Tak for alle kommentarerne. Når desværre ikke at gennemgå alt i detaljer.

Lad mig med det samme lige gentage:

Der er således kommet en lille sten i skoen. De tilfældige tal kan korreleres. Vi kan spore en telefon/person igennem længere tid - hvis vi ser pebbles.

Den viser formentlig også hvordan ridser kan blive til revner. Jeg kom til at tænke på om den der process kan påvirkes i tid, kan jeg ved at forsøge pairing med din enhed lave "klumper" i din udsendelse, så jeg med fokus kan afmaskere DIN enhed? Uddybende, dine anonyme udsendelser kommer helt regelmæssigt, men hvis radioen pludselig er "optaget" vil de så blive påvirkede, så man kan se at denne gruppe anonyme er fra HENRIKS telefon.

Dernæst også straks sige at jeg bestemt har opgivet et alternativ. Et som jeg vil mene potentielt er mere gangbart, og som straks fjerner en hel række af problemer. Hvis Corona apps bliver udelukkende passive. Ideen står som efterskrift på https://www.version2.dk/blog/skal-vi-have-corona-app-1090586

Til dem som straks siger, den fanger ikke situationer X, Y, Z, så skal I lige forklare mig hvilke mange situationer den nuværende IKKE fanger - ikke hvilke den nuværende fanger, men IKKE! fanger. Den nuværende teknologi er behæfte med ekstreme måleusikkerheder. Med et BT beacon ved indgange, godt stærkt signal, kan mobile enheder nemt opfange det. Det vil også kunne informere om at du har været samme sted, og måske vasket hænder og rørt samme håndtag som en smittet.

Hvis du skal overbevise mig om at den nuværende corona app er god, skal du lave en smule forarbejde, hvilke alternativer er overvejet, hvorfor har man valgt at bruge BT mellem enhederne osv.

Jeg vil egentlig også gerne hvis vi straks lige kunne lade være med at tale så meget i følelser, føler det er vigtigt at vi gør noget, vigtigt vi omgår al kendt viden, vigtigt vi igangsætter noget - uden at have undersøgt alternativerne først. Vi ved allesammen hvad det drejer sig om!

Der bliver gentaget forsigtighedsprincip, og dette må gælde for samfundet også! Det må gælde for vores data!

Ellers trykker man speederen i bund på løsninger der ikke duer, og som samtidig lækker data, som dermed ødelægger vores tillid til de offentlige systemer.

Jeg er stor tilhænger af at se langt mere holistisk på problemet med Corona Apps, hvis de bliver lovet for gode, for sikre, men ikke er det. Så dør folk, den med følelser går begge veje! Eksempel, mange siger, hvis bare alle havde app kunne vi genåbne samfundet, fuck nej, det kan vi ikke! Den er ikke god nok!

HVIS App skal være et supplement skal vi have gang i /rigtig kontaktsporing/, med mere end 200 personer for hele Danmark. Det ville give også mulighed for at sammenligne data mere præcist.

Mit postulat er generelt at en dårlig app med falsk tryghed kan gøre mere skade end godt er.

... kan være en erstatning for anden registrering af gæster, som nogle jo også anser som et privacy problem….

Ja, nu er jeg hverken juridisk skolet eller tankelæser, så jeg kan hverken sige hvad der er ret, eller hvad andre synes er rimeligt, men her er mine tanker:

Registrering af gæster kan være problematisk ud fra et praktisk smittesporingssynspunkt. Nu har vi to gange set at stripklubber i Toronto, Canada (to forskellige klubber, to tidsmæssigt adskilte hændelser) har været smitte-hotspots, og selvom der var en gæste-log, så skulle de fleste efter sigende have opgivet falske kontaktoplysninger. Nu er stigmaet omkring besøg på Jensens nok trods alt mindre, men det skal man da have med. Der skal nok være nogen, som ikke vil indrømme, at de har været på Jensens, og måske især ikke, hvem de var der med.

Det væsentligste problem, som jeg ville have med en gæstelog ville ikke være, at den blev brugt til smittesporing (tværtimod, det er hele pointen!), men at al erfaring viser, at folk er fulde af gode ideer og dårlige undskyldninger, når de nu har fået fingre i kontaktdata. Og tilsvarende er forrygende dårlige til at passe på dem, og mindst lige så dårlige til at få dem bortskaffet på forsvarlig vis. Her vinder appen.

Vi bliver også nødt til at have en diskussion om "hende den søde blondine i lårkort" ... selv uddannede betjente med karriere på spil er set slå romantiske interesser op, og i nattelivet skal der ikke være megen plads til "shoulder-surfing" fra andre gæsters side, før det vil kunne være problematisk. Her vinder appen så igen.

Til gengæld er jeg meget usikker på appens pålidelighed, og især i det setup - hvis den ligger i baglommen eller man får en veninde til at passe på den, så virker den nok ikke - i hvertfald ikke i en grad, som vi kan regne med.

Og jeg er meget bekymret for en udvikling, hvor apps eller bare smartphone duopolet går hen og bliver et defacto adgangskrav. Det må aldrig blive en forudsætning for at kunne deltage i samfundet og livet.

Men det er desværre det vi også ser fx ved brugen af mundbind hvorefter nogen mener så er det ok at være tættere sammen.

Og det ... hverken gæste-log eller app eller mundbind skal blive en undskyldning for at tage unødvendige chancer. Og det lader til, at alle mener at netop deres situation er exceptionel. Men i det mindste, så virker mundbind på forkant ... apps og gæstelister virker kun på bagkant.

Jeg er fuldstændig enig - SmitteStop er et supplement til mange andre forholdsregler og må ikke få os til at slække på andre forholdsregler som at holde afstand. Men det er desværre det vi også ser fx ved brugen af mundbind hvorefter nogen mener så er det ok at være tættere sammen.

Men derfor er SmitteStop app’en stadig et fint værktøj til smitteopsporing på fx restauranter, og kan være en erstatning for anden registrering af gæster, som nogle jo også anser som et privacy problem….

Hvis eksempelvis alle gæster i nattelivet og på restauranter havde SmitteStop aktiv ville det fx gøre gæsteregistrering overflødig og smitteopsporingen meget mere præcis og effektiv.

Egentlig synes jeg, at når vi nu har appen, så fred være med det. Den er forholdvis harmløs, og skulle den gå hen og gøre nytte, så er det kun godt.

Men hvis vi holder op med at gøre andre ting, som rent faktisk virker, fordi vi tror at appen kan gøre det lige så godt, så synes jeg at vi skal være rimeligt sikre på, at den nu også er den tillid værdig.

Og når man bruger appen som undskyldning for at gøre farlige ting, som f.eks. at holde festen kørende i Jomfru Ane gade fordi "at vi har en app, og så kan vi bare rydde op bagefter", som det tyder på at man mener (se her: https://www.dr.dk/nyheder/regionale/nordjylland/fremover-skal-du-downloade-smittestop-app-komme-ind-paa-visse), så lyder det farligt. Præventive tiltag ville efter min mening være meget mere passende.

Den reelle betydning er nok begrænset.

Enig. Det var åbenbart ikke klart, at det var det, som jeg prøvede at sige, så tak for hjælpen.

Disclaimer: Jeg sidder med i advisory boardet omkring privacy og sikkerhed i den danske SmitteStop App, og er derfor belastet med indsigt i den faktisk løsning, processen omkring den og hvad formålet med app’en er.

Som Henrik anfører vil al ny teknologi blive forsøgt angrebet. Naturligvis vil der blive fundet fejl og uhensigtsmæssigheder i SmitteStop App’en og/eller GAEN frameworket – dette på trods af der er brugt mange ressourcer på at efterprøve sikkerheden. Jeg er sikker på at Henrik kan skrive under på hvor svært det er som pentester, at finde alle faktiske og potentielle sårbarheder. Ellers ville det være den første fejlfri softwareløsning i historien. Naturligvis skal vi gøre alt hvad vi kan for at undgå sårbarheder og lave sikre løsninger men vi må også acceptere verden ikke er perfekt. I forhold til SmitteStop og GAEN bygger løsningen på et design med højt fokus på privacy og sikkerhed og der er mig bekendt ikke sået tvivl omkring det grundlæggende design.

Men lad os i stedet huske hvad SmitteStop rent faktisk forsøger at opnå. SmitteStop appen skal hjælpe os med at stoppe udbredelsen af COVID19 i samfundet så folk ikke bliver syge og dør. Løsningen er ikke perfekt og kan ikke stå alene, men er en hjælp til smitteopsporingen. Hvis eksempelvis alle gæster i nattelivet og på restauranter havde SmitteStop aktiv ville det fx gøre gæsteregistrering overflødig og smitteopsporingen meget mere præcis og effektiv. Heldigvis har smittespredningen i Danmark indtil nu været ganske lav så det er svært at sige om app’en har den effekt som vi håber, men set i lyset af COVID19 i sidste ende slår folk ihjel og lukker samfundet ned synes jeg det er det værd at prøve. (Desuden er det netop pga. privacy beskyttelsen i app’en svært at måle om den virker eller ej, da man er nødt til at basere det på folks egne tilbagemeldinger i forbindelse med Coronatest…)

Det er nemt at pege på mulige problemer med SmitteStop, men jeg mangler egentlige at der bliver peget på andre realistiske alternativer – udover bare at lade være. Som jeg ser det er privacy og sikkerhed i den løsning der er lavet god og fornuftig – og dermed er risikoen så lille at jeg mener den værd at løbe hvis det kan hjælpe med at bremse COVID19. Jeg vil i øvrigt også gerne rose de danske politikere da det i sidste ende var dem – bl.a. efter anbefaling fra advisory boarded – der valgt at skrotte den første app, forsinke udrulningen og bakke op om den GAEN baserede løsning med decentral logning af data. Så det er lidt for let at hævde politikkerne slet ikke forholder sig til teknologi.

… og så lad os lige sætte det beskrevne problem i perspektiv: By design er det således at vi kan lytte efter de BT adresse og RPI som udsendes fra GAEN frameworket. En glimrende app til dette formål er Beacon Scope der kan hentes på Play Store til Android, og jeg vil i øvrigt tro den meget fint kan bruges til at eftervise den omtalte sårbarhed. Samme app viser også afstanden til enheden (eller rettere den afstand som måles via BLE signalstyrken). Med app’en aktiv i det lokale supermarked og de øvrige ”gæster” der overholder afstandskravene kan man uden problemer sammenkæde både aktuel BT adresser, RPI samt hvordan vedkommende ser ud (altså rigtige analoge ansigter). Man kan også uden problemer se når der ændres BT adresse og RPI. Altså markant mere information end den omtalte sårbarhed potentielt kan afsløre. Dette er alt sammen ”by design” og ikke på grund af sårbarheder. Men det er stadig markant mindre information end man afslører når man fx åbner Google Maps, Facebook eller den lokale vejrudsigt. Naturligvis skal denne sårbarhed rettes, men det er altså ikke en grund til at undlade at bruge SmitteStop.

Hovedparten af de øvrige punkter opremset under ”Mulige angreb” er i øvrigt ikke særligt SmitteStop specifikke, men generelle problemstillinger i forhold til mobile enheder og sporing.

Det er derudover godt at se andre i kommentarersporet der forholder sig pragmatisk til denne sårbarhed – tak for det.

Og har du ikke allerede gjort det så se at få hentet SmitteStop appen – det er nu med de stigende smittetal at den er rigtig vigtig!

Den reelle betydning er nok begrænset. Du vil kunne følge en kundes vej igennem en butik, men det kan du allerede i op til 20 minutter ad gangen. Og du vil ikke kunne se at det er den samme kunde hvis vedkommende kom tilbage senere.

De tricks du snakker om med at få folk meldt smittet kan du kun gøre ved at de reelt bliver smittet, da der skal være en positiv prøve i journalen før det kan lade sig gøre. Derfor den del kræver NemID login. Hvis man virkelig vil så kan det selvfølgelig også arrangeres.

Jeg er ikke bekendt med, at andre udgaver end den seneste (som har det med) er gået live

Opførsel omkring skift af random adresse har været med random intervaller længe.

Jeg er ikke bekendt med, at andre udgaver end den seneste (som har det med) er gået live.

Lad mig lige starte med at understrege, at selvfølgelig skal det være i orden. Men hvad er betydningen lige?

For det første, så skal du være der, når der sker. BTLE er ikke lavet til langdistancekommunikation, og selvom man kan meget med gode antenner, så er der grænser.

For det andet, så skal du være der hver gang. Ellers kæder du kun et 10-20 minutters interval sammen med et andet 10-20 minutter interval, og det er det.

Og ja, der er sammenkædningsproblematikker:

• Hvis du betaler med dankort, og der kun er et kontakt-id i luften, så er det nok dit.
• Hvis du er den eneste, som står nede ved mejeriprodukterne, så er det nok dit kontakt-id, som er i luften.
• Holder det pludselig op, for aldrig mere at blive set igen, mens et nyt opstår ud af det blå, og kan følges hele vejen op til kassen, så er begge nok dine.
• Hvis der er tre kontakt-ids i luften nede ved mejeriprodukterne, og det ene pludselig forsvinder og et andet opstår ud af det blå, mens de to andre stadig består et stykke tid, så er det også til at gætte, hvem som fik et nyt id.

Hvis du virkelige vil sammenkæde, så skal du få folk til at melde sig smittet. Så kan alle, som får smittemeldingen sammenkæde alle personens kontakt-ider en dag ad gangen.

Hvis du vil se, hvem i gruppe, som f.eks. kunne have været til en demonstration, så starter du med at melde en af dem "positiv". Og det gør de så også med resten, efterhånden, som de lader sig teste. Og hvordan får du den første til at blive testet, så du kan melde ham "positiv"? Tja, måske ved at være i nærheden af ham, og melde dig selv "positiv".

Men nu er jeg vist lige en kende for konspiratorisk, for det er nu stadig min fornemmelse at der er væsentlig større udfordringer, og ikke bare med den lille sladrehank, som mange har i lommen, men i det hele taget.

PS: Jeg ved godt at snakken om tilfældighed blev dømt ude, og det er den eneste grund til at jeg ikke nævner den ... oh, damn! :-)

Og i de tidligere udgaver af specifikationen stod der faktisk "hver 10. minut", så Apple og Google er blevet klar over den.

Det må have været en forglemmelse i starten. Opførsel omkring skift af random adresse har været med random intervaller længe. Men det spændende vil være om de lader controlleren styre timing for skift, eller de tager kontrollen selv.

Man kan i øvrigt checke det selv på Android. I developer menuen kan man aktivere "Bluetooth HCI snoop log" og lade smittestop app køre. Jeg mener Wireshark kan vise loggen, ellers kan man finde en viewer på fte.com ved at lede efter Free Capture File Viewer.

Husk dog at sådan en BT snoop log kan indeholde gemte link keys så den skal behandles forsigtigt.

Hvis dette ikke sker, så er det Google/Apple den hænger ved, da det er dem der kontrollerer denne skrivning

Med fare for at lyde som "de holder den forkert", så er jeg enig. Protokollen er god nok, fejlen vil ligge i implementeringen.

Hvis man prøver at holde noget hemmeligt med kryptografi, så er der mange små men vigtige ting, som man i praksis skal passe på; f.eks. timingsbaserede angreb ved, at man stopper en sammenligning straks man ser en forskel.

Og i de tidligere udgaver af specifikationen stod der faktisk "hver 10. minut", så Apple og Google er blevet klar over den.

Der er 2 forskellige muligheder for at skifte BD ADDR på et advertising set. Enten lader man controlleren om det, eller også gør man det fra hosten. Der er lidt elastik i spec her, så hvis man skal være 100% sikker på at de skift af BD ADDR og RPI er synkroniserede, så skal man først stoppe advertising, skrive ny adresse og nye advertising data med opdateret RPI (Det er 2 separate kommandoer) og så til sidst starte advertising igen. Hvis dette ikke sker, så er det Google/Apple den hænger ved, da det er dem der kontrollerer denne skrivning