عيب ’كارثي‘ في تشفير تطبيق إلزامي لأولمبياد بيجين

حذرت شركة لمراقبة الأمن السيبراني من أن تطبيقا يفرض استخدامه على كل المشاركين في أولمبياد بيجين المقبلة يتضمن عيوب تشفير تسهّل تسريب معلومات شخصية.

فيوم الثلاثاء، 18 كانون الثاني/يناير، قال كاتب التقرير لصالح مختبر سيتيزن لاب، جيفري نوكيل، إن "العيب البسيط لكن الكارثي" في تشفير تطبيق MY2022 الذي يستخدم لمراقبة كوفيد-19 ويفرض استخدامه على كل الرياضيين والصحافيين وغيرهم من الحاضرين في دورة الألعاب بالعاصمة الصينية، يمكن أن يسهّل تسريب معلومات صحية ورسائل صوتية وغيرها من البيانات.

وردت اللجنة الأولمبية الدولية على التقرير بالقول إنه بوسع المستخدمين تعطيل وصول التطبيق لأجزاء من هواتفهم، وأن التقديرات من شركتين متخصصتين في الأمن السيبراني لم يتم تسميتهما "أكدت أنه لا توجد فيه ثغرات حرجة".

وقالت اللجنة في تصريح لوكالة الصحافة الفرنسية إن "المستخدم هو الذي يسيطر على... ما يمكن للتطبيق أن يصل إليه على جهازه"، مضيفة أن تثبيت التطبيق على الهواتف الخلوية ليس مطلوبا "إذ أن الأفراد المعتمدين يستطيعون تسجيل الدخول على نظام مراقبة الصحة على صفحة الويب بدلا من ذلك".

وأضافت اللجنة أنها كانت قد طلبت من سيتيزن لاب تقديم تقريرها "لكي تفهم مخاوفهم على نحو أفضل".

وقال مختبر سيتيزن لاب إنه أبلغ اللجنة الصينية المنظمة بهذه المسائل مطلع شهر كانون الأول/ديسمبر، وأمهلها 15 يوما للرد و45 يوما لحل المشكلة، لكنه لم يتلق جوابا.

تاريخ من الرقابة والمراقبة

وكتب نوكيل إن "الصين لها تاريخ في تقويض تكنولوجيا التشفير تسمح لها بممارسة الرقابة والمراقبة السياسية".

وأضاف "وبناء عليه، من المنطقي أن نسأل ما إذا كان التشفير في هذا التطبيق قد خُرب عمدا لأغراض المراقبة أم أن العيب نشأ جراء إهمال المطور"، مبينا أن "مسألة تخريب الحكومة الصينية التشفير في تطبيق MY2022 أمر لم يُثبت".

وتؤثر العيوب على شهادات طبقة المقابس الآمنة (SSL) التي تسمح للكيانات على الإنترنت بالتواصل على نحو آمن.

لكن تطبيق MY2022 لا يوثق شهادات SSL، ما يعني أن الأطراف الأخرى تستطيع أن تحصل على بيانات التطبيق، إضافة إلى أن البيانات تنقل بدون التشفير الاعتيادي المتوفر لشهادات SSL، حسبما ذكر نوكيل.

وأوضح أنه في حين أن التطبيق شفاف فيما يتعلق بالمعلومات الطبية التي يجمعها في إطار جهود الصين لفحص حالات الإصابة بكوفيد-19، فإنه "من غير الواضح من هي الجهات أو المنظمات التي تشاركها هذه المعلومات".

ويتضمن التطبيق أيضا قائمة تسمى "illegalwords.txt" عن العبارات التي تعتبر في الصين "حساسة سياسيا"، ويتعلق أغلبها بالوضع السياسي في الصين أو بالتبتيين وأقلية الإويغور المسلمة.

وتتضمن تلك العبارات كلمات رئيسة مثل "شر الحزب الشيوعي الصيني" و"شي جين بينغ"، وهو الرئيس الصيني، مع أن نوكيل قال إنه من غير الواضح ما إذا كان يتم فعلا استخدام القائمة لأغراض الرقابة.

وبسبب هذه الخصائص، فقد ينتهك التطبيق سياسات شركتي غوغل وآبل حول برمجيات الهواتف الذكية، وأيضا "قوانين الصين نفسها ومعاييرها الوطنية فيما يتعلق بحماية الخصوصية، ما يوفر سبلا محتملة لسد هذه الثغرة مستقبلا"، بحسب ما أشار.

وتضامنا مع أقلية الإويغور المسلمة المضطهدة في الصين، كان المجلس الإسلامي العالمي لعلماء الدين قد دعا المسلمين حول العالم للامتناع عن المشاركة في دورة الألعاب الأولمبية الشتوية لعام 2022 في بيجين أو حضورها.

وارتكبت بيجين سلسلة من الانتهاكات في منطقة شينغيانغ شمال غربي البلاد حيث يُحتجز بصورة تعسفية أكثر من مليون شخص في معسكرات "إعادة تثقيف سياسي، غالبيتهم من الإويغور".

وسلطت تحقيقات مستقلة ومقابلات مع محتجزين سابقين في المعسكرات الضوء على التعذيب الجسدي والذهني وعمليات غسل الأدمغة والاغتصاب الممنهج والانتهاكات الجنسية التي تجري داخل المعسكرات، وهي في الواقع تستخدم كسجون.

المخاطر الأمنية في الهواتف الصينية

ولطالما كانت الهواتف الصينية عرضة لتدقيق متزايد حول العالم، لا سيما مع استمرار الدراسات في الربط بين هذه الأجهزة وبين مخاطر الأمن القومي والرقابة ومسائل الخصوصية وتسريب البيانات.

وقالت وزارة الدفاع الليتوانية في شهر أيلول/سبتمبر إنه على المؤسسات العامة والمستهلكين توخي الحذر عند استخدام الهواتف الصينية، محذرة من احتمال وجود ثغرات أمنية وعمليات تسريب للبيانات.

وأشار المركز الوطني للأمن السيبراني في البلاد إلى أنه وجد "مخاطر أمنية سيبرانية" في اثنين من الهواتف الصينية الشهيرة التي تباع في أوروبا، وهما شاومي مي 10 تي 5 جي، وهواوي بي 40 5 جي.

ولفت المركز إلى وجود أداة رقابة مدمجة يمكن أن تحظر مصطلحات بحث محددة باللغة الصينية والأحرف اللاتينية في هاتف شاومي، علما أنه الهاتف الذكي الأكثر شعبية في أوروبا.

ويبدو أن قائمة المصطلحات الخاضعة للرقابة تزداد باستمرار إذ كانت اللائحة السوداء تضم 449 كلمة أو عبارة في نيسان/أبريل 2021، لكن عددها وصل إلى 1376 في أيلول/سبتمبر. وتشمل اللائحة كلمات باللغة الصينية وبالأحرف اللاتينية أيضا.

وتشمل المصطلحات المحظورة "حرروا التيبت" و"يعيش استقلال تايوان" و"الحركة الديموقراطية" و"الحركة الطلابية" و"الدكتاتورية" وأسماء بعض الشركات ووسائل الإعلام الغربية.

وقال نائب وزير الدفاع الليتواني مارجيريس أبوكيفيسيوس لإذاعة صوت أميركا "كان جليا أن كل هذه الكلمات الرئيسة وضعت لأسباب سياسية".

وتابع "من المقلق للغاية أن يكون هناك أداة رقابة مدمجة ولائحة كلمات رئيسة تصفي أو تستطيع تصفية عملية البحث على شبكة الويب".

وجاء في التقرير أن هاتف هواوي شكّل تهديدا لأنه أعاد توجيه المستخدمين تلقائيا إلى متاجر التطبيقات الخاصة بأطراف ثالثة يمكنها استضافة تطبيقات فيها فيروسات.