Google a Apple oznámili špecifikáciu Contact Tracing API a Bluetooth na boj proti COVID-19 varovaním používateľov, ktorí mohli byť vystavení SARS-CoV-2.
Aktualizácia 6 (20. 5. 2020 o 13:55 EST): Rozhrania API upozornení na vystavenie spoločnosti Google a Apple sú teraz k dispozícii agentúram verejného zdravotníctva, aby mohli implementovať sledovanie kontaktov pre COVID-19.
Aktualizácia 5 (4. 5. 2020 o 15:25 EST): Apple a Google zdieľali niekoľko snímok obrazovky rozhrania Exposure Notification API a oznamujú, že sledovanie polohy bude zakázané.
Aktualizácia 4 (29. 4. 2020 o 14:30 EST): Apple a Google vydali beta verziu svojho rozhrania Exposure Notification API pre agentúry verejného zdravotníctva.
Aktualizácia 3 (24. 4. 2020 o 15:15 EST): Apple a Google premenovávajú rozhranie Contact Tracing API na „Oznámenie o expozícii“, čím pridávajú ďalšiu ochranu súkromia.
Aktualizácia 2 (24. 4. 2020 o 11:30 EST): Rozhranie API na sledovanie kontaktov spoločností Apple a Google sa spustí budúci týždeň a bude zahŕňať väčšinu zariadení Huawei.
Aktualizácia 1 (13. 4. 2020 o 17:51 EST): Počas konferenčného hovoru s reportérmi spoločnosti Google a Apple objasnili niektoré ďalšie podrobnosti o tom, ako bude sledovanie kontaktov spustené pre používateľov.
Kvôli pretrvávajúcej hrozbe, ktorú predstavuje SARS-CoV-2, sa Google a Apple spojili, aby oznámili novú špecifikáciu API a Bluetooth Low Energy s názvom „Kontakt Sledovanie." Myšlienkou sledovania kontaktov je informovať používateľov, ak boli nedávno v kontakte s niekým, komu bola diagnostikovaná pozitívna COVID-19. Južná Kórea a Taiwan úspešne „sploštili krivku“, pretože obmedzili počet nových prípadov klesnúť pod kapacitu ich systémov zdravotnej starostlivosti zavedením rozsiahleho testovania a kontaktovania sledovanie. Podľa Vydavateľstvo, niekoľko krajín v Európe vrátane Českej republiky, Spojeného kráľovstva, Nemecka a Talianska vyvíja svoje vlastné nástroje na sledovanie kontaktov. Apple a Google dúfajú, že umožnia národom a lekárskym organizáciám na celom svete sledovať šírenie nový koronavírus, ale obe spoločnosti si uvedomujú aj potenciálne obavy o súkromie v súvislosti s týmto pandémiou metóda. To je dôvod, prečo tieto dve spoločnosti vytvorili nové špecifikácie API a Bluetooth „so súkromím a zabezpečením používateľa, ktoré je ústredným prvkom dizajnu“.
Google a Apple zverejnili blogové príspevky a dokumenty, ktoré načrtávajú ich ciele na zavedenie novej služby API a Bluetooth LE. Pre naliehavú potrebu obe spoločnosti riešia tento problém v dvoch etapách. Po prvé, v máji obe spoločnosti vydajú API, ktoré „[umožňuje] interoperabilitu medzi zariadeniami Android a iOS pomocou aplikácií od orgánov verejného zdravotníctva." Tieto aplikácie budú používateľom k dispozícii na stiahnutie v obchode Google Play a v aplikácii Apple Obchod. V systéme Android bude rozhranie API pravdepodobne dostupné pre aplikácie prostredníctvom aktualizácie služieb Google Play. Po druhé, v najbližších mesiacoch Google aj Apple pridajú podporu pre novú službu Bluetooth Low Energy do Androidu a iOS. Pre iOS táto nová služba BLE pravdepodobne príde prostredníctvom aktualizácie operačného systému, zatiaľ čo pre Android bude táto služba pravdepodobne pridaná ako súčasť ďalšej aktualizácie služieb Google Play. Google hovorí, že pridanie služby Bluetooth LE Contact Tracing „je robustnejšie riešenie ako API a umožní viac jednotlivcom zúčastniť sa, ak sa rozhodnú zapojiť, ako aj umožniť interakciu so širším ekosystémom aplikácií a vládneho zdravotníctva orgány“.
Keď aplikácia integruje nové API alebo je integrovaná špecifikácia BLE, používatelia Android a iOS môžu dostávať upozornenia, ak boli nedávno v kontakte s niekým, komu bola diagnostikovaná COVID-19. Riešenie BLE nebude vyžadovať, aby mal používateľ nainštalovanú aplikáciu (pravdepodobne potrebuje iba služby Google Play), ale ak sa rozhodnú nainštalovať niektorú z oficiálnych aplikácií, aplikácia ich môže informovať o ďalších krokoch, ktoré treba podniknúť po tom, ako dostanú a oznámenie. Používateľom to umožní rozhodnúť sa, či je potrebné urobiť 14-dňovú karanténu alebo vyhľadať testovanie a ďalšiu lekársku intervenciu. Tu je príklad toho, čo si Google a Apple predstavujú, že bude možné s touto novou službou Bluetooth LE:
Prehľad sledovania kontaktov COVID-19 pomocou Bluetooth Low Energy. Zdroj: Google/Apple.
Tu je to, čo Google hovorí o tom, ako navrhli nové rozhranie Android Contact Tracing API na ochranu súkromia a bezpečnosti používateľov:
- Aplikácie volajúce rozhranie API prostredníctvom metódy startContactTracing sú potrebné na získanie súhlasu používateľa so spustením sledovania kontaktov. Ak ide o prvé vyvolanie rozhrania API, používateľovi sa zobrazí dialógové okno so žiadosťou o povolenie na spustenie sledovania.
- Aby sa aplikácie dostali na bielu listinu na používanie tohto rozhrania API, „budú musieť pred doručením na server s podpisom autorizovanej lekárskej autority." Inými slovami, neautorizované aplikácie COVID-19 nebudú môcť používať toto API.
- Ak používateľ odinštaluje aplikáciu, automaticky sa vyvolá metóda stopContactTracing a databáza a kľúče budú vymazané zo zariadenia.
- Používateľ musí po potvrdení pozitívnej diagnózy COVID-19 udeliť výslovný súhlas s nahrávaním 14 dní denných kľúčov sledovania. Ak aplikácia zavolá metódu startSharingDailyTracingKeys, používateľovi sa zobrazí dialógové okno.
- Používateľom sa zobrazí dátum a ako dlho boli v kontakte s potenciálne nákazlivou osobou, až po 5-minútové prírastky, ale nie kto alebo kde došlo ku kontaktu.
Takto bude nová služba detekcie kontaktov BLE chrániť súkromie a bezpečnosť používateľov:
- Špecifikácia nevyžaduje polohu používateľa ani žiadne iné osobné údaje. Použitie polohy je úplne dobrovoľné a vykonáva sa iba po výslovnom súhlase používateľa.
- Rolling Proximity Identifiers sa mení v priemere každých 15 minút, vďaka čomu je „nepravdepodobné, že by bolo možné časom sledovať polohu používateľa cez Bluetooth“.
- Identifikátory blízkosti získané z iných zariadení „sú spracované výlučne na zariadení“. To znamená, že „zoznam ľudí, s ktorými ste boli v kontakte, nikdy neopustí váš telefón“.
- Je na používateľovi, aby sa rozhodol, či chce prispieť k sledovaniu kontaktov. Používatelia, ktorým je diagnostikovaný COVID-19, musia súhlasiť so zdieľaním diagnostických kľúčov so serverom. Účasť používateľa na sledovaní kontaktov bude transparentná a „ľudia s pozitívnym testom nebudú identifikovaní ostatným používateľom, Google alebo Apple.“ V skutočnosti budú tieto informácie „použité iba na sledovanie kontaktov úradmi verejného zdravotníctva pre pandémiu COVID-19 zvládanie."
- V prípade, že vás to zaujíma, služba detekcie obsahu by nemala výrazne vybíjať batériu zariadenia, ak hardvér a operačný systém podpora „Duplicitných filtrov ovládača Bluetooth a iných [hardvérových] filtrov“ na „zodpovedanie veľkého množstva inzerentov vo verejných priestoroch“. Skenovanie je „oportunistické“, čo znamená, že k nemu môže dôjsť v rámci existujúcich cyklov okien prebudenia a skenovania, ale bude sa vykonávať aj minimálne každých 5 minút.
Keďže nové špecifikácie sledovania kontaktov sú navrhnuté s ohľadom na súkromie a bezpečnosť používateľov, je diskutabilné, nakoľko efektívne budú pri obmedzovaní šírenia COVID-19. Podľa The Vergetakéto neinvazívne opatrenia na sledovanie kontaktov môžu mať obmedzenú účinnosť. Problémy sa scvrkávajú na nedostatočnú rozšírenosť zo strany obyvateľstva a potenciálne veľký počet falošne pozitívnych udalostí v blízkosti Bluetooth. Napriek tomu dúfam, že táto nová iniciatíva bude úspešná. Je zriedkavé vidieť, ako Google a Apple na niečom spolupracujú, no zúfalé časy si vyžadujú zúfalé opatrenia.
Zdroje: Blogový príspevok Google, Prehľad sledovania kontaktov COVID-19, Kontakt Tracing BLE Spec, Contact Tracing Cryptography Spec, Android Contact Tracing API Spec
Aktualizácia 1: Viac podrobností
V konferenčnom hovore s reportérmi si Google a Apple objasnili niektoré body o pripravovanom rozhraní API na sledovanie kontaktov (spustené v polovici mája ako súčasť „fázy 1“) a BLE Contact Detection Service (spustené koncom tohto roka ako súčasť "fáza 2"). Podľa TechCrunch a Axios, rozhranie Contact Tracing API aj služba BLE Contact Detection Service budú k dispozícii na zariadeniach so systémom Android nasledujúce aktualizácie Služieb Google Play – pokiaľ smartfón so systémom Android používa systém Android 6.0 Marshmallow. Používatelia nebudú musieť manuálne aktualizovať svoje zariadenia alebo dokonca aktualizovať svoj operačný systém, pretože aktualizácie Služieb Google Play prebiehajú potichu na pozadí prostredníctvom Obchodu Google Play.
Hoci zavedenie služby BLE Contact Detection Service znamená, že používatelia nebudú musieť inštalovať aplikáciu, aby sa mohli zúčastniť kontaktu sledovanie, Google hovorí, že používatelia budú stále vyzvaní, aby si stiahli relevantnú aplikáciu pre verejné zdravie, ak dôjde k pozitívnej kontaktnej udalosti zistené. Používateľom to pomôže určiť ďalšie kroky, ktoré by mali podniknúť. Apple poznamenáva, že zatiaľ čo údaje môžu byť po spracovaní lokálne na zariadení „prenesené“ na servery prevádzkované organizáciami verejného zdravotníctva po celom svete, nebude existovať centralizovaný dátový server. To sťaží akejkoľvek vláde alebo inému zlomyseľnému aktérovi vykonávanie dohľadu. Podľa Axioskrajiny môžu prevádzkovať svoje vlastné servery alebo používať servery od spoločností Apple a Google. S cieľom zabrániť ľuďom v odosielaní falošne pozitívnych diagnóz, Apple a Google spolupracujú s organizáciami verejného zdravotníctva na spôsobe potvrdenia diagnóz.
Čo sa stane s miliónmi zariadení bez mobilných služieb Google s potvrdením, že spoločnosť Google prinesie sledovanie kontaktov do zariadení so systémom Android prostredníctvom aktualizácií Služieb Google Play? Mám na mysli, samozrejme, milióny zariadení v Číne a novšie verzie smartfónov od spoločností Huawei a Honor. Podľa The VergeGoogle „má v úmysle zverejniť rámec, ktorý by tieto spoločnosti mohli použiť na replikáciu bezpečného anonymného sledovania systém vyvinutý spoločnosťami Google a Apple." Je teda na tretích stranách, aby sa rozhodli, či ho chcú používať systém. Google nepotvrdil, či jeho rámec sledovania kontaktov bude otvorený, ale povedal, že ponúkne audity kódu spoločnostiam, ktoré chcú systém prijať.
Aktualizácia 2: Počiatočné zavedenie, zapojenie spoločnosti Huawei
Pôvodne sa plánovalo uviesť do prevádzky v polovici mája, zdá sa, že časová os sledovania kontaktov spoločností Apple a Google sa posunula vyššie. Podľa Thierryho Bretona, európskeho komisára pre vnútorný trh, sa prvá fáza plánu spustí 28. apríla. Túto informáciu poskytol pánovi Bretonovi generálny riaditeľ spoločnosti Apple Tim Cook.
Fáza 1 sledovania kontaktov je celá o rozhraniach API. Tieto rozhrania API budú používať vývojári, ktorí pracujú v mene agentúr verejného zdravotníctva, nie aplikácií tretích strán. Rozhrania API budú sprístupnené prostredníctvom aktualizácie služieb Google Play a väčšina zariadení so systémom Android 6.0+ a Bluetooth Low Energy môže podporovať sledovanie kontaktov.
Nedávne zariadenia Huawei a Honor samozrejme nemajú služby Google Play, no mnohé staršie zariadenia ich stále majú. TechRadar potvrdzuje, že tieto staršie zariadenia, ktoré áno nie zahŕňajú Huawei Mate 30, P40, Honor V30 a ďalšie, budú zahrnuté do zavádzania. Pokiaľ ide o ostatné zariadenia Huawei/Honor, v predchádzajúcej aktualizácii článku sa uvádzalo, že Google „má v úmysle zverejniť a rámec, ktorý by tieto spoločnosti mohli použiť na replikáciu bezpečného anonymného systému sledovania vyvinutého spoločnosťou Google a Apple."
Zdroj 1: Les Echos | Cez: TechCrunch | Zdroj 2: TechRadar
Aktualizácia 3: Viac ochrany súkromia
Apple a Google teraz plán sledovania kontaktov označujú ako „Oznámenie o expozícii“, čo je podľa nich lepší popis pre účely tohto nástroja. Máme tiež ďalšie informácie o tom, ako môžu zdravotnícke orgány doladiť rozhranie API a ochranu súkromia, ktorá bude zavedená.
Rozhranie API používa Bluetooth na zistenie, či ste boli v blízkosti iných, ktorí mali pozitívny test, ale to môže byť nepresné (detekcia ľudí, ktorí neboli dostatočne blízko alebo za a stena). Rozhranie API bude zdieľať silu signálu Bluetooth, takže zdravotnícke orgány môžu nastaviť svoj vlastný prah pre to, čo predstavuje „kontaktnú udalosť“.
Rozhranie API bude zdieľať, koľko dní uplynulo od individuálnej „kontaktnej udalosti“. Nebude zdieľať presný čas, počas ktorého boli dvaja ľudia v kontakte. Skôr bude zdieľať iba odhady času expozície, od minimálne 5 minút po maximálne 30 minút, v prírastkoch po 5 minútach. Zdravotnícke úrady môžu tieto informácie použiť na zmenu svojich pokynov pre používateľov na základe toho, ako dlho k udalosti došlo.
Metadáta Bluetooth budú zašifrované, aby sa zabránilo ich použitiu na sledovanie jednotlivcov pri útokoch so spätnou identifikáciou. Tieto metadáta zahŕňajú silu signálu a ďalšie informácie. Šifrovací algoritmus sa mení na AES z HMAC, ktorý používali predtým. Šifrovanie AES je možné urýchliť na mnohých mobilných zariadeniach, vďaka čomu je rozhranie API energeticky efektívnejšie.
Nakoniec, kľúče používané na sledovanie potenciálnych kontaktov sa teraz generujú náhodne, a nie sú odvodzované každých 24 hodín z „sledovacieho kľúča“, ktorý je trvalo viazaný na konkrétne zariadenie. Tým sa zbaví šance, že útočník s priamym prístupom k zariadeniu môže zistiť, ako sa kľúče generujú zo sledovacieho kľúča, aj keď je to už teraz veľmi, veľmi ťažké.
Zdroj 1: Axios | Zdroj 2: Bloomberg | Zdroj 3: TechCrunch
Aktualizácia 4: Dostupné beta rozhrania API
Apple a Google spúšťajú svoje rozhrania API na upozornenia o expozícii (predtým nazývané „sledovanie kontaktov“) v súkromnej beta verzii, ktorá sa začína dnes. Google vydáva beta aktualizáciu prostredníctvom Služieb Google Play, takže budú fungovať na akomkoľvek zariadení so systémom Android 6.0+ a Bluetooth Low Energy. Agentúry verejného zdravotníctva môžu začať používať tieto rozhrania API v Android Studio a začať testovať.
Vydanie stabilnej verzie API sa stále plánuje v najbližších týždňoch. Ako tieto dve spoločnosti neustále opakovali, toto API nie je určené na použitie vývojármi tretích strán. Je to pre orgány verejného zdravotníctva a keď vývojári týchto agentúr dokončia prácu, stiahnete si od nich aplikáciu.
Zdroj: Bloomberg
Aktualizácia 5: Snímky obrazovky, žiadne sledovanie polohy
Apple a Google pokračujú vo vydávaní ďalších informácií o rozhraní Exposure Notification API. Po prvé, spoločnosti zdieľali niektoré pokyny, ktoré budú musieť orgány verejného zdravotníctva dodržiavať, aby mali svoje aplikácie na sledovanie zmlúv v príslušných obchodoch s aplikáciami. Aplikáciám je zakázané zhromažďovať údaje o polohe zariadenia, rozhranie API je obmedzené na jednu aplikáciu na krajinu a zhromaždené údaje nemožno použiť na cielenú reklamu.
Limit API jednej aplikácie na krajinu má znížiť fragmentáciu, ale Apple a Google budú flexibilné a budú spolupracovať s vládami v krajinách, ktoré môžu potrebovať viacero aplikácií. Napríklad krajiny, kde sa sledovanie kontaktov uskutočňuje regionálne alebo podľa štátov.
Spoločnosti Apple a Google tiež zdieľali niekoľko vzorových snímok obrazovky, ako by mali vyzerať nastavenia a aplikácie upozornení na kontakt. Obrázok vyššie zobrazuje novú sekciu „Upozornenia na kontakt s ochorením COVID-19“ v Službách Google Play. Táto časť zobrazuje, či je povolená a ktoré aplikácie môžu odosielať upozornenia na kontakt. Používatelia môžu odtiaľto spustiť aplikáciu a zistiť, koľko „kontrol expozície“ sa vykonalo za posledných 14 dní, odstrániť náhodné identifikátory a vypnúť upozornenia.
Google tiež zdieľal niekoľko vzorových snímok obrazovky (vyššie), ako by mohla vyzerať aplikácia, ktorá používa rozhranie Exposure Notification API. Zdrojový kód tejto aplikácie bol zverejnený na stránku spoločnosti Github ak ho zdravotnícke agentúry chcú použiť na vytváranie aplikácií.
Zdroje: VentureBeat, 9to5Google, 9to5Google
Aktualizácia 6: API Live
Po niekoľkých týždňoch prípravy teraz spoločnosti Apple a Google uvoľňujú svoje rozhrania API upozornení na vystavenie pre agentúry verejného zdravotníctva. Spoločnosť Google zavádza aktualizáciu služieb Google Play, ktorá obsahuje nové rozhranie API. Vývojári z agentúr verejného zdravotníctva môžu teraz použiť tieto rozhrania API na implementáciu aplikácií na sledovanie kontaktov pre COVID-19. Tri štáty USA už oznámili projekty vo vývoji využívajúce toto API. Celkovo 22 krajín získalo prístup k API, ale nevieme, ktoré krajiny presne.
Zdroj: Google, The Verge