Op zowel 18 als 11 maart 2021 j.l. schreef ik over de corona-app en diens verwerking van gevoelige persoonsgegevens. Vandaag, een maandje later, lijkt het er dan toch op dat ook bij politiek Den-Haag het balletje eindelijk is gevallen, de coronamelder is niet veilig en is nu (tijdelijk) op inactief gezet. De prangende vraag is echter, had dit voorkomen kunnen worden?

CoronaMelder heeft privacyprobleem

Gisteravond werd door demissionair (nog altijd) minister De Jonge van volksgezondheid besloten om de CoronaMelder tijdelijk op non-actief te zetten. De aanleiding hiervoor is een ‘privacyprobleem’ zoals onze Hugo het zelf noemt. Het gevolg is dat besmette gebruikers nu geen waarschuwingen aan andere gebruikers kunnen sturen. Beetje vervelende timing zo vlak na koningsdag en het weer opengaan van de terrassen.

Gister werd bekendgemaakt door AppCensus dat gevoelige data van corona-apps toegankelijk is voor vooraf geïnstalleerde apps op Android-toestellen. Wat hiermee bedoelt wordt? Informatie van de apps, waaronder verzonden en ontvangen codes, worden opgeslagen in de systeemlog van Android. Is dit erg? Best wel. Honderden third-party apps hebben namelijk standaard toegang tot deze zelfde log. In theorie zouden deze apps de informatie kunnen uitlezen en dit vervolgens koppelen aan de gebruiker.

Dit betekent dus dat Hanny van de Akker uit Uitgeest die op 8 maart j.l. besmet raakte met het coronavirus nu zomaar op een lijst terecht kan komen. Een redelijk gevoelige lijst omdat er aardig wat persoonsgegevens verwerkt zitten in de app. Daarnaast sluit het ministerie ook zeker niet uit dat er sprake is (geweest) van een datalek.

“Derden zouden deze codes niet moeten kunnen verzamelen en inzien. Op telefoons die gebruik maken van het Google Android operating systeem is dit wel mogelijk”

Apps die meegeleverd werden met een telefoon (die fijne ‘standaard geïnstalleerde’ apps) konden vaststellen of de telefoon in bezit is van iemand die eerder als besmet is gemeld in de CoronaMelder én welke ontmoetingen met besmette personen hebben plaatsgevonden.

Google al ruim 60 dagen op de hoogte, update bleef uit

Wat dit hele verhaal een stukje mysterieuzer maakt, is dat Google al 60 dagen lang op de hoogte was van deze kwetsbaarheid. Maar omdat Google gedurende deze termijn nog niet met een update was gekomen besloten de onderzoekers, die het ook zelf bij Google hebben gemeld, om hun bevindingen openbaar te maken. Het ministerie zelf zegt dat het op 22 april j.l. over het probleem op de hoogte is gebracht waarna er een onderzoek is gestart. Afgelopen maandag werd er ook een melding gemaakt bij de AP over een mogelijk datalek.

Inmiddels heeft Google gemeld dat het probleem is opgelost en dat updates de komende dagen onder de gebruikers zullen worden uitgerold. Het ministerie wil echter geen extra risico lopen en besloot daarom op de CoronaMelder 48 uur uit de lucht te halen. Een goede beslissing wat ons betreft. Dit hele akkefietje benadrukt echter, nogmaals, hoe afhankelijk ‘wij’ zijn van Google. Hun raamwerk is essentieel voor het überhaupt kunnen fungeren van de app. Hiermee heeft een toch zeer commerciële instelling wel een heel groot belang in een stukje volksgezondheid. Geen goede ontwikkeling als u het ons vraagt.

Volksgezondheid gereguleerd door Apple & co ?

We hebben in de afgelopen maanden drie blogs geschreven over de CoronaMelder en al haar gebreken. Op basis van wat er vandaag naar boven is gekomen verwachten we zeer zeker niet dat het bij drie zal blijven. Belangrijker is dat er echt kritisch gekeken wordt naar de rol van Google en, in mogelijk mindere mate, Apple. Het begint erop te lijken dat zij als ‘gatekeepers’ fungeren en zonder problemen zo’n update pas ruim 60 dagen later kunnen uitrollen. Wat vindt u hiervan? We zien graag uw mening in de onderstaande poll.