Tracking App "Corona Tracing"?

[uwe75]

Moin

Mal wieder was zum Anhören.
Podcast UKW 032
Ab ca. Min. 53 werden die angeblichen Sicherheitsprobleme und Angriffsszenarien der CWA analysiert.

 

[BerndFfm]

Bin gespannt was die sagen. Ich habe schon 2 Möglichkeiten entdeckt die App zu missbrauchen:

- Fehlalarm auslösen und Leute unbegründet in die Quarantäne schicken

- Beacons empfangen und prüfen ob ein positiv getesteter dabei ist

Grüße Bernd

 

[josifi]

@BerndFfm

- Fehlalarm auslösen und Leute unbegründet in die Quarantäne schicken

Wie willst du das machen?
Und nochmal: Falls du benachrichtigt wirst, gehst du nicht automatisch in Quarantäne. Das ist aber schon oft besprochen worden.

- Beacons empfangen und prüfen ob ein positiv getesteter dabei ist

Und woher willst du wissen, wer von deinen Kontakten positiv war?

Bin gespannt was die sagen.

Wer sind "die"?

 

[Cowcreamer]

Bin gespannt was die sagen. Ich habe schon 2 Möglichkeiten entdeckt die App zu missbrauchen:

Kannst du das auch belegen?

- Fehlalarm auslösen und Leute unbegründet in die Quarantäne schicken

Wie soll das funktionieren? Gib doch bitte mal ein Beispiel. Und komm jetzt bitte ncht mit "Ich nehm dann das Telefon meiner Freundin ..."

- Beacons empfangen und prüfen ob ein positiv getesteter dabei ist

Achso. Und wie willst du am empfangenen Beacon erkennen, ob jemand positiv getestet wurde?

Hast du dir die Solution Architektur überhaupt angeschaut?
corona-warn-app/cwa-documentation

Es ist NICHT möglich, an einem "Beacon" (Bluetooth Advertisement Package) zu erkennen, ob eine Infektion vorliegt.
Ein paar relevante Auszüge:

The app itself does not have access to the collected exposures, i.e. the Rolling Proximity Identifiers, and neither is it informed if a new one has been collected by the framework. As depicted in the Figure 10 and Figure 11, the Exposure Notification encapsulates handling of the keys, including all cryptographic operations on them. The only output of the black box upon an infection is a collection of temporary exposure keys as shown in Figure 10. Those are subsequently called diagnosis keys.

The encapsulation especially applies to the part where matches are calculated, as the framework only accepts the diagnosis keys as input, matches them to (internally stored) RPIs and returns a list of exposure events without a link to the corresponding Rolling Proximity Identifiers (see Figure 11). With the use of the corresponding Associated Encrypted Metadata Key, the Associated Encrypted Metadata (AEM) of the captured RPI can be decrypted. This metadata contains the transmission power (which is used to calculate the attenuation). Additionally, an epoch (usually a 24 hour window) for the exposure is determined, as well as the duration of the exposure in 5-minute increments (capped at 30 minutes).

Note that even if a user has not been tested positive, the app randomly submits requests to the Corona-Warn-App Server (represented in Figure 7 by Phone 2) which on the server side can easily be ignored, but from an outside perspective exactly looks as if a user has uploaded positive test results. This helps to preserve the privacy of users who are actually submitting their diagnosis keys due to positive test results. Without dummy requests, a malicious third party monitoring the traffic could easily find out that users uploading something to the server have been infected. With our approach, no pattern can be detected and, thus, no assumption can be taken.

Bist du nicht Entwickler oder verwechsel ich da was? Falls du Entwickler sein soltest, verstehe ich ich nicht, wie du solche Behauptungen aufstellen kannst, wenn aus der vorhandenen Dokumentation klar ersichtlichlich ist, dass die Behauptung so nicht stimmen kann.

 

[uwe75]

Wer sind "die"?

Ich denke er meint hier Tim Pritlove + Pavel Mayer aus dem UKW 032.

 

[BerndFfm]

Ich habe mir jetzt den Podcast UKW32 angehört. Sehr kompetente Leute !

Sie haben Recht, alle Schlagzeilen "Schwachstelle in App entdeckt" sind bisher unbegründet.

Es ist NICHT möglich, an einem "Beacon" (Bluetooth Advertisement Package) zu erkennen, ob eine Infektion vorliegt.

CowCreamer : Natürlich, die positiv getesteten Beacons werden doch täglich aufs Handy geladen, unverschlüsselt, die kennt man.
Der Text oben betrifft den Upload von Infektionsmeldungen, nicht den Download.

Wie ich einen Fehlalarm auslösen kann werde ich nicht im Internet beschreiben, ich werde aber Kontakt zu den App Entwicklern bzw. Experten suchen.

Grüße Bernd

 

[Nufan]

@Gormandizer Du hast deine Antwort bereits erhalten:

Totschlagargument

"Getroffene Hunde bellen"?

..wow.., und der reiht sich nahtlos hinter dem anderen Beitrag ein, du kannst ablaufen

@josifi Nein, du hast nichts verstanden, sonst würdest du einerseits in #1.347 keinen Screenshot einer Benutzerapp posten, deren Nichtzugriff auf Standortdaten ich hier ohnehin an keiner Stelle angezweifelt habe (falls du mich dahingehend belehren wolltest), noch würdest du hier andererseits mit zu meinem Beitrag bezugslosem Rant unterhalten.
-Geh mal an die frische Luft, du hast Schaum vorm Maul

 

[Cowcreamer]

CowCreamer : Natürlich, die positiv getesteten Beacons werden doch täglich aufs Handy geladen, unverschlüsselt, die kennt man.
Der Text oben betrifft den Upload von Infektionsmeldungen, nicht den Download.

Ich glaube, du hast die Doku wirklich nicht gelesen oder zumindest nicht verstanden.
Die "positiv getesteten unverschlüsselten Beacons" gibt es nicht. Es gibt sogenannte RPIs (Rolling Proximity Identifiers), diese werden gesendet.
Unverschlüsselt ist da nichts und "man kennt die" auch nicht, da die relevanten Informationen als verschlüsselte Metadatenkomponente mitgeschickt werden.

 

[josifi]

@Gormandizer Du hast deine Antwort bereits erhalten:

WARUM Totschlargument? Ist es falsch oder fällt dir nichts dazu ein?

-Geh mal an die frische Luft, du hast Schaum vorm Maul

Danke, nicht nötig. Ich frage mich, ob du von dir ausgehst....


EDIT: Laut RKI aktuell knapp 12 Millionen Downloads. Läuft doch ganz gut, selbst wenn sie ein paar wieder deinstallieren.
Die 15%-Marke ist auf alle Fälle deutlich überschritten.

 

[BerndFfm]

Die "positiv getesteten unverschlüsselten Beacons" gibt es nicht. Es gibt sogenannte RPIs (Rolling Proximity Identifiers), diese werden gesendet.

Werde ich mir mal anschauen. Ich hatte das so verstanden dass man das entschlüsseln kann. Habe das noch nicht getestet, habe mich auf die Aussagen von UKW032 verlassen.

Grüße Bernd

 

[Nufan]

Nochmal, eure facebock- und navinutzer sind mir Boogie, was ist an

die mit generell deaktiviertem Standort gegeben wäre

so schwer zu verstehen?
Es ist wirklich nicht schlimm, wenn du dazu nix beizutragen hast, das hatte ich auch nicht erwartet.
Aber es ist lächerlich, daraus irgend eine Einstellung zur App zu konstruieren, nur weil dir die Phantasie durchgeht oder verallgemeinernd mit dem Nutzungsverhalten irgendwelcher Anwender von Drittanbieterapps zu argumentieren.

Danke, nicht nötig. Ich frage mich, ob du von dir ausgehst....

.., daß du dich hier nur ereiferst und klare Gedanken zu fassen nicht in der Lage bist, erkennt man ja schon an deinen ständigen Beitragsedits..

 

[Cowcreamer]

Werde ich mir mal anschauen. Ich hatte das so verstanden dass man das entschlüsseln kann. Habe das noch nicht getestet, habe mich auf die Aussagen von UKW032 verlassen.

Grüße Bernd

Naja, das haben sie aber auch im Podcast nicht gesagt. Sie reden dort von theoretischen Angriffsszenarien, die in einer "nachgebauten" Umgebung unter Laborbedingungen getestet wurden. Unter Annahme teil falscher Rahmenbedingungen.
Lies dir einfach die Doku durch, dann wirst du es eventuell nachvollziehen können.

 

[josifi]

@Nufan

.., daß du dich hier nur ereiferst und klare Gedanken zu fassen nicht in der Lage bist, erkennt man ja schon an deinen ständigen Beitragsedits..

Würde dir auch nichts schaden, deine Beiträge nach dem Abschicken nochmal zu lesen und die gröbsten Schnitzer zu korrigieren.

 

[BerndFfm]

Es ging in dem Podcast um den Abruf der Infizierten. Dort wurde festgestellt dass noch keine Infiziert-Beacons im Server hinterlegt sind.

Es geht aber doch : Ich tracke mit einer eigenen Software alle Beacons mit. Wenn ich eine infiziert Meldung bekomme ist einer der gespeicherten Beacons ja positiv getestet. Nun sende ich alle empfangenen Beacons an einer zentralen Stelle wie U-Bahnhof.
Dann brauche in den Abruf vom Server überhaupt nicht entschlüsseln.

Grüße Bernd

 

[Cowcreamer]

So funktioniert das nicht. Lies bitte die Doku. Ich bin jetzt raus, bis du alles nachgelesen hast, hat sonst wirklich keinen Sinn.

 

[BerndFfm]

Klar geht das so. Ich werde das mal programmieren bzw. Bluetooth Sniffer einsetzen.

Bluetooth Signale können von jeder App gelesen werden, auch die Beacons !

Grüße Bernd

 

[uwe75]

Es ging in dem Podcast um den Abruf der Infizierten. Dort wurde festgestellt dass noch keine Infiziert-Beacons im Server hinterlegt sind.

Es geht aber doch : Ich tracke mit einer eigenen Software alle Beacons mit. Wenn ich eine infiziert Meldung bekomme ist einer der gespeicherten Beacons ja positiv getestet. Nun sende ich alle empfangenen Beacons an einer zentralen Stelle wie U-Bahnhof.
Dann brauche in den Abruf vom Server überhaupt nicht entschlüsseln.

Grüße Bernd

Hallo Bernd

Wenn ich es richtig verstanden habe dann kannst du deine mit Software mitgeschnitten Beacons nicht einfach mit der Liste Infizierter welche von RKI-Server geladen wird vergleichen.

Weil dort die Informationen mit einem anderem Hash verschlüsselt sind.

 

[BerndFfm]

Ja, vergleichen geht wohl nicht, aber ich kann sie einfach speichern. Und wieder senden.

Grüße Bernd

 

[Cowcreamer]

Nein, kannst du nicht. Du magst deine "Beacons" haben (du meinst die RPIs, die Rolling Proximity Identifiers), die dazugehörenden passenden (!) Metadaten und vor allem die Metadaten Keys zum Entschlüsseln hast du aber nicht. Du weißt somit nicht, was die RPIs überhaupt bedeuten bezüglich Infektion ja/nein, Abstand während der Exposure, Zeitraum der Exposure usw.. Was genau kannst du dann damit erreichen?
Warum willst du die Doku nicht lesen? Mach das bitte, statt deine wirklich kruden Theorien zu verbreiten.

 

[HerrDoctorPhone]

Hab Lust auf ein gutes paniertes Schnitzel mit Butter Kartöffelchen!!!
Mit oder ohne Corona in der Wirtschaft, wo ich sowieso Herr Müller, Alois , bin, (manchmal auch Herr A. Nahl, oder Herr Farin Urlaub / Rainer Zufall) ist mir das alles Wurscht.
Handy hab ich als Alibi dabei. Prost, jamas!

VG