COVID-19 Tracing Apps Vulnerability - Apps de Traçage COVID-19 Vulnérables - EN/FR

Version française ci-dessous.

SwissCovid

SwissCovid is the contact tracing app from the Federal Office of Public Health FOPH. Many similar apps operated by other countries are also vulnerable to the Little Thumb attack.

Google Apple Exposure Notification GAEN

Mobile applications using the closed-source GAEN (Google Apple Exposure Notification) service can be vulnerable and can make the user traceable. The service is responsible for the vulnerability. These include SwissCovid (Switzerland), Immuni (Italia), Corona-Warn-App (Germany), Stopp Corona (Austria) and many others.

Little Thumb Attack

These apps regularly broadcast Bluetooth signals with the Rolling Proximity Identifier (RPI) and the Bluetooth Device Address (BD_ADDR). Both are reset every 15 minutes. The changes can be traced because the resets are not simultaneous.
The Little Thumb is a fairytale by Charles Perrault.

Demonstration

Serge Vaudenay and Martin Vuagnoux make the demonstration of the Little Thumb attack against SwissCovid.

---

IDEvent

IDEvent is a simple and cheap solution for bars, restaurants, discotheques, showrooms and any event where visitors must be registered.
The user registers himself with his phone number and then receive an SMS with the confidential web link to his identification ticket. The web page allows to scan a QR code disposed at the entry of the event or the QR code on the page will be scanned by the staff using IDTicketing Scanner.
The visitor has no need to install an app on his phone.

---

SwissCovid

SwissCovid est l'app de traçage de contacts de l'Office Fédéral de la Santé Publique OFSP. Plusieurs applications similaires OPERATED par d'autres pays sont aussi vulnérables à l'attaque du Petit Poucet.

Google Apple Exposure Notification GAEN

Les applications qui utilisent le service propriétaire GAEN (Google Apple Exposure Notification) peuvent être vulnérables et rendre l'utilisateur traçable. Le service est responsable de la vulnérabilité. Elles incluent SwissCovid (Suisse), Immuni (Italie), Corona-Warn-App (Allemagne), Stopp Corona (Autriche) et plusieurs autres.

L'attaque du Petit Poucet

Ces apps envoient régulièrement des signaux Bluetooth contenant le Rolling Proximity Identifier (RPI) et la Bluetooth Device Address (BD_ADDR). Les deux sont réinitialisés chaque 15 minutes. Les changements peuvent être tracés car les réinitialisations ne sont pas simultanées.
Le Petit Poucet est un conte de Charles Perrault.

Démonstration

Serge Vaudenay et Martin Vuagnoux font la démonstration de l'attaque du Petit Poucet contre SwissCovid.

---

IDEvent

IDEvent est une solution simple et bon marché pour les bars, restaurants, discothèques, expositions et n'importe quel événement où les visiteurs doivent être enregistrés.
L'utilisateur s'enregistre avec son numéro de téléphone et reçoit alors un SMS avec le lien internet confidentiel vers son ticket d'identification. La page web permet de scanner un QR code disposé à l'entrée de l'événement ou le QR code sur la page sera scanné par le personnel en utilisant IDTicketing Scanner.
Le visiteur n'a pas besoin d'installer une app sur son téléphone.