Har funnet sikkerhetsrisiko i Smittestopp-appen – kan brukes til å spore andre

Smittesporingsappen gjør det mulig for datakyndige å spore dem som bruker appen. Det viser undersøkelsene til datautvikler Hallvard Nygård. Det utgjør en potensiell sikkerhetsrisiko for regjeringsmedlemmene, som nesten alle lastet ned appen umiddelbart.

Appen «Smittestopp» er er lastet ned av store deler av Norges befolkning. Også regjeringens medlemmer lastet den ned raskt. Forsvarsminister Frank Bakke-Jensen var blant dem som lastet den ned allerede torsdag.

«Æ deltar!», skrev sjefen for Norges forsvar på Facebook torsdag kvart på fem, med et skjermbilde som viste at han hadde installert appen.

Også statsminister Erna Solberg og helseminister Bent Høie var blant dem som lastet den ned umiddelbart torsdag.

VG har fått svar av 16 av 19 regjeringsmedlemmer, i tillegg til Erna Solberg. Alle 17 bekrefter at de har lastet ned appen.

Nå viser undersøkelser gjort av datautvikler Hallvard Nygård at appen kan brukes til å spore brukere. Nygård har utviklet et eget sporingsprogram til sin mobiltelefon som lytter etter signalene som Smittestopp-appen sender til andre telefoner i nærheten.

– Kan brukes for å overvåke folk

Ett av signalene som Smittestopp sender, er en unik kode for den enkelte mobilen. Denne koden endres aldri, og vil ifølge Nygård kunne brukes til å spore og følge brukere.

– Dette kan brukes til å overvåke folk. Mitt program på mobiltelefonen kan se hvilke mobiler i nærheten av meg som har installert Smittestopp. Vi må være ganske nær hverandre, siden dette går over bluetooth-signaler, men det har i hvertfall en rekkevidde på kanskje opp til ti meter, sier Nygård.

– Du kan for eksempel legge en mobil med dette sproringsprogrammet i nærheten av huset til en person, og slik finne ut om han eller hun er hjemme eller ikke. Smittestopp-appen kan også misbrukes av kommersielle aktører og butikker, som vil kunne få vite om personen som kom inn i butikken har installert appen, forklarer han.

– Er det mulig å ha en annen løsning, hvor identifikasjonskoden ikke er den samme hele tiden?

– Absolutt. I apper som utvikles av andre EU-land byttes ID-en hver time eller oftere. Det er fullt mulig å lage en smittesporings-app som hindrer at noen vet hvem de andre er, sier Nygård.

Denne svakheten ved Smittestopp ble påpekt av ekspertgruppen som vurderte sikkerheten i appen. I en rapport fra 9. april skriver de at «permantente og enhets-spesifikke identifikatorer mellom enhetene [vil] åpne for muligheter til å utlede andres identitet eller smittestatus.» De skriver at det vil være enkelt å endre.

Ti dager etter at rapporten er skrevet, er endringen ennå ikke gjennomført.

– Jeg tror ikke utviklerne har hatt tid til å endre dette. Men jeg håper og tror at de vil få endret det snart, sier Nygård.

Utvikleren vil fikse problemet

Til VG sier utvikleren Simula, som har laget appen, at de er klar over problemstillingen.

– Vi vil endre dette i neste runde. Da vil ID-en endres etter en takt. Vi har blitt enige med sikkerhetsgruppen om å ta dette i neste runde, men vi har foreløpig ingen dato for når dette blir, sier direktør i SimulaMet, Olav Lysne.

Han sier dette var ventet, og sier de er glad for at miljøet følger med på appen.

– På generell basis er jeg veldig glad for det miljøet gjør. Vi følger med på dem hele tiden, også i samtid da de diskuterte appen vår etter annonsering. De arbeider raskt, godt og ansvarlig. Men hvis de finner noe alvorlig ser vi svært gjerne at de kontakter oss først, sier Lysne.

Mener det forutsetter observasjon

VGs sikkerhetsekspert Einar Otto Stangvik har sett saken, men vurderer at misbruk forutsetter at man kan bekrefte gjennom observasjon at en ID tilhører en bestemt person. Da kan man senere vite at samme person, eller i alle fall personens telefon, er i nærheten hvis ID-en dukker opp.

Han påpeker likevel at man kan argumentere for at man, i mange situasjoner, visuelt kan gjenkjenne en person som passerer, like fort som man ser ID-en til vedkommende.

På grunn av nærheten- og antall sensorer som skal til for utbredt sporing, er han mindre bekymret for spionasje av statlige aktører, men sier at det potensielt kan utnyttes av noen med eksisterende infrastruktur for eksempelvis reklamevisning.

Bruk er koordinert og avklart med PST

Fredag sa Erna Solberg til DN at hun gjør et unntak fra reglene for å bruke appen. I utgangspunktet har statsministeren strenge regler for apper som sporer og lagrer lokasjonsdata.

I dette tilfellet sier hun at PST har godkjent bruken.

– Den sikkerhetsvurderingen vi har gjort er at uvedkommende ikke kan komme inn i appen. PST har også vært inne i denne vurderingen, og de er opptatt av at man aldri kan vite hvor jeg er i sanntid. Hvor jeg har vært historisk er jo ikke nødvendigvis like sensitivt, sier Solberg til DN.

Når VG tar kontakt med Statsministerens kontor om de nye opplysningen henviser de til Simula og PST.

– Både statsministeren og andre statsråders bruk av denne appen er koordinert og avklart av PST. Det er ikke slik at PST godkjenner apper, men vi er klar over at denne appen, så vel som mange andre apper med geolokalisering, kan gjøre det mulig å spore personer. Vi iverksetter de tiltakene som er nødvendige for å beskytte våre myndighetspersoner, sier seniorrådgiver Annett Aamodt i PST.