apps hingewiesen. Experten des Bundes hielten von ihnen festgestellten Risiken für akzeptabel. Andere zweifelten ganz daran, dass es lukrative Motive für einen Angreifer gebe, um Lücken auszunutzen.