Aarogya Setu, la aplicación de rastreo Covid-19 de India, que ha logrado más de 100 millones de descargas desde su lanzamiento, enfrenta problemas de credibilidad uno por uno. Apenas un día después de que el gobierno federal anunciara protocolos para el intercambio de datos y conocimientos para que la aplicación aliviara los problemas de seguridad del usuario, un pirata informático ahora afirma que la ha violado.
Un desarrollador de software de Bangalore, conocido como Jay, afirma que hackeó la aplicación al pasar por alto la página que solicita información personal de un usuario, como edad, sexo, verificación de síntomas e itinerario. El dicho Buzzfeed dijo que también logró acceder a la aplicación sin otorgar los permisos necesarios.
Esta es la segunda vez que se plantean graves problemas de seguridad y privacidad de datos en relación con la aplicación de seguimiento del virus corona indio, que también fue reconocida por el Director General de la OMS, Tedros Adhanom, el Banco Mundial y el fundador de Microsoft, Bill Gates.
El gobierno federal había rechazado rápidamente las acusaciones de un hacker ético francés. Elliot Alderson Quién había utilizado sus redes sociales para llegar a los desarrolladores de la aplicación. El Ministerio de Electrónica y Tecnología de la Información (MEIT), la división de nodos de la administración central, había confirmado en ese momento que era imposible hackear la aplicación Aarogya Setu, una acusación que ahora aparentemente se ha estancado.
Hace dos días, India lanzó una aplicación móvil «para luchar contra # COVID19». Instalé la aplicación y tengo 1 hora por delante. Veamos que puedo encontrar. https://t.co/KAJ6RjkQMf3 de abril de 2020
El pirata informático de Bangalore dijo que siguió a Aarogya Setu porque se opuso a la medida del gobierno federal para hacerla vinculante, especialmente para el transporte aéreo y el tren. viajar. Algunas regiones, como NOIDA, que limita con la capital del estado de Nueva Delhi, han multado e incluso amenazado con ser arrestadas por no llamar a la aplicación.
La cobertura celular de la India es actualmente de 1.15 billones con una población de 1.3 billones, lo que significa que alrededor del 15% de la población no es parte de la red celular, sin mencionar que una proporción significativa de aquellos que poseen teléfonos celulares solo pagan servicios básicos. dispositivos y, en el mejor de los casos, teléfonos funcionales de gama baja.
Algunas preguntas difíciles
pedir Con respecto a la seguridad de los datos y la protección de datos, ocasionalmente ocurrió que los abogados querían saber quién tendría acceso a los datos y si Aarogya Setu sería suspendido tan pronto como la pandemia de Covid 19 remitiera en el futuro. El lunes, el gobierno creó protocolos para el intercambio de datos y conocimientos para la aplicación.
El reglamento de implementación emitido por MEIT contenía pautas para el intercambio de datos de Aarogya Setu con agencias gubernamentales y terceros. La orden reemplazó la política de privacidad de la aplicación, que, según los expertos legales, era el único escudo para proteger a los ciudadanos del uso no autorizado de su información personal.
Sin embargo, los expertos legales y de seguridad solo estaban parcialmente convencidos de que la última regulación requiere el apoyo de una ley de protección de datos personales que actualmente está esperando la aprobación legislativa en el parlamento. También alegaron que el protocolo estaba redactado en términos generales, lo que generó algunas preocupaciones.
El verdadero problema está en otro lado.
El gobierno federal quiere resolver el problema de la falta de confianza porque menos de una décima parte de los suscriptores de teléfonos móviles indios han descargado el Aarogya Setu. La razón no es difícil de entender, porque la esencia del éxito de la aplicación en contener Covid-19 depende de que llegue a una masa crítica de usuarios TechRadar había dicho hace un mes.
Con este fin, el gobierno federal ha tratado de abordar las preocupaciones de los expertos legales y de seguridad con la regulación de implementación, que establece protocolos sobre quién puede acceder a los datos, durante cuánto tiempo y en qué circunstancias.
Según la orden firmada por el secretario de TI, Ajay Prakash Sawhney Aarogya Setu puede recopilar cuatro categorías de datos: datos demográficos, contacto, autoevaluación y ubicación, denominados colectivamente datos de respuesta. Además del nombre, número de teléfono móvil, edad, sexo, profesión e itinerario de viaje, la aplicación también realiza un seguimiento de quiénes eran todos los usuarios en las inmediaciones, incluida la duración, la distancia y la ubicación geográfica.
Gobierno trae medidas de protección
El protocolo ahora define que los desarrolladores de la aplicación, el Centro Nacional de Informática, pueden compartir información personal con los departamentos de salud de las administraciones centrales y estatales, agencias de protección civil nacionales y estatales, otros ministerios de gobiernos centrales y estatales, y otras instalaciones de salud pública.
La línea contra la cual objetan los expertos legales es la siguiente: «Si dicha divulgación es absolutamente necesaria para formular o implementar directamente una respuesta de salud adecuada».
El protocolo mantiene las cosas poco definidas, incluso si y cómo los datos podrían compartirse con terceros. Se dice que esto podría hacerse «si es absolutamente necesario para formular o implementar reacciones de salud adecuadas directamente».
Sin embargo, hay algunos controles y saldos. El protocolo establece que los datos de respuesta solo se pueden compartir de forma no identificada, lo que significa que, con la excepción de los datos demográficos, se elimina toda la información de una persona y se asigna una identificación generada aleatoriamente.
¿Pero es eso suficiente?
El departamento también insta a la tarjeta de red a documentar todos los datos compartidos y mantener una lista de las agencias que posee. Además, se estipula que ninguna entidad puede conservar los datos compartidos durante más de 180 días a partir de la fecha de su recopilación. Cita de la Ley de Gestión de Desastres de 2005 para establecer sanciones por violar el protocolo.
Y justo cuando parecía que la administración federal ya no tendría que girar las armas para aumentar las descargas, este informe proviene de otro hacker ético. El hacker con sede en Bangalore afirmó haber creado su propia versión de Aarogya Setu y la compartió con 15 de sus amigos. Sugirió que funcionaría mal en comparación con las versiones desarrolladas por Apple y Google porque no almacenan información personal.
Quizás haya una lección que el Centro Nacional de Computación podría extraer de este episodio porque el hecho es que Aarogya Setu puede proporcionar datos valiosos una vez que alcanza una masa crítica de descargas, especialmente en las zonas roja y amarilla.
