Pradeo fue invitada a participar en la última fase de pruebas de la aplicación móvil StopCovid (Android e iOS) y analizó la versión beta puesta a disposición por el Inria.
Las conclusiones de nuestro análisis son positivas. La aplicación se limita a la transmisión de la información recogida por el Bluetooth y respeta los principios de protección de la privacidad.
El proyecto, lanzado por el gobierno francés y dirigido por el Inria, completará las herramientas de lucha contra la COVID-19 rompiendo las cadenas de transmisión del virus. La aplicación se distribuirá en la tienda a partir del 2 de junio y se puso en acceso libre en el marco de la última fase de pruebas. Pradeo realizó un análisis completo de la aplicación StopCovid centrándose en los criterios de seguridad y de protección de la privacidad. Esta nueva aplicación gubernamental viene a enriquecer el estudio sobre 30 aplicaciones nacionales destinadas al seguimiento de la COVID-19.
Nivel de seguridad
Aunque voluminosa en términos de código fuente, la aplicación se articula en torno a 3 funciones principales destinadas a poner en relación a los usuarios cercanos a través del Bluetooth y a transmitir esa información. La aplicación se apoya más concretamente en el BLE (Bluetooth Low Energy) para realizar las interacciones entre smartphones. Como su nombre indica, este protocolo ha destronado al Bluetooth clásico al optimizar significativamente el consumo de energía.
La aplicación solicita los permisos de Bluetooth android.permission.BLUETOOTH y android.permission.BLUETOOTH_ADMIN, así como la geolocalización.
La aplicación identifica su smartphone mediante el advertising Bluetooth. La información que se envía a la red es la relativa a la conexión Bluetooth y corresponde a los identificadores del smartphone donde se encuentra la aplicación y de los smartphones detectados en las proximidades.
La aplicación no realiza conexiones no seguras ni carga de código. Cuenta con menos de 10 vulnerabilidades menores y no integra ninguna biblioteca publicitaria o de redes sociales.
Nivel de confidencialidad
La aplicación StopCovid no solicita ni envía ningún dato de carácter personal.
Una funcionalidad de escaneo integrada en la aplicación permite digitalizar un código QR facilitado por el médico en caso de diagnóstico positivo de COVID-19.
En conclusión, la aplicación de rastreo francesa ocupa el primer puesto ex aequo con Alemania en la clasificación de las aplicaciones COVID nacionales realizada por Pradeo.
Detalles de nuestra evaluación
Criterios de evaluación | Estado |
ACTIVIDADES MALINTENCIONADAS | ✔ |
Malware conocido Amenazas «0-day» y avanzadas Carga dinámica de código | No detectado No detectado No |
TRATAMIENTO DE LOS DATOS | ✔ |
Datos del usuario Grabaciones de audio y vídeo Localización Información sobre el usuario (nombre, número de teléfono, …) Archivos del usuario SMS/MMS Perfil del usuario Contactos Registro de llamadas | Enviado (escaneo de código QR) No manipulado No manipulado No manipulado No manipulado No manipulado No manipulado No manipulado |
Datos del teléfono Información sobre la conexión Bluetooth Versión del sistema Información sobre el hardware | Enviado Enviado Enviado |
COMUNICACIONES | ✔ |
Conexiones no certificadas Emisión de llamadas | 2 Visible |
VULNERABILIDADES | ✔ |
Criticidad baja y media Criticidad alta | <10 Ligada al modo «desarrollo» aún activo en la versión beta |
