Radar COVID. reversing

Llevamos unos días hablando sobre la privacidad y seguridad de la app del Gobierno de España para el rastreo de contactos relacionados con el COVID. Hemos hecho ingeniería inversa y no ha aparecido nada extraño. Análisis de su código

[#3 sorrillo]

#1 Es triste que una aplicación de este tipo, financiada con dinero público, no sea código abierto desde el primer día.

[#1 Desactivado]

Los que creen que es para espiar no necesitan pruebas, no tienen más que decir que estos son unos vendidos y mentirosos, marionetas del poder y a seguir la paranoia.

[#6 montag]

Gente que te advierte de que es un peligro para tu confidecialidad desde su cuenta de facebook...

[#28 barni]

#21 tienes una idea bastante distorsionada de lo que significa escribir y utilizar software de código abierto.

Abriendo el código con un esquema de licenciamiento adecuado te puedes beneficiar de arreglos y mejoras que hagan otros.

Y dicho sea de paso, en este caso no estamos hablando de un desarrollo que tomó años y/o miles/millones de líneas de código, precisamente.

[#2 pingON]

llevamos más de 2000 años sin pruebas de al existencia de dios... y se creen cualquier cuentico... #1 +1

[#72 insulabarataria]

#54 tienes que introducir un código que te da el médico para ponerte como positivo

[#23 Desactivado]

#7 A ver, que es Java y se está analizando el código fuente:
Repasando el código fuente (decompilado) de la aplicación Radar COVID no se detecta ningún uso “inapropiado”: no se obtiene la localización del usuario en ningún momento, no se accede a ningún fichero del dispositivo, no se accede a ningún servicio de telefonía (para, por ejemplo, obtener el MSISDN o enviar un SMS), …
Si tienes el código fuente, aunque sea decompilado en el caso de Java, no necesitas monitorizar la red para ver contra qué abre conexiones, porque cualquier destino lo tienes que tener en el código.
Y si hay datos ofuscados, cifrados, etc... se ve a simple vista y sabes que hasta que no consigas desofuscarlo, descifrarlo, etc... sabes no tienes seguridad de de qué hace ese código y entonces no asumes que la aplicación es segura.

[#16 Desactivado]

Gente que da gratuitamente todos sus datos, fotos, videos a empresas como Facebook o Google preocupados por la privacidad de Radar COVID

[#10 Ehorus]

No termino de entender la necesidad de realizar una ingenieria inversa... si una de las condiciones de la propia app es que debía ser abierta....
Loable realizar un trabajo... que debió no hacer, por incumplimiento de este gobierno

[#92 Desactivado]

#21 Mira aquí: https://github.com/covidgreen

editado:

cc #40 Irlanda

[#5 Desactivado]

#2 Ojalá fueran sólo 2000 años.

[#32 MaRDuC]

#18 También te lee la mente y traspasa una copia de tus recuerdos al laboratorio secreto de Pablo Iglesias

[#17 Desactivado]

#15 y cual es la razón de que quieras que el código no sea abierto

[#67 Desactivado]

#40 Alemania - https://github.com/corona-warn-app

[#34 Aguirre_el_loco]

#6 sólo dos palabras: app linterna

Acceso a tu agenda, grupo sanguíneo, historial sanitario e historial bancario

[#44 Ferk]

#21 Te contradices. Tu mismo estás dando la solución al falso problema al que te refieres (que otros lo usen "por la patilla"). La idea sería colaborar con otros (que precisamente estaban más avanzados que nosotros y podríamos habernos beneficiado más nosotros que ellos).
Y adermás nadie ha dicho "que por defecto todo deba ser abierto".

Ya existía código abierto desarrollado en Alemania (https://github.com/corona-warn-app), que lleva publicado desde mucho antes de que nuestro país tuviese siquiera prototipo. Por desgracia nuestra industria no va a poderse ver beneficiada por la publicidad que supondría el haber sido los primeros que publicaron el código para la aplicación. Y si lo liberasen dudo mucho que sea de mejor calidad que lo que existe actualmente... no me sorprendería de que no lo publiquen para evitar que se le caiga la cara de verguenza a más de uno. Sobretodo por lo mucho que se tardó y las comisiones que seguramente se haya tomado la empresa amiga por el camino.

[#70 sorrillo]

#69 Hasta donde tengo entendido usa la API de Google para el Covid19, de ahí que los Google Play Services sean un requisito.

[#21 ytuqdizes]

#17 Uno es que su desarrollo tiene un coste, y tal vez no quiera dejar ese software disponible para otros paises para que lo usen por la patilla. En el caso concreto de una aplicación para combatir la covid, entiendo que la colaboración entre países nos beneficía más, pero no creo que por defecto todo deba ser abierto.

[#81 Desactivado]

#75 Por supuesto que se puede, pero la ventaja de la API de Google es que incluye, precisamente, el protocolo de comunicación sobre Bluetooth "estandarizado" para la Covid-19, con lo que las diversas apps de todos los países no necesitan implementarlo, lo que garantiza que siempre serán interoperables entre sí sin nada de esfuerzo, tanto entre Android e iOS como entre distintos países. Teniendo en cuenta la situación de pandemia y la prisa por sacarla, tiene sentido que forme parte del sistema operativo.

Aunque estoy de acuerdo en que deberían haberlo publicado también como un servicio aparte instalable manualmente, precisamente para los dispositivos que no utilicen las GApps.

[#31 barni]

#18 vaya flipadas y movidas os montáis algunos

[#11 Desactivado]

#7 pues con los permisos que solicita no puede enviar mucho más que tu ubicación e información de la Red a la que está conectado el teléfono.

[#46 kmon]

#6 mi favorita es la gente que te avisa de los peligros del 5G usando 4G, del cual también te advirtieron usando 3G

[#60 Mschumacher]

#3 #1 la app no tiene ningún problema, esta limpia. Solo dos aclaraciones

1 - técnicamente hacer Rev engineering en un delito. Nadie va a denunciarte, pero con la (estupida) ley en la mano, podría hacerse
2- usa mobsf. Es mucho más sencillo de ver toda la info

[#48 ytuqdizes]

#44
Para empezar nadie ha dicho "que por defecto todo deba ser abierto"

Mi comentario venía por este texto de #3:
"Es triste que una aplicación de este tipo, financiada con dinero público, no sea código abierto desde el primer día"

Releyéndolo, si, tal vez lo haya malinterpretado. Pero bueno, creo que en mis comentarios anteriores ya he dejado claro a que argumento estaba contestando

[#102 Desactivado]

#98 Me temo que estás mezclando cosas. Una cosa es hacer ingeniería inversa simplemente, y otra, que es de lo que habla ese artículo que pones, es utilizar ingeniería inversa para obtener claves de descifrado que te permitan acceder a información privada. Lo segundo claro que es ilegal, pero no por hacer la ingeniería inversa en sí, sino por usarla para romper un cifrado que protege la privacidad de otros.

Un ejemplo: yo puedo hacer ingeniería inversa de un reproductor de DVD, pero lo que no puedo es aprovechar esa ingeniería inversa para extraer la clave de descifrado de los DVDs y usarla para piratearlos. En otras palabras: que haya obtenido esa clave "legalmente" no me permite utilizarla para acceder a esos contenidos sin autorización.

[#22 Desactivado]

#13 Creo que #4 se refiere a una captura que hay más abajo.
No sé si es por la ofuscación o por la "descompilación", pero es normal que los programas de desempaquetado asigne nombres aleatorios a las variables y objetos que identifica, ya que los originales sólo están disponibles en el código fuente original, no en los binarios o los ficheros objeto.

[#62 redscare]

#4 No parece ofuscado, simplemente el decompilador se ha inventado unos cuantos nombres de variables. Si estuviera ofuscado no habría dios que entendiese nada sin echarle una pila de horas.

[#8 chelvis]

¿Eso no tiraba del nuevo servicio de Google "Notificaciones de exposición a COVID-19"?

[#20 TinkerTinker]

Yo la he probado y me pide que me instale cosas de Google. No funciona sin ellas?

[#25 eqas]

#8 Sí, de hecho si te vas a los "ajustes de Google" del tlf, ves esa opción y te dice que en este momento está usando Radar Covid como app de apoyo.

[#109 javierchiclana]

#70 Con ello deja fuera a los Huawei de nueva hornada

[#33 orangutan]

#c-6" class="content-link" style="color: rgb(227, 86, 20)" data-toggle="popover" data-popover-type="comment" data-popover-url="/tooltip/comment/3371828/order/6">#6 # 16 Es que no es lo mismo que te espie el gobierno americano que el español

[#98 Mschumacher]

#93 las leyes no están pensadas para este escenario, y depende de la interpretación del juez. Como he dicho en el comentario anterior, tu puedes usar la aplicación pero no tienes acceso al código fuente. Es un secreto y no tienes autorización para acceder a el

Aquí lo explican un poco mejor https://elderecho.com/medidas-de-seguridad-ingenieria-inversa-y-privacidad

[#53 Desactivado]

#29 Sólo si se usa esa característica. Por cierto, se llama reflexión https://es.wikipedia.org/wiki/Reflexi%C3%B3n_(inform%C3%A1tica), no refracción.

[#7 Desactivado]

Me parece un analisis bastante pobre.
Lo suyo seria ver lo que envia por red y lo que recibe.

[#51 ytuqdizes]

#49 No soy el más listo, pero hago lo que puedo

editado:

Ey! el comentario #44 ha crecido!!!

[#52 Ferk]

#51 Tampoco es eso hombre.
Además, te mereces positivo por releer las cosas.

[#55 Desactivado]

#43 Pues a ver si hay suerte y me lo instalan en el Nokia 3310 que tengo en un cajón.

[#79 Desactivado]

#60 La ingeniería inversa en sí no es delito. Se podría discutir si publicas claves privadas, y lo que sería delito en todo caso sería utilizar en tus desarrollos el código obtenido de la ingeniería inversa. Pero la ingeniería inversa en sí no lo es.

[#88 Mschumacher]

#76 #79 estas modificando algo que tiene propiedad intelectual y no lo estás usando con el fin del que fue diseñado

A mi no tenéis que convencerme, yo uso Frida e ida pro...
son leyes prehistóricas y posiblemente nadie la aplique nunca, pero con la ley en la mano...

[#107 ap31r0n]

#21 La aplicacion alemana es opensource, con su codigo publicado en internet y ha costado 69 millones de Euros.

Me gustaria ver el codigo de esta para ver "cuanto de parecida" es a la alemana.

y por si no te lo crees: https://github.com/corona-warn-app

[#40 orangutan]

#28 #21 De hecho no recuerdo ahora que país fue en concreto (no sé si Suiza), pero un país europeo si que liberó su código.

[#73 insulabarataria]

#68 sí

[#29 amchacon]

#22 Pero Java permite refracción. Lo cual significa que el nombre de las variables debería estar guardado en el fichero objeto también

[#84 Desactivado]

#3 esto sí que es triste:

https://play.google.com/store/apps/details?id=cat.gencat.mobi.StopCovid19Cat

https://play.google.com/store/apps/details?id=org.madrid.CoronaMadrid


https://play.google.com/store/apps/details?id=com.erictelm2m.colabora

Miles de euros a la basura.

[#14 snowdenknows]

#1 vaya tontería, anda que no espían las apps de google y las tienes con pruebas y sin pruebas

[#87 sorrillo]

#84 Ante una pandemia cada día cuenta, cada día con herramientas disponibles salva vidas.

Y el Gobierno de España ha tardado meses en sacar una aplicación, de hecho creo que a fecha de hoy aún no está operativa en todo el conjunto del estado.

[#4 Escheriano]

El código de la captura, es la ofuscación, ¿no?

[#13 uyquefrio]

#4 Es el archivo manifest de android, en resumidas cuentas es donde se define el nombre la app y los permisos entre otras cosas.

[#19 Escheriano]

#13 sí sí, me refería a la segunda captura.

[#36 ytuqdizes]

#28
tienes una idea bastante distorsionada de lo que significa escribir y utilizar software de código abierto.
Bueno...

Abriendo el código con un esquema de licenciamiento adecuado te puedes beneficiar de arreglos y mejoras que hagan otros.
Es cierto, pero en algunos casos tal vez prefiero ocultar la lógica aunque no puedan ayudarme desde fuera...

Y dicho sea de paso, en este caso no estamos hablando de un desarrollo que tomó años y/o miles/millones de líneas de código, precisamente.
También es cierto, y en este caso concreto, creo que siendo abierto puede ser más beneficioso.

Mi objeción es que todo deba ser abierto por defecto simplemente por el hecho de que se haya financiado vía impuestos. Un país puede haber usado dinero público para pagar el diseño de cualquier otro tipo de tecnología (armas, por ejemplo) y no por eso se van publicando los diseños tan alegremente...

[#37 ElSev]

#27 gente con 8GB o menos es un calvario para actualizar y van tirando borrando fotos de WhatsApp de vez en cuando.

[#82 Desactivado]

#29 ¿refracción?

[#86 mcfgdbbn3]

#3: Y que pida un teléfono último modelo o casi, o al menos yo he intentado instalarla y no me sale porque al parecer no renuevo mi móvil cada 6 meses.

[#89 Desactivado]

#63 ¿Y como los va a obtener Google y Facebook sino uso ningún servicio de ellos?. En las páginas web uso VPN y NoScript así que todos los datos cargados son bloqueados (permito sólo el uso de la propia web) el resto bloqueados totalmente.

[#93 Desactivado]

#88 Échale un vistazo al artículo 100.3 de la Ley de Propiedad Intelectual española vigente: https://www.boe.es/buscar/act.php?id=BOE-A-1996-8930

[#114 Telamarth]

#10 En principio han prometido abrir la aplicación una vez este implementada en todo el país y deje de estar en fase de pruebas. Lo que debiera de ocurrir hacía mediado de septiembre.

[#115 Telamarth]

#74 A mediados de septiembre aproximadamente deberían abrir su código. Así lo han prometido varias veces.

[#121 mcfgdbbn3]

#113: Pues yo no se si podré instalarlo, pero hay una cosa que tengo clarísima: no pienso cambiar de móvil. Me niego a formar parte de la obsolescencia programada, y menos si la tengo que pagar de mi bolsillo.

[#124 mcfgdbbn3]

#123: Es una exageración, pero si no funciona en un móvil de hasta 5 años, están fomentando la obsolescencia programada.

[#126 Desactivado]

Edit.

[#24 Redder]

#20 Vives sin play services? mi enhorabuena.

[#35 Desactivado]

Yo la tengo instalada y no me ha avisado de ningún contacto cercano con positivo.

[#54 Black_Phillip]

Yo el mayor fallo que le veo a la app es justamente el anonimato. Si un grupo de imbeciles en actitud de troleo, que haberlos haylos, activa que son positivos (sea cierto o no) y pase por sitios donde trascurra mucha gente bastará para empezar a crear paranoia.

[#71 tusko]

#18 ¿Hace falta abrirse una cuenta todos los meses para parecer idiota? ¿O se es a priori sin necesidad?

[#74 Nova6K0]

En un supuesto de instalar Radar Covid, si le digo que no quiero usar la ubicación ¿me funcionaría? (ya sé la respuesta, en realidad). Lo digo porque cuando instalé Instagram, me preguntó si podía usar la ubicación y le dije que no y aquí la tengo funcionando igualmente.

Y no es lógico que se tenga que usar ingeniería inversa a una aplicación que se supone que iba a ser de código abierto.

Saludos.

[#76 phyrian]

#60 Creo que la ingenieria inversa en españa no es delito. Lo que es delito es como uses luego el codigo, es decir si lo alteras, lo usas para robar datos etc

[#83 redscare]

#78 Y que hay decompiladores que se pasan la ofuscación por el forro de los webos. Como dicen en ingles, el 'security through obscurity' nunca es buena idea.

[#91 Nova6K0]

#77 Gracias. Precisamente si lo preguntaba es porque ya sabía eso. Pero sigue sin convencerme, aunque no sea directamente culpa de la aplicación.

Es más me recuerda a un estudio de piratería financiado por la RIAA (Las "majors" discográficas básicamente) y que decía eso que estaba financiado por la RIAA, pero que los resultados eran imparciales. Casi me caigo de culo, de la risa que me entró.

Saludos.

[#99 Mschumacher]

#97 lee #98

[#118 Desactivado]

El colmo de un espía es hacerse famoso en el ejercicio de su actividad. El colmo de un programa trazador de actividad (para ser espía solo le falta el desconocimiento de su usuario) es meter código "malicioso". La infección digital de COVID no está contemplada por la Secretaria de Estado para la Digitalización e Inteligencia Artificial. La inteligencia natural está gestionada desde una comisión de expertos.
https://www.boe.es/diario_boe/txt.php?id=BOE-A-2020-10008

[#131 Mschumacher]

#130 ea, tienes razón. Eso es lo que quieres oír? Pos ale, a dar la lata a otro lado

[#26 eqas]

#20 Debes tener un tlf poco actualizado, porque hasta en un Android 6 con las play services actualizadas se instala sin problema. Si no tienes las play services al día (o casi) hay muchas apps que no te deben funcionar. Y las play services se actulializan solas cada vez que actualizas una app aunque sea manualmente. Es raro.

[#30 Desactivado]

#8 Los permisos para usar esa API están también en el artículo. El único que necesita la aplicación es el de recibir notificaciones desde esa API de que has estado expuesto, y la notificación la recibirás si un usuario que esté entre tus contactos ha sido diagnosticado.

[#38 Desactivado]

#18 es de suponer lo habrían visto en el código, al igual que han visto los listeners para conectar a los diferentes servicios. Y de todas formas enviar el contenido del portapapeles en texto plano no sería muy útil ya que literalmente puede contener cualquier tipo de información y no sé yo de ninguna IA capaz de coger como entrada cualquiera dato y darlo sentido.

[#41 TinkerTinker]

#24 #26 #27 No tengo los servicios de google play instalados. Es una rom personalizada.

[#49 Ferk]

#48 "Una aplicación de este tipo" != "todo"

[#69 azenbugranto]

#3 Por lo menos que no sean obligatorios los Google Play Services.

Yo uso LineageOS en mi móvil y puedo instalar la aplicación, pero en cuanto la ejecuto me exige esos servicios que no tengo.

[#75 azenbugranto]

#70 O sea, una cagada. Seguro que se puede programar sin necesidad de usar la API de Google, como miles de apps que sí puedo usar en mi móvil, incluidas muchas que usan localización.

[#78 W3Fan]

#62 Y si lo ofuscas muy, muy bien, ni echando pila de horas. El problema es que afecta al rendimiento de la aplicación así que, normalmente, no se suelen tomar muchas molestias en realizar ofuscados excesivamente fuertes.

[#80 pip]

Estamos de acuerdo en que la aplicación debería de ser de código abierto.
Ahora bien: la ingeniería inversa es igualmente necesaria, para verificar que el binario que se está distribuyendo es efectivamente el mismo código que el que está en el repositorio.

No todo el mundo va a compilarse el mismo la aplicación.

[#85 W3Fan]

#83 Ya no es sólo en lenguajes compilados. Yo he visto código ofuscado en JavaScript que era una maldita pesadilla, con funciones de "auto-defensa" sobre modificaciones en el código, infinidad de código basura entremezclado con el código legítimo, protección anti-debugging y otras muchas barbaridades típicas de un ofuscado muy a lo bestia.
No sé lo que querrían esconder, pero se me quitaron rápido las ganas de intentar descubrirlo, la verdad.

[#90 sam2001]

#60 ¿Qué delito exactamente (del Código Penal español) se está cometiendo?

[#97 sam2001]

#96 ¿Dónde pone eso en el Código Penal? ¿Dónde pone en el Código Penal que ver el código fuente de un programa informático sea delito?

[#100 Desactivado]

#89 y el móvil que tienes no es ni un Android no un IPhone no? Cuentame más....

[#105 Desactivado]

#103 jajajaj vale pues disfrutalo

[#110 Desactivado]

#108 Entonces que interes tienes en noticias como ésta? No vas a poder instalarte Radar Covid así que 0 problemas...

SMS dice... jajaja bienvenido al siglo XXI, colega. Supongo que tus amigos tambien usan SMS y no whatsapp

[#112 Desactivado]

#111 Entenderás que tú no eres representante ni del 0,01% de la población no? Todo el mundo usa un movil con Internet y todo el mundo está expuesto a ser espiado por Google o Facebook o Apple por mucha VPN que usen por tanto quejarse de la privacidad de una aplicación como Radar Covid es absurdo sobre todo por gente que usa Android y Apple. Tu no te preocupes estás protegido solo te falta ponerte un globo en la cabeza para sentirte aun más seguro

[#116 mdotg]

#21 Quizás no debería ser la empresa quien decide si es abierto o no sino el gobierno cuando hace la licitación

[#122 Meneacer]

#1 Pues que la examinen ellos mismos... Ah, no, que hay que estudiar. Quita, quita...

[#130 sam2001]

#117 No has dicho que hubiera zonas grises, textualmente has dicho: "técnicamente hacer Rev engineering en un delito.". En los delitos no hay zonas grises, algo es delito o no lo es, y si no está claro si lo es o no, entonces no es delito.

Delitos son las conductas tipificadas como tal en el Código Penal, te he preguntado qué delito del código penal tipifica esta conducta y no me has podido responder porque no existe ninguno.

Pero en vez de rectificar y reconocer que te has equivocado porque has hablado sin saber (lo más probable es que no tengas ni la carrera de Derecho) te empeñas en mantener una mentira de forma deliberada.

[#27 Powertrip]

#20 no te pide que instales cosas nuevas, sino que actualices las que tienes

[#47 kmon]

#7 no enviará nada por la red porque se comunica con la api de Google, que sí enviará los datos a Google

[#50 tpm1]

#4 En Android Studio tienes disponible Proguard.

[#94 Desactivado]

#59 Pues si,algunos se creen que todos los que se quejan de la privacidad,usan Google,Wuasa,redes sociales,etc.No se dan cuenta que muchos no usamos ninguno de esos servicios y no tenemos ningún problema en pedir privacidad en nuestros teléfonos o en nuestras vidas.

[#103 Desactivado]

#100 Es un nokia el N95 y sin internet en el mismo.

[#108 Desactivado]

#105 Para el uso que le doy, llamadas y SMS más que suficiente.No necesito nada más.

[#111 Desactivado]

#110 Ellos usaran lo que quieran,pero conmigo se comunican con llamadas o con el SMS sin ningún problema.Yo he hablado del tema de la privacidad,que parece que los que se quejan son los que si tienen redes sociales,usan google,etc y he comentado que eso no es así para nada.

[#113 Tom__Bombadil]

#86 Ummmm, no.

Se puede instalar desde Android 6.0 (finales de 2015) o desde iOS 13.5 (iPhone 6S, finales de 2015 también). Así que, más o menos un móvil de hace 4 años te sirve como poco.

4 años dista muchísimo de último modelo o casi.

[#123 Tom__Bombadil]

#121 Lo que tú quieras. Pero un móvil de hace 4 años no es último modelo. Luego ya, las historias que te quieras contar.