Coronapas blev lanceret trods advarsler om snyd
Det landsdækkende coronapas blev i al hast lanceret, selv om de ansvarlige myndigheder var advaret om risikoen for deling af coronapasset. Men den advarsel valgte Sundhedsdatastyrelsen og Digitaliseringsstyrelsen at ignorere. Det fremgår af en aktindsigt, som ITWatch har modtaget.
Aktindsigten indeholder en lang korrespondance blandt medlemmerne af det såkaldte advisory board, der har haft til opgave at rådgive Digitaliseringsstyrelsen og Sundhedsdatastyrelsen under udviklingen af coronapas-appen.
Referater fra boardets møder viser, at der på et ekstraordinært møde 14. april 2021 blev fremført flere bekymringer ved coronapassets design. Bekymringerne gik på, at det ville være for nemt at tage screenshots af appen og dermed dele coronapas med andre, der ikke selv kunne få et.
"Boardet drøftede herpå nødvendigheden ved brug af QR-kode i appen. Det blev blandt andet fremført, at det kan skabe bekymring for overvågning, at passet skal scannes, såvel som forbehold for deling af skærmbilleder," står der i referatet fra mødet 14. april.
Det var Camilla Gregersen, der er medlem af Dataetisk Råd og til dagligt formand for Dansk Magisterforening, der fremførte bekymringen, som skulle vise sig at være velbegrundet.
Coronapas-appen blev lanceret 28. maj, og blot få dage efter begyndte der at florere historier om deling af de personlige coronapas.
Sikkerhedsekspert Peter Kruse fra sikkerhedsfirmaet CSIS udtalte sig i den forbindelse til ITWatch.
"Vi har allerede set de første eksempler på danskere, der sælger QR-koder i lukkede grupper på sociale medier. Det bliver misbrugt allerede," sagde han.
Sikkerhedsekspert enig i kritik
Det fik endnu en gang Camilla Gregersen til at råbe vagt i gevær i en mail til rådgivergruppen 2. juni 2021.
"Det er desværre gået præcis, som jeg forudså, nemlig at QR-koderne bliver fotograferet og delt. Det er et sikkerhedshul, og det advarede jeg imod, dengang vi talte om design af løsningen," skriver Camilla Gregersen i mailen. I samme mail foreslog hun desuden, at QR-koderne helt blev fjernet. Alternativt kunne QR-koderne løbende ændre sig for at besværliggøre kopieringen.
"Det (vandmærket, red) er alt for småt nu, fordi I insisterede på at have plads til QR-koden. Det er stadig mit råd, at vandmærket skal være større, mere detaljeret og bør fylde det meste af side 1, så det bliver næsten umuligt at kopiere," skriver Camilla Gregersen i mailen og fortsætter:
"Jeg foreslår, at man laver en QR-kode, der ændrer sig løbende, f.eks. en gang hvert minut. Det vil gøre det vanskeligt at snyde i en kø, hvor man skal ind."
Jacob Herbst, der er teknisk chef i sikkerhedsfirmaet Dubex, stemte i med Camilla Gregersen og kritiserede ligeledes vandmærke og QR-kode.
"Animationen i det nuværende vandmærke er alt for usynlig til at have nogen effekt i forhold til kontrol. Jeg ser gerne man laver noget meget mere synligt – det kan være en ramme om QR-koden, der skifter mellem blå og rød el. lign. Altså noget, hvor det visuelt er meget, meget tydeligt, at det ikke er et statisk billede," skrev Jacob Herbst.
Der er efterfølgende kommet flere animationer i coronapasset, men QR-koden fylder stadig det meste af skærmen. Den bliver fornyet en gang i timen.
Undersøgte ikke mulighederne
To måneder før lanceringen af coronapasset skriver Finans, at der på det mørke internet foregår salg af falske vaccinepas og testsvar.
Men hverken advarslen fra Camilla Gregersen og Jacob Herbst eller historier om et marked for salg af falske coronapas får resten af sikkerhedsrådgiverne til at kigge på mulige løsninger.
Af en præsentation fra appudvikleren Netcompany fremgår det, at der 21. april, tre dage efter det ekstraordinære møde i sikkerhedsgruppen, ikke var blevet fremsat krav om registrering af screenshots i appen.
Netcompany skriver ellers i samme præsentation, at en blokering for screenshots er anbefalet. Muligheden for at blokere for screenshots var en kendt løsning, eftersom den allerede var implementeret i Android-versionen af det Visma-udviklede digitale kørekort.
Den plan blev imidlertid fremrykket, så Netcompany allerede samme dag, som appen udkom, gik i gang med at søge efter metoder til at blokere for screenshots i coronapasset. Det fremgår af en mail, som Netcompany har sendt til Lene Ærbo Pedersen fra konsulentvirksomheden Letsgodigital, der fungerede som projektleder på coronapasset.
"Kan du bekræfte at vi skal igangsætte screenshot detection, med henblik på levering ultimo uge 22? (og hurtigst muligt)," lyder det i mailen.
Lancering hurtigst muligt
Det var imidlertid først efter kritikken fra Camilla Gregersen og Jacob Herbst, at der blev rykket på problematikken med vandmærket. I en lang dialog på e-mail 2. juni lagde Digitaliseringsstyrelsen op til, at sikkerhedsgruppen skulle mødes for at finde en løsning.
"Vi er i gang med at kigge på mulige tilpasninger i appen, som vil styrke kontrolmulighederne og begrænse mulighederne for misbrug af appen. Den vil vi gerne drøfte med jer på et møde i advisory boardet, gerne i starten af den kommende uge," skriver Adam Lebech kl 21:39 2. juni til Gregersen, Herbst og resten af gruppen.
Han skrev yderligere tidligere på dagen, at der hurtigt skal forberedes svar på spørgsmål fra pressen vedrørende snyd med coronapasset.
Det har ikke været muligt at få et interview med den ansvarlige i Digitaliseringsstyrelsen, Adam Lebech, men styrelsen er vendt tilbage med et svar på mail.
"Der har i advisory boardet været bred opbakning til den løsning, som blev lanceret, og som advisory boardet, herunder repræsentanterne fra Cybersikkerhedsrådet og Dataetisk Råd, vurderede havde den rigtige balance i forhold til privacy-hensyn, anvendelighed og muligheden for at kontrollere og begrænse risikoen for snyd," skriver styrelsen og uddyber:
"Da løsningen skulle lanceres så hurtigt som muligt, var man ved lanceringen fuldt ud bevidste om, at der løbende ville blive foretaget justeringer på løsningen, og at den først lancerede version ikke nødvendigvis var den endelige version. Således blev der allerede i dagene og ugerne umiddelbart efter lanceringen foretaget ændringer eksempelvis med tydeligere visninger af vandmærke og animationer"
Ændringerne, som Digitaliseringsstyrelsen beskriver blev implementeret i en version, der udkom 21. juni.
"Jeg vidste ingenting om at bygge en app da jeg gik ind ad døren – det er det ærlige svar"
