potiuk
commented
4 years ago Tak jak pisałem w https://github.com/ProteGO-Safe/specs/issues/189#issuecomment-642120134 dziś wziąłem udział w spotkanu (dzięki Panoptykonowi i na ich zaproszenie) z zespołem w Google odpowiadającym za kontkakty z organizacjami NGO w zakresie "Contact Tracing".
Do spotkania zostałem doproszony dosłownie 10 minut przed więc nie miałem czasu nic napisać tiu - zadaliśmy trochę pytań i myślę że 50% naszego spotkania było poświęcone właśnie otwarciu kodu Exposure Notification.
Pokrótce czego się dowiedzieliśmy:
- Google twierdzi, że implementacja EN jest głęboko związana z "wnętrzem" systemu operacyjnego i używa rozwiązań, które wyłączają zabezpieczenia wbudowane w system (na przykład usypianie aplikacji które zbyt intensywnie korzystają z BT - tak jest w przypadku iOS, albo integracja z Play Services w przypadku Google). Dlatego pełne udostępnienie kodu do audytu w tej chwili jest trudne - jeśli nie niemożliwe bez dużej ilości pracy żeby te rzeczy rozdzielić.
Mój komentarz: Faktycznie to może być dobra argumentacja, ale myślę że w dalszej perspektywie tą pracę Google i Apple będą musiały (i będą mogły) wykonać tą pracę i otworzyć sporą część tego kodu..
- W tej chwili Google i Apple udostępniają rządom, które o to poprosiły, możliwość zaudytowania tego kodu "ręka w rękę" z inżyenierami z Google i Apple. Tak się już dzieje w przypadku niektórych rządów (z zastrzeżeniem ze nie mogę powiedzieć o które chodzi) ale nie ma na razie na tej liście Polski z tego co rozumiem (to znaczy, że nasz rząd na razie nie poprosił o to wystarczająco dobitnie). Ze względu na ograniczone możliwości czasowe, ta możliwość została udostępniona (na żądanie) rządom które albo już wypuściły aplikację, albo zaraz ją mają wypuścić. Google i Apple są bardzo zainteresowane w tym żeby ich rozwiązanie było tak bardzo "open" jak to możliwe i nie wykluczają (ale też nie commitują się do tego) że w przyszłości, kiedy potrzeby rządów które są użytkownikami API będą już mniejsze - w podobny sposób audyt kodu G+A bęðzie możliwy dla wybranych organizacji NGO które działają w obszarze prywatności i bezpieczeństwa.
Mój komentarz: Tak jak wielokrotnie już pisałem w ciągu ostatnich paru dni - to po stronie rządu teraz jest piłeczka żeby naciskać G+A na a) audyt b) docelowe jak największe otwarcie kodu. Jak widać rządy mają narzędzia do tego, żeby iść w tym kierunku i Google i Apple im to umożliwiają bo zależy im na tym, żeby ich rozwiązanie było jak najbardziej (w miarę możliwości na chwilę obecną) otwarte.
To tyle w temacie.
SeraMoon
KoderFPV
MateuszRomanow
Is your feature request related to a problem? Please describe.
141 #135 #145 #146 #129 #191
Describe the solution you'd like Niezależny polski ekspert (np. Niebezpiecznik) dokona audytu modułu oprogramowania w oparciu o otwarty kod źródłowy rozwiązania Exposure Notification, potwierdzając tym samym, że kod wykonuje tylko to do czego został stworzony, zaś chwilowe diagnosis key nie są agregowane nigdzie z jakimkolwiek innym identyfikatorem lub danymi pozwalającymi stwierdzić kim jest jego posiadacz.
Describe alternatives you've considered W przypadku braku pozytywnego wyniku audytu - rozwój własnego protokołu do Contact Tracingu.
Additional context \x00