Relevantní diskuse:
https://www.facebook.com/tom.maca/posts/10218100532128394Konkrétně:
1x dobrozdání R&D experta pro Evropskou komisi
1x dobrozdání lidí z CERGE-EI (což dávám na roveň EK)
3x dobrozdání údajně od FIT ČVUT - ALE! Od FIT ČVUT je jen jedno. Další dvě jsou tak lživě označená. Samotné dobrozdání je od jednatele společnosti Ackee s.r.o., který mimo jiné učí na FIT ČVUT. Jestli tohle mělo ve mně vzbudit důvěru, tak efekt byl opačný.
Pana Zváru jsem několikrát osobně potkal, jeho technickým schopnostem objektivně posoudit, jestli a jak moc je užití aplikace bezpečné, věřím. Jestliže má něco dobrozdání od čehokoliv spojeného s, nebo blízko k Evropské unii, je to pro mě automatický redflag.
Oprávnění ke sběru dat o místě (location permission) je vyžadováno kvůlu použití Bluetooth. Google i Apple to tak udělali, protože když aplikace sleduje Bluetooth zařízení v okolí, může teoreticky aproximovat polohu zařízení, pokud zná umístění těch okolních Bluetooth zařízení. To ale lidem obvykle nedochází, když povolují přístup k Bluetooth, tak oba giganti označili Bluetooth i jako způsob detekce místa. Pokud aplikace v současné verzi skutečně data o místě nesbírá a jen využívá Bluetooth k detekci okolních eroušek, nikdo nemůže říct, že v některé z dalších verzí to dělat začne a další oprávnění už k tomu nebude potřebovat.
Je důležité si uvědomit, že když nějaký redachtor, nebo reportér řekne, že aplikace neví, kdo jste, kde jste, jestli dodržujete karanténu, tak to je jenom žblept.
Příklad: Vývojář může zcela s dobrým úmyslem posílat na server nějaké volání, kterým se zařízení identifikuje kvůli statistikám spuštění, což samo o sobě není nijak závadné. Do eRoušky přijde policajt a databázi si stáhne, včetně statistik. Ten policajt vám potom sebere mobil při nějaké dopravní kontrole nebo jiné buzeraci. Policajt pak může zjistit, že váš telefon posílá statistiky pod nějakým ID, a že z tohoto ID bylo rozesláno varování o potenciálním kontaktu s COVID. Teď se karta otáčí a jste v pozici někoho, proti komu ukazují nějaké nepřímé důkazy a vy budete muset řešit, proč nejste v karanténě.
Tyhle scénáře jsou tak sci-fi, tak paranoidní, tak tin-foil hat, že plebs takovým variantám nevěnuje pozornost a celá aplikace je obecně vnímána jako "anonymní". My jsme si ale vysvětlili, že nic jako anonymní neexistuje. Stáhli jste si software, který vám na tom zařízení běží a sbírá nějaká data. Je to jako nainstalovat si dobrovolně virus, protože jeho tvůrce (stát, s doložitelnou minulostí kriminálního chování, tichého fízlování a nelegálního sběru dat) tvrdí, že teďka jako fakt o nic nejde a je to zcela bezpečné a anonymní. To, že vývojář teď nesbírá žádná data za účelem vás identifikovat neznamená, že nesbírá žádná data, která identifikaci umožňují. Pokud ani vývojář taková data nesbírá, tak to neznamená, že taková data neexistují - distribuční platforma to může dělat i za něj, bez jeho vědomí. Třeba AppCenter nebo jiné platformy k distribuci mobilních aplikací sbírají nějaké statistiky zcela autonomně a vývojáři do aplikací přibalují jejich SDK za účelem hlásit chyby. Například se aplikace dostane do stavu, do kterého se dostat nemá, tak hlásí developerovi, co se stalo. I v IT firmách ale management urguje podřízené k instalaci aplikace. Všechno co jsem napsal výše je skutečně tak konspirační, že ani v IT prostředí nepanuje konsensus ve věci etiky a bezpečnosti eroušky.
Nějaké další otázky, nad kterými se můžete zamyslet v případě, že vás tahle problematika zajímá:
- Je zdrojový kód online?
- Je zveřejněný zdrojový kód skutečně ten, který byl zkompilován do aplikace v AppStore?
- Vyšel v AppStore update? Pokud ano, pak auditovaný zdrojový kód předchozí verze už není platný. Proběhl nový audit? Je nový kód zveřejněn?
- Kde je zdrojový kód backendu? Je veřejný?
- Proběhl audit backend zdrojového kódu?
- Bez ohledu na využití sebraných dat, sbírá aplikace nějaká data, která identifikaci přímo, či nepřímo umožňují? (IMEI, poloha, tlf. číslo, identifikátory zařízení, operačního systému, atp.)?
- Kde jsou tato data uložena, kdo k nim má přístup?
- Jaká je legislativa ohledně nuceného poskytnutí dat státu, který o taková data požádá?
PS: Nedávno jsem na svém iPhone objevil, že Apple už podobnou věc implementoval. Je to v Settings > Exposure Notifications, jsou ve výchozím nastavení vypnuté a fungují v podstatě stejně jako eRouška. Proč český stát vyvíjí duplicitní aplikaci, nebo jakou přidanou hodnotu eRouška má, jsem nestudoval. EDIT: Poměrně rychle mi někdo vysvětlil, že podpora v iOS a eRouška spolu souvisí:
https://covid19.apple.com/contacttracing a
https://erouska.cz/audit-kod