Czy smartfony mogą nam pomóc w walce z chorobami zakaźnymi?

Smartfony określają naszą pozycję z dokładnością do jednego metra, firmy telekomunikacyjne archiwizują dane o lokalizacji abonentów – dlaczego nie użyć tych mechanizmów do identyfikacji osób narażonych na zarażenie koronawirusem? Przecież każdy nosi ze sobą telefon – bez problemu ustalimy więc, z kim zetknęli się chorzy na COVID-19. Potencjalnych nosicieli wysyłamy na kwarantannę i gotowe – w dwa tygodnie epidemia zostaje zduszona.

Niestety, życie to nie film. W prawdziwym świecie Batman nie byłby w stanie monitorować telefonów wszystkich mieszkańców Gotham, CSI nie mogłoby powiększyć twarzy odbitej w chromowanym łebku od śrubki zaś nasze smartfony nie zarejestrują, z kim zetknęliśmy się na ulicy, w sklepie czy w autobusie. A jeśli do tego rząd nałoży przymus używania aplikacji Kwarantanna Domowa, ryzykujemy utratę poparcia społecznego dla jedynego narzędzia, które może nam rzeczywiście pomóc w walce z epidemią.

JAK ZARAŹLIWY JEST KORONAWIRUS

Rozważania zaczniemy od definicji problemu – chcemy zidentyfikować chwile i miejsca, w których nosiciel wirusa (mający przy sobie smartfona) miał kontakt z osobami zdrowymi (mającymi przy sobie smartfony). Zakładamy roboczo, że użytkownicy są gotowi na masową instalację wybranej apki, by zmaksymalizować korzyści płynące z jej użycia.

Zauważmy, że czasem środki techniczne nie są potrzebne (chory sam wskaże narażonych kolegów z pracy, przewoźnik zna dane pasażerów samolotu) a czasem nie będą wystarczające (stwierdzenie “5 dni temu byłeś na stacji PKP jednocześnie z osobą chorą” jest zbyt ogólne i nie zawęża dostatecznie liczby osób, które powinny być prewencyjnie izolowane). Potrzebujemy informacji o rzeczywistym kontakcie, by precyzyjnie zidentyfikować grupę osób narażonych na infekcję.

Informacje o zaraźliwości koronawirusa SARS-CoV-2 bierzemy ze stron Głównego Inspektoratu Sanitarnego, gdzie czytamy, że do kryteriów epidemiologicznych podejrzenia przypadku zarażenia należą m.in.:

• przebywanie w bezpośredniej bliskości (twarzą w twarz) osoby chorej – przez dowolny czas
• przebywanie w odległości 2 metrów od przypadku COVID-19 przez czas dłuższy niż 15 minut w sytuacji każdej innej ekspozycji niewymienionej powyżej
• kontakt na pokładzie samolotu i innych zbiorowych środków transportu […]

Zastanówmy się więc, czy smartfony dostarczą nam informacji o takiej precyzji. 

LOKALIZACJA TELEFONU

Gdy podczas spaceru po mieście włączymy mapy Google (albo Apple, bez różnicy), niebieska kropeczka pojawia się we właściwym miejscu praktycznie natychmiast – nawet, gdy znajdujemy się wewnątrz budynków. Gdy jednak spacerujemy górską doliną, nawet kilkanaście minut może nie wystarczyć do tego, by smartfon określił choćby przybliżone miejsce pobytu. Skąd taka różnica?

WiFi

W obszarach zurbanizowanych najszybszym źródłem danych o lokalizacji są… sieci Wifi, a konkretnie ich nazwy – rozsyłane w eter także wtedy, gdy dany punkt dostępowy wymaga hasła. Oczywiście nazwy będą się powtarzać, jednak w prawie każdym miejscu złapiemy identyfikator więcej niż jednej sieci. Gdy piszę te słowa, moja karta sieciowa odbiera sygnał ponad 20 różnych sieci bezprzewodowych. Google i Apple od dekady gromadzą wiedzę na temat miejsc, gdzie wykryto konkretne nazwy sieci, zaś urządzenia sieciowe służą latami w jednym miejscu. To wszystko sprawia, że dla wybranego zestawu nazw określimy z dużym prawdopodobieństwem, gdzie da się je wszystkie “usłyszeć” naraz. Ciekawostka – ten mechanizm pozostaje domyślnie aktywny także wtedy, gdy wyłączymy w telefonie WiFi.

Problem w tym, że informacje o lokalizacji bazujące na sieciach WiFi nie będą wystarczająco dokładne. Routery mają różną moc, ustawienie anten, do tego dochodzą odbicia sygnału, odmienna przenikalność ścian, stropów itp. Uzyskamy więc wiedzę w rodzaju “wschodnie skrzydło galerii handlowej” lub “dworzec PKP albo jego bliska okolica”. Na nasze potrzeby – za mało.

Stacje bazowe telefonii komórkowej

Ten sposób określania lokalizacji da się zrealizować po stronie operatora telefonii komórkowej jak i w samym smartfonie. Wykorzystamy następujące fakty:

• stacje bazowe telefonii komórkowej mają stałe identyfikatory i niezmienne położenie, znane operatorom i producentom smartfonów
• odległość smartfona od stacji bazowej można oszacować za pomocą opóźnień w transmisji oraz siły tłumienia sygnału (stosunku sygnału do szumu)
• smartfon komunikuje się z kilkoma stacjami bazowymi jednocześnie, więc możemy dokonać triangulacji i obliczyć szacowaną lokalizację

Niestety, także tu wymagana dokładność będzie zbyt mała. W zabudowie miejskiej, gdzie stacje bazowe są rozmieszczone gęsto a anteny obejmują niewielki wycinek przestrzeni, mamy szansę na określenie kwartału ulic, może jednego budynku. Poza miastem niepewność pomiaru zwiększy się wielokrotnie, zaś w bardziej skomplikowanym terenie (wzgórza, doliny) typowany obszar pobytu może liczyć wiele kilometrów kwadratowych.

GPS

GPS, globalny system pozycjonowania, daje dokładność rzędu jednego metra lub lepszą. Co może nam przeszkodzić w tym przypadku? Odpowiedź jest prosta – brak widoczności nieba. GPS radzi sobie świetnie poza miastem, gdy odbiornik jest zamontowany na przedniej szybie samochodu, choć i wówczas odświeżenie danych o odchyleniach orbit nadajników może zająć kilkanaście minut. Sygnał będzie trudny do złapania w autobusie lub pociągu a zniknie całkiem wewnątrz budynku (tymczasem większość kontaktów międzyludzkich ma miejsce pod dachem). Zabudowa miejska też zaburzy pomiary. Łatwo to sprawdzić: w miarę podchodzenia do ściany wieżowca – jak i utraty z pola widzenia kolejnych satelitów – wyznaczona lokalizacja nagle straci na dokładności.

Widzimy więc, że żadna z trzech metod wyznaczania położenia nie spełnia wymagań, jakie stawiamy aplikacji do walki z epidemią. Nie będziemy w stanie wyznaczyć i zarejestrować lokalizacji z precyzją wystarczającą do tego, żeby zidentyfikować interakcje między dwiema osobami. Może więc skupić się nie na współrzędnych geograficznych lecz na wykrywaniu samych interakcji? Tu pojawia się kolejny problem.

SMARTFONY ZUŻYWAJĄ WIĘCEJ PRĄDU, NIŻ SIĘ WYDAJE

Smartfona ładujemy raz dziennie, wytrzymuje na baterii ponad 20 godzin. Chyba, że zaczniemy grać w grę, wówczas wyzionie ducha po trzech godzinach. O co tu chodzi?

Producenci telefonów i mobilnych systemów operacyjnych od lat robią wszystko, by bateria trzymała jak najdłużej. W przypadku elektroniki zasada jest prosta – wyłączamy wszystko, co nie jest w danej chwili niezbędne. GPS, aparat, żyroskop, mikrofon – te wszystkie komponenty są domyślnie nieaktywne. Procesory w telefonach są złożone z dwóch typów rdzeni pracujących zamiennie; pierwszy typ jest nastawiony na maksymalną wydajność, drugi na maksymalną oszczędność energii. Systemy operacyjne także oszczędzają tyle energii, ile mogą – na przykład odcinając rzadko używane aplikacje od internetu, co pozwala na rzadszą synchronizację danych z siecią.

To jednak nie wszystko – współczesne telefony potrafią wejść w tryb uśpienia, w którym wyłączane jest prawie wszystko, nawet główny procesor. Aktywny pozostaje jedynie moduł łączności z siecią komórkową a sygnałem do wznowienia pracy będzie przychodzące połączenie telefoniczne, powiadomienie typu push czy wciśnięcie klawisza. To tłumaczy, dlaczego w historii lokalizacji zbieranej przez Google znajdziesz wielogodzinne dziury i spore niedokładności – firma ta poświęciła precyzję inwigilacji na rzecz dłuższego czasu pracy telefonów.

W trybie uśpienia nie działają jednak żadne programy, tak zainstalowane przez użytkownika jak stanowiące część systemu operacyjnego. To zasadniczo zamyka temat jakiekolwiek aplikacji śledzącej pozycję użytkownika lub identyfikującej interakcje między użytkownikami. Aktywność takiej apki ustanie na całe kwadranse wraz z uśpieniem telefonu.

Jasne, aplikacja może poprosić system o pozostanie w stanie aktywnym – tak działa Spotify i inne odtwarzacze muzyki – ale po pierwsze decyzja może być odmowna (np. w trybie oszczędzania baterii) a po drugie czas pracy na baterii będzie wówczas wyraźnie krótszy.

TO MOŻE ŚLEDZIĆ UŻYTKOWNIKÓW AKTYWNIE?

Beacony Bluetooth Low-Energy (BLE)? Brak zastosowania, nie pozwalają na wystarczająco dokładne ustalanie odległości telefonu od beacona no i musielibyśmy nautykać je wszędzie tam, gdzie może się spotkać dwoje ludzi.

Śledzenie przemieszczania użytkowników po numerze MAC urządzeń Bluetooth lub WiFi? Google i Apple od lat zapobiegają takiemu scenariuszowi poprzez losowe zmiany tych numerów, każdy węzeł takiej sieci namierzania pozna inne wartości, niemożliwe do skorelowania z pojedynczym urządzeniem.

To może coś w rodzaju aplikacji TraceTogether wydanej przez władze Singapuru? Aplikacja utrzymuje aktywny moduł Bluetooth, rejestruje identyfikatory urządzeń w pobliżu a gdy użytkownik okaże się nosicielem koronawirusa, ułatwia powiadomienie właścicieli tamtych urządzeń o kontakcie. Ponownie – aplikacja ta podlega standardowym restrykcjom dotyczącym pracy w tle i usypiania telefonu.

A może użyć w dobrym celu Pegasusa? Po pierwsze nie zawsze zadziała, po drugie mamy na niego 10 licencji a to za mało, by śledzić wszystkich chorych.

A może IMSI catcher? Też nie, to narzędzie do inwigilacji jednego urządzenia na niewielkim obszarze.

CZY SMARTFONY W OGÓLE SIĘ TU DO CZEGOŚ PRZYDADZĄ?

Jak wykazałem powyżej, nawet masowe wdrożenie aplikacji śledzącej użytkownika nie będzie efektywną pomocą w identyfikacji osób narażonych na infekcję wirusem. Owszem, telefony mogą być użyte do inwigilacji sieci kontaktów czy profilowania zainteresowań i trybu życia, lecz z przyczyn konstrukcyjnych nie pozwolą na masowe śledzenie interakcji w świecie fizycznym.

Dotyczy to w równym stopniu komórek “europejskich” jak i “chińskich” (wszystkie są chińskie). Inwigilacja obywateli Chin przez aplikacje WeChat czy Alipay to tylko jeden z wielu środków, jakimi dysponują tamtejsze władze. Opanowanie epidemii koronawirusa w Wuhan udało się nie dlatego, że chińskie aplikacje mobilne są lepsze, lecz dlatego, że wymuszono na obywatelach kwarantannę domową o reżimie ostrzejszym niż gdziekolwiek indziej.

Niektóre zespoły badawcze skupiły się na projektowaniu rozproszonej bazy danych, z matematycznym modelem gwarantującym prywatność i ochronę danych. Tylko co z tego, skoro taka aplikacja nadal pozostanie ułomna zaś bez masowego wdrożenia – totalnie bezużyteczna. O masowym wdrożeniu możemy tymczasem zapomnieć, bo aplikacji powstały dziesiątki i każda implementuje swój własny, unikatowy model komunikacji.

Czy smartfony mogą się więc przydać do czegokolwiek? Być może. Kilka dni temu ogłoszono, że tyrolski kurort Ischgl był prawdopodobnym miejscem zarażenia koronawirusem setek turystów z wielu krajów Europy. 

Operatorzy komórkowi są w stanie zidentyfikować abonentów, których telefony logowały się w określonych dniach w określonej alpejskiej dolinie – być może mogliby w podobnych sytuacjach wysyłać alerty takie, jak Rządowe Centrum Bezpieczeństwa? A może analiza historii logowania telefonów osób zarażonych na poziomie całego kontynentu pozwoliłaby na wcześniejsze wykrycie podobnych ognisk epidemii?

Oczywiście organizacje stojące na straży wolności obywatelskich muszą być szczególnie wyczulone na proporcjonalność zmian w przepisach – aby planowaną analizą historii lokalizacji nie uzasadniać wydłużania retencji danych telekomunikacyjnych. Więcej na ten temat: Panoptykon – Wolność i prywatność w dobie koronawirusa

Na razie jedynym zastosowaniem smartfona o potwierdzonej skuteczności w walce z koronawirusem pozostają różnorakie odpowiedniki rodzimej aplikacji Kwarantanna Domowa – np. wariant zastosowany w Korei Południowej.

A TERAZ JESZCZE RAZ O *OBOWIĄZKOWEJ* APLIKACJI KWARANTANNA DOMOWA

Wracam do aplikacji Kwarantanna Domowa, będącej tematem poprzedniego wpisu. Gdy zajrzymy do rządowego projektu ustawy o zmianie niektórych ustaw w zakresie systemu ochrony zdrowia związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, znajdziemy tam następujące fragmenty:

Art. 7e. 1. Osoba podlegająca na podstawie przepisów o zapobieganiu oraz zwalczaniu zakażeń i chorób zakaźnych u ludzi obowiązkowej kwarantannie w związku z podejrzeniem zakażenia wirusem SARS-CoV-2 instaluje na swoim urządzeniu mobilnym udostępnione przez ministra właściwego do spraw informatyzacji oprogramowanie służące do potwierdzania realizacji obowiązku przestrzegania kwarantanny oraz używa go do potwierdzania realizacji tego obowiązku.

2. Obowiązek zainstalowania i używania oprogramowania, o którym mowa w ust. 1, nie dotyczy osoby z dysfunkcją wzroku (niewidzącej lub niedowidzącej), osoby, która złożyła oświadczenie, że nie jest abonentem lub użytkownikiem sieci telekomunikacyjnej lub nie posiada urządzenia mobilnego umożliwiającego zainstalowanie tego oprogramowania.

3. Oświadczenie, o którym mowa w ust. 2, składa się pod rygorem odpowiedzialności karnej za złożenie fałszywego oświadczenia. Składający oświadczenie zamieszcza w nim klauzulę następującej treści: „Jestem świadomy odpowiedzialności karnej za złożenie fałszywego oświadczenia.”. Klauzula ta zastępuje pouczenie organu o odpowiedzialności karnej za złożenie fałszywego oświadczenia.

4. Oświadczenie, o którym mowa w ust. 2, składa się do Policji lub państwowego powiatowego inspektora sanitarnego właściwego dla miejsca odbywania kwarantanny. Oświadczenie może być złożone za pośrednictwem środków komunikacji elektronicznej.”

CZY MOŻNA KOGOŚ ZMUSIĆ DO INSTALACJI APLIKACJI?

Pisząc poprzedni wpis pozostawałem względnym sympatykiem aplikacji Kwarantanna Domowa, której dobrowolna instalacja pozwalała na odciążenie Policji lub Straży Miejskiej w obowiązku dozorowania osób poddanych kwarantannie (choć niektórzy użytkownicy apki zgłaszali, że mimo samodzielnego potwierdzenia kwarantanny w smartfonie są nadal odwiedzani przez funkcjonariuszy).

Czas na polaryzację stanowiska. Rząd chce zmusić dziesiątki tysięcy osób do instalacji i korzystania z określonej aplikacji; zgaduję, że chodzi o testowaną apkę Kwarantanna Domowa. To pierwszy taki przypadek w polskim systemie prawnym, rodzi szereg poważnych wątpliwości.

Po pierwsze: aplikacja ta nie jest jednoznacznie zidentyfikowana, czy więc do ustawy zostanie wydane jakieś rozporządzenie regulujące tę kwestię? W jaki sposób można zidentyfikować aplikację? Poprzez link do sklepu? Nazwę pakietu? Sumę kontrolną pliku?

Po drugie: aplikacja została przygotowana poprzez szybki rebranding zupełnie innej aplikacji – która realizuje zupełnie inne cele. Odpowiadając na pytania fundacji Panoptykon ministerstwo określiło, że zdjęcia użytkownika będą kasowane po zakończeniu kwarantanny, czy jednak firma TakeTask zdążyła zaimplementować tę funkcję? Czy poprawność jej działania została zweryfikowana? W końcu rolą pierwowzoru było bezpieczne i długotrwałe składowanie wykonanych fotek.

Po trzecie: czym jest “możliwość zainstalowania oprogramowania” w smartfonie? Wiele osób korzysta ze smartfona z Androidem jako telefonu – bez konta Google, bez możliwości korzystania ze sklepu Play. Inni mogą korzystać z wydań Androida bez usług Google – na takim systemie aplikacja nie wystartuje. Jeszcze inni mogą nie mieć w telefonie miejsca na kolejną aplikację – czy to także brak możliwości instalowania oprogramowania?

Po czwarte: wiele osób mieszka (i będzie odbywać kwarantannę) w miejscach o niedostatecznym zasięgu sieci komórkowej, co z nimi? Nawet, gdy apkę zainstalują, mogą nie wywiązać się z obowiązku korzystania z niej.

Po piąte zaś…

JAK SZYBKO POJAWIĄ SIĘ PODRÓBKI APLIKACJI ZAWSZE POTWIERDZAJĄCE POBYT W DOMU?

Z komentarzy pod artykułami opisującymi aplikację Kwarantanna Domowa wynika, że opór wobec władzy, hodowany i utrwalany w latach 1945-1989, pozostaje w narodzie żywy. Gdy instalacja jest dobrowolna (tak, jak w Korei Południowej), decydują się na nią osoby chcące pomóc w pracy służbom porządkowym. Promowanie takiej postawy przyniosłoby o wiele więcej pożytku niż przymus i groźba kar administracyjnych. Gdy instalacja będzie obowiązkowa, przechytrzenie władz będzie dla wielu dowodem osobistego sprytu.

Ile potrwa adaptacja nieoficjalnych klonów aplikacji tak, by zawsze raportowały lokalizację z pierwszego wykonanego zdjęcia? Gdybym miał zgadywać, stawiałbym na 60 minut. Implementacja aplikacji w Xamarinie sprawia, że reverse engineering (inżynieria odwrotna, zrozumienie i zmiana sposobu działania aplikacji) będzie szybki i prosty zaś zaciemnienie kodu – trudne. Zauważmy, że projekt ustawy nie nakłada obowiązku aktualizacji aplikacji, więc ewentualna zmiana protokołu komunikacyjnego na bardziej złożony może wyłączyć spod aplikacyjnego nadzoru tych wszystkich, którzy odmówią instalacji nowej wersji.

W jednym z poprzednich tekstów opisałem, w jaki sposób można wykryć fakt instalacji aplikacji zmodyfikowanej przez osoby trzecie. W skrócie – wymaga to wiedzy i swobodnego dostępu do urządzenia (a więc de facto przeszukania) i nie da się zrobić zdalnie.

PODSUMOWANIE

Wskazałem powody, dla których aplikacje do śledzenia interakcji w świecie fizycznym nie zadziałają – brak zresztą dowodów, że gdziekolwiek na świecie przyniosły wymierne korzyści.

Zastrzeżenia względem przymusowej aplikacji Kwarantanna Domowa można zaś rozciągnąć na wszystkie inne apki, które miałyby służyć do kontroli poczynań obywateli. Z obowiązkiem instalacji aplikacji będziemy mieli do czynienia po raz pierwszy i ów precedens musi być pilnie monitorowany. Na szczęście ani służby państwowe ani operatorzy telekomunikacyjni nie dysponują możliwością zdalnej instalacji oprogramowania na sprzęcie należącym do mieszkańców Polski. W opinii wielu osób lepiej swoją prywatność powierzać firmom Apple czy Google, niż pracownikom polskich służb i administracji. Nie chcielibyśmy chyba, aby taka opinia była uzasadniana działaniami tejże administracji.

Dodano 02.04.2020: w Czasopiśmie Lege Artis Olgierd Rudak analizuje, czy za niemanie aplikacji podczas kwarantanny można zostać ukaranym. Być może wcale nie. Koniecznie dajcie znać, gdyby słyszeli o podobnym przypadku, lub gdyby komuś zakwestionowano prawdziwość oświadczenia.

Dodano 03.04.2020: w kolejnym tekście napisałem więcej o tym, dlaczego Android sprawia szczególne problemy w uruchamianiu jakichkolwiek aplikacji w tle