THL: Android-puhelinten koronasovelluksissa havaittu haavoittuvuus on korjattu – väärinkäytöksiä ei ole tullut ilmi

Koronavilkku-sovellus on saatavilla Android- ja iPhone-puhelimille.

Terveyden ja hyvinvoinnin laitos THL on kertonut tänään, että Android-puhelinten koronasovellusten osalta havaittu mahdollinen tietoturva-aukko on nyt korjattu. Mielenkiintoisesti Suomessa tietoturva-aukko huomattiin jo ennen Koronavilkun käyttöönottoa syksyllä 2020, mutta tuolloin Googlelle jätetty huomautus ei johtanut vielä toimenpiteisiin.

THL:n mukaan Google ilmoitti korjauksesta 26. huhtikuuta, jonka jälkeen haavoittuvuuden korjaus on päivittynyt puhelimiin, taustalla tapahtuvin Google-palvelujen päivitysten kautta. Myös Suomen Koronavilkku-sovellus käyttää Googlen rajapintaa.

Selvitys mahdollisesta tietoturva-aukosta lähti liikkeelle huhtikuun lopussa, kun yhdysvaltalainen tietoturvayhtiö havaitsi, että eri koronasovellusten hyödyntämä Googlen rajapinta tallensi puhelinten vaihtamia satunnaisia tunnuskoodeja puhelinten suojattuun järjestelmälokiin. Tunnuskoodeja ei pitäisi kuitenkaan tallentua minnekään muualle kuin sovelluksen hyödyntämään Exposure Notifcations -rajapintaan 14 vuorokauden ajaksi. THL kertoo, että EU-maat vaativat Googlea korjaamaan asian nopeasti.

Myös Suomessa rajapintaan liittyvä mahdollinen tietoturva-aukko huomattiin ja Koronavilkun työryhmä huomautti asiasta Googlelle jo 17.8.2020. Sittemmin THL ja Kyberturvallisuuskeskus katsoivat, että havaitut riskit ovat niin epätodennäköisiä, että ne voidaan hyväksyä. Satunnaiset tunnuskoodit, joita haavoittuvuus koski, ovat anonyymeja, 10-20 minuutin välein vaihtuvia tunnuslukuja, joita sovellus käyttää altistumisen seurantaan. Sovelluksen käyttäjää ei yksittäisestä koodista pysty tunnistamaan.

Tavallisilla käyttäjillä ja sovelluksilla ei myöskään ole ollut pääsyä suojattuun järjestelmälokiin, johon tunnuskoodeja on tallentunut. THL:n mukaan jos koodeja olisi kerätty useista laitteista ja yhdistetty muihin tietoihin, olisi teoreettinen mahdollisuus henkilöllisyyden paljastumiselle ollut olemassa. Tiedossa ei kuitenkaan ole, että mahdollista tietoturva-aukkoa olisi käytetty hyväksi missään tilanteessa.

Mainos: Noin 1 600 000 tuotteen hintavertailu ja hintaseuranta - katso Hinta.fistä mistä saat halvimmalla