COVID-19-Kontaktverfolgung: Wie steht es um die sichere Programmierung?

Eine Version dieses Artikels erschien ursprünglich in DevOps Digest. Er wurde hier aktualisiert und erneut veröffentlicht.

Ich bin mir sicher, dass wir alle den Ausdruck „in diesen beispiellosen Zeiten“ langsam nicht mehr hören können ... aber wir leben tatsächlich in beispiellosen Zeiten. Wer hätte Ende letzten Jahres gedacht, dass wir in diesem Jahr darum kämpfen würden, eine weltweit verheerende Pandemie zu besiegen, und dabei alle uns zur Verfügung stehenden Mittel einsetzen würden? Das hätte fast lächerlich gewirkt und eher an eine neue Sci-Fi-Serie auf Netflix erinnert als an unsere weltweite Realität. COVID-19 hat unser Sozialleben, unsere Wirtschaft und unsere Arbeitsplatzsicherheit grundlegend verändert, ganz zu schweigen von den politischen Prioritäten.

Einer der Gegenangriffe auf COVID-19 erfolgt durch Technologie, wobei viele Länder Apps zur Kontaktverfolgung einführen. Australien hat COVIDSafe, das auf Singapurs TraceTogether basiert. Hongkong, Taiwan, China, Südkorea, Israel und Deutschland haben entweder bereits Kontaktverfolgungstechnologien implementiert oder planen dies. Großbritannien war die am stärksten betroffene Region in Europa mit zehntausenden virusbedingten Todesfällen und einer hohen Infektionsrate. Die Veröffentlichung ihrer App steht unmittelbar bevor. Auch die USA – ebenfalls tief betroffen und mit vielen tragischen Todesfällen – führen entsprechende Technologien ein, doch ihr bundesstaatlicher Ansatz bei der Kontaktverfolgung macht die Situation dort recht komplex.

Mit Ausnahme von stärker staatlich kontrollierten Ländern wie China und Taiwan ist die Nutzung dieser Apps freiwillig und erfordert, dass die Bürger die Technologie aus eigenem Antrieb herunterladen und nutzen. Einige Akzeptanzraten sind erfolgreicher als andere; so hatte beispielsweise die TraceTogether-App in Singapur eine Akzeptanzrate von nur 25 %, was sie für den angestrebten Zweck recht ineffektiv machte.

Die Idee hinter Apps zur Kontaktverfolgung ist grundsätzlich gut. Wenn diese Technologie einwandfrei funktioniert, können Infektionsherde schnell identifiziert und umfassende Tests durchgeführt werden – beides wesentliche Voraussetzungen, um die Ausbreitung eines ansteckenden Virus zu bekämpfen. Allerdings klingen die Begriffe „Regierung“ und „Verfolgung“ nicht gerade einladend, und es ist nur natürlich, dass die Menschen vorsichtig sind, was der Download einer solchen Anwendung für sie persönlich bedeuten könnte.

Was sind also die Hauptsorgen der Nutzer? Wenn man den Online-Kommentaren Glauben schenken darf, gehören dazu unter anderem folgende Bedenken:

• Mangelndes Vertrauen in die Regierung, dass sie die gesammelten Daten verantwortungsbewusst verwendet
• Sorge darüber, wie gut persönliche Daten vor Cyberangriffen geschützt sind
• Mangelnde Klarheit darüber, welche Daten tatsächlich erhoben werden, wo sie gespeichert werden und mit wem sie geteilt werden
• ... und für die Entwickler und Technikbegeisterten unter uns: wie solide die Apps tatsächlich programmiert sind.

Es ist immer etwas besorgniserregend, wenn Apps unter Zeitdruck entwickelt werden, und diese Kontaktverfolgungs-Apps mussten in Rekordzeit auf den Markt gebracht werden. Das ist ein Albtraum für Entwickler, Sicherheitsexperten und Regierungsbehörden.

Ist das Misstrauen also eine berechtigte Reaktion? Und was sollten wir bei der Bewertung von COVID-19-Kontaktverfolgungs-Apps und der Sicherheit der Endnutzer priorisieren? Als Sicherheitsexperte ist mein Instinkt natürlich, die Cybersicherheitsaspekte des Programms genau unter die Lupe zu nehmen – insbesondere, wie sicher die Codebasis einer App ist, die wir alle (in bester Absicht) installieren sollen.

Viele der Apps sind Kopien voneinander (und erben dieselben Probleme).

Australiens COVIDSafe-App basiert im Wesentlichen auf OpenTrace, ebenso wie die TraceTogether-Software aus Singapur. Das Problem ist jedoch, dass TraceTogether eine Reihe gemeldeter Probleme und eine geringe Akzeptanz aufwies; nur 25 % der Bevölkerung entschieden sich für die Nutzung – weit entfernt von den 75 %, die für eine Wirksamkeit erforderlich wären. Es gab Beschwerden über die allgemeine Leistung, insbesondere unter iOS, einschließlich einer sehr schnellen Entladung des Akkus. COVIDSafe weist einen potenziellen UX-Fehler in der iOS-Version auf, der erfordert, dass das Telefon entsperrt ist und die App im Vordergrund läuft, um alle Daten korrekt aufzuzeichnen.

Während die oben genannten Probleme ärgerlich sind, ist die dringendere Sorge, dass Bluetooth-Schwachstellen weit verbreitet sind und weder TraceTogether noch das australische COVIDSafe dagegen immun sind. Am 14. Mai berichtete das NIST, dass COVIDSafe eine Denial-of-Service-Schwachstelle aufwies, die es einem Angreifer ermöglicht, die App aus der Ferne zum Absturz zu bringen, wenn er sich in Bluetooth-Reichweite befindet. Dies würde es einem organisierten Angriff ermöglichen, die Kontaktverfolgung in dicht besiedelten Gebieten, wo sie am nützlichsten ist, zu stören – ein Sachverhalt, der vom Sicherheitsforscher Richard Nelson detailliert erklärt wurde. Es ist bekannt, dass dies COVIDSafe, TraceTogether, das polnische ProteGO und das kanadische ABTraceTogether betrifft – alle haben das Problem vom fehlerhaften manuData.subdata-Aufruf in OpenTrace geerbt.

Es gibt auch andere Datenschutz- und Sicherheitsprobleme im Zusammenhang mit der Bluetooth-Funktionalität im Allgemeinen. Die Tatsache, dass diese Technologie verwendet wird, um menschliche Bewegungen über eine eindeutige ID (TempID) zu verfolgen und aussagekräftige Daten zu sammeln, wird zwangsläufig das Interesse von Angreifern wecken, die nach Schwachstellen suchen. Daher muss genau geprüft werden, welche Daten erhoben werden, wo sie gespeichert werden und wie lange sie aufbewahrt werden.

Einige Apps zeigen bereits Anzeichen einfacher Fehler, die komplexe Schwachstellen verursachen.

Der australische Softwareentwickler Geoffrey Huntley hat den Quellcode von COVIDSafe untersucht, und leider gibt es Probleme, die uns Endnutzern nicht unbedingt aufgezeigt werden.

Ein kritisches Beispiel war ein Logikfehler, der den Datenschutz verletzte und es einem Angreifer ermöglicht hätte, Geräte langfristig zu verfolgen; dies stellt ein enormes Risiko für gefährdete Nutzer dar, ganz zu schweigen davon, dass es gegen die eigene Datenschutzrichtlinie der App verstößt.

Es ist wichtig anzumerken, dass diese Logikschwachstellen seit dem 14. Mai behoben sind, aber das dringendere Problem ist, dass sie 17 Tage lang nach der Meldung durch Herrn Huntley ungepatcht im Umlauf waren. Er und andere Mitglieder der großartigen Sicherheits-Community verfolgen die CVEs im Zusammenhang mit der COVIDSafe-App hier.

Huntley weist darauf hin, dass selbst der Patch nach der Veröffentlichung Anzeichen von, nun ja, Inkompetenz zeigt. In seinem öffentlichen Protokoll merkt er an, dass der Patch Logik hinzufügte, anstatt einfach einen fehlerhaften Cache zu löschen, was die weitaus solidere Lösung gewesen wäre. Beides funktioniert, aber die Live-Lösung lässt Finesse vermissen – ein besorgniserregender Punkt bei einer so wichtigen Anwendung.

Obwohl engagierte Mitglieder der Gesellschaft ihre Zeit und ihr Fachwissen einsetzen, um den Quellcode zu durchforsten und Probleme aufzuzeigen, wird ihre Arbeit dadurch erheblich erschwert, dass der Code nicht von Anfang an Open Source war. Aktuell sind 28 Apps für Sicherheitsforscher weiterhin verschlossen.

Sichere Programmierung bringt uns immer wieder kurz vor dem Ziel zu Fall.

Ich habe zwar durchaus Verständnis für überarbeitete Entwickler – ebenso wie für die höchst ungewöhnliche Situation, inmitten einer Pandemie eine lebensrettende App entwickeln zu müssen –, doch das oben Genannte verdeutlicht, dass einige einfache Schwachstellen in einer im Grunde gemeinschaftlich genutzten Codebasis für Millionen von Nutzern erhebliche Probleme bedeuten können.

Ich möchte glauben, dass die meisten Menschen verantwortungsbewusst handeln, die App unterstützen und jedem die bestmögliche Chance geben wollen, Kontakte nachzuverfolgen und Ausbrüche dieses schrecklichen Virus einzudämmen. Auch ich befürworte Technologien, die dazu beitragen können, doch in vielerlei Hinsicht hat dies den allgemeinen Mangel an Prinzipien für sichere Programmierung offengelegt, der Entwicklern weltweit innewohnt.

In jeder Situation, in der Software schnell geschrieben werden muss, sind Fehler nicht gerade unerwartet. Häufige Sicherheitslücken wie Logikfehler, Fehlkonfigurationen und Code-Injection-Fehler sollten jedoch bereits während des Schreibens des Codes verhindert werden können und nicht erst, nachdem freiwillige White-Hat-Hacker die Codebasis auseinandergenommen haben.

Und das ist übrigens nicht die Schuld der Entwickler. Sie verlassen ihre Ausbildung mit kaum Kenntnissen in sicherer Programmierung, und in ihrer beruflichen Laufbahn beziehen sich ihre KPIs fast immer auf Funktionsumfang und Liefergeschwindigkeit – der Sicherheitsaspekt ist etwas, um das sich jemand anderes kümmern soll, wenn sie fertig sind. Wir müssen zu einem Endzustand gelangen, in dem sicher und schnell programmiert wird. Auch wenn jetzt nicht der Zeitpunkt für seismische Kulturveränderungen in den Abteilungen ist, die diese Apps bauen, ist dies eine rechtzeitige Erinnerung daran, dass unser digitaler Risikobereich wächst. Sie sind in der besten Position, etwas zu bewirken, wenn sie die Werkzeuge und das Wissen erhalten, um die Verantwortung für Sicherheits-Best-Practices mitzutragen.

Ist es sicher, die App herunterzuladen?

Die Sache ist die: Als Sicherheitsexperte bin ich zu dem Schluss gekommen, dass die Vorteile der App die Probleme überwiegen. Es ist nicht ideal, dass die oben genannten Schwachstellen in dieser Software vorhanden sind oder waren, aber die Auswirkungen einer missbräuchlichen Nutzung dieser Lücken wären Worst-Case-Szenarien. Im Moment ist die Kontaktverfolgung ein wesentlicher Bestandteil, um unsere medizinischen Helden auf der ganzen Welt bei der Eindämmung der Ausbreitung zu unterstützen, den Anstieg der Krankenhauseinweisungen zu bremsen und uns gegenseitig so gut wie möglich zu schützen.

Dies unterstreicht, dass wir noch einen langen Weg vor uns haben, wenn es darum geht, Sicherheits-Best-Practices standardmäßig in Software-Builds zu verankern. Es ist wichtig, dass die Öffentlichkeit über die nötigen Informationen verfügt, um fundierte Entscheidungen zu treffen.

Meine Familie und ich werden sie weiterhin nutzen, bleiben aber wachsam und halten unsere Android-Patches auf dem neuesten Stand, wie wir es alle tun sollten.