探秘Bluezone：隐形的联系人追踪透明化

项目介绍

Bluezone是一款由越南政府赞助，科技公司与信息通讯部合作开发的基于BLE（蓝牙低功耗）的接触者追踪应用。自2020年8月8日以来，已有数千万用户安装了其Android或iOS版本。该应用在白皮书中承诺，“数据存储在用户自己的设备上，而非集中式服务器”。然而，事实是否如此呢？

项目技术分析

通过一个名为“Demo”的开源项目，开发者揭示了Bluezone背后的真相。项目采用了一系列工具，如Android Studio进行SDK操作，以及mitmproxy用于拦截Android设备的网络流量，证明了Bluezone服务器实际上有能力无声无息地从任何用户那里收集完整的接触历史，无论他们是否曾接触过F0、F1或F2病例。

服务器通过Firebase Cloud Messaging向客户端发送命令，包括：

• PUSH_HISTORY（也称为YeuCauGuiLichSu）：当设备接收到此命令时，会悄悄上传其自身的蓝区ID和所有接触历史到服务器。
• CHECK_CONTACT_F0（称为KiemTraLichSuTiepXuc）：携带F0或F1名单，如果设备曾接触这些个体，同样会无声上传其数据。

应用场景

Bluezone最初设计用于公共卫生领域，旨在帮助防控COVID-19传播。其应用程序通过记录与其他用户的蓝牙连接来创建接触者网络，理论上在用户接触潜在感染者的场景下提供警告。然而，技术分析暴露的问题表明，这种数据收集可能超出了预期的用途。

项目特点

• 隐私疑虑：尽管官方声明数据存储在本地，但实际上服务器可以无需用户知情即获取其接触历史。
• 命令机制：利用Firebase Cloud Messaging实现服务器对客户端的命令控制，这可能导致未经用户同意的数据传输。
• 证据可复现：通过提供的脚本和工具，任何人都能重复验证该项目发现。
• 安全性挑战：即使未接触过病患的用户也可能无意识地泄露其接触史，提示潜在的安全风险。

总结，Bluezone的开源揭示了一个关于个人数据保护的重要问题。对于那些重视隐私的用户来说，这个发现提出了重要的警示。同时，这也提醒了开发者，透明度和技术安全应是设计此类应用时的核心考量。