Stayaway Covid: das vulnerabilidades ao abandono dos portugueses. Governo admite que app não "funcionou"

Um aluno do Politécnico de Viana de Castelo encontrou uma nova vulnerabilidade na app de rastreio de contacto. Ministro Manuel Heitor admitiu que os portugueses não aderiram como pretendido à app Stayaway Covid.

Apesar da INESC TEC afirmar que a aplicação de rastreio de contactos Stayaway Covid ainda poderá ser muito útil, apesar do bom ritmo da vacinação contra a COVID-19, há cada vez menos portugueses a utilizar a app: Rui Oliveira, administrador do INESC TEC, referiu recentemente que apenas um terço se encontrava atualmente ativo e em contacto com os seus servidores.

O certo é que a aplicação tem estado no centro de polémicas. Primeiro porque foi descoberta uma falha de segurança na infraestrutura das apps de rastreamento de contacto para Android, permitindo que centenas de apps pré-instaladas nos telemóveis tivessem acesso indevido a registos do sistema. O problema levou mesmo a que a app de contacto utilizada na Holanda tenha sido temporariamente desativada. A Associação D3 - Defesa dos Direitos Digitais pediu o mesmo para Portugal: a suspensão imediatamente da aplicação Stayaway Covid.

E se este problema afetou as apps de rastreio no geral em ambiente Android, o aluno Henrique Faria, do Politécnico de Viana do Castelo, também encontrou uma falha diretamente nas apps como o Stayaway Covid, que compromete o rastreamento da aplicação. A falha, que já foi reportada à Google e reconhecida pela tecnológica, foi identificada como “advertising overflow”, permitindo ao atacante interromper a transmissão Bluetooth do GAEN (Google/Apple Exposure Notification) com uma app maliciosa que esteja instalada nos equipamentos.

Segundo a investigação, num cenário real, um ataque pode parar ou reduzir a eficiência do GAEN visto que deixam de ser transmitidos dados. Na prática, “qualquer utilizador confirmado como infetado e que envie os seus dados para que outros utilizadores possam verificar se foram expostos, não acionará nenhum aviso de exposição. A implementação deste ataque num SDK que seja usado por muitas aplicações pode comprometer a eficácia do sistema de rastreamento de contactos em vários países”, referiu o estudante investigador à Lusa.

É ainda explicado que aplicações como a Stayaway Covid recorrem ao GAEN para, através do Bluetooth, trocarem identificadores anónimos que mais tarde serão utilizados para verificar a possibilidade de infeção. Caso isso se verifique, o utilizador recebe uma notificação no seu dispositivo a informar que esteve exposto a alguém infetado".

Manuel Heitor admite que app de rastreio não teve a adesão pretendida

Durante uma intervenção no congresso do APDC (Associação Portuguesa para o Desenvolvimento das Comunicações) esta quarta-feira, o ministro da Ciência, Tecnologia e Ensino Superior, Manuel Heitor, admitiu que a aplicação Stayaway Covid não funcionou como era esperado em Portugal, e que se deveriam tirar ilações sobre o mesmo, visto que na Alemanha e Suíça, as respetivas apps de rastreio foram uma arma essencial contra a pandemia.

Não foi colocado em causa o funcionamento técnico, mas sim a falta de adesão dos utilizadores, cujo número tem vindo a descer. Desde o lançamento, apenas foram gerados 14.790 códigos, e desses, apenas 17,6% dos utilizadores introduziram no sistema, ou seja, 3.136 no total desde a sua estreia no dia 1 de setembro de 2020. Ao SAPO TEK, Rui Oliveira havia explicado que se as pessoas infetadas não colocarem a informação no sistema, acaba por ser inútil terem a aplicação no telemóvel. Manuel Heitor destacou que o processo é complexo, no triângulo entre os médicos, pacientes e o Serviço Nacional de Saúde, que depende sempre do voluntarismo do doente infetado inserir o código previamente passado pelo médico.

O administrador do INESC TEC continua ciente que se os portugueses aderirem à app, esta poderá ser útil em evitar contágios. O Governo quer mudanças na aplicação, de forma a agilizar a comunicação e inserção do código, aumentando a sua abrangência. O projeto de decreto-lei do Governo pretende agilizar o processo de obtenção e comunicação do código de legitimação de um teste positivo à COVID-19, permitindo que este seja gerado por outros profissionais de saúde, que não apenas médicos, e por meios totalmente automatizados. Desta forma pretende alargar-se a comunicação na aplicação dos testes positivos, que têm sido uma barreira à eficácia e que levaram muitos utilizadores a desinstalar a app.

De recordar que António Costa queria obrigar os portugueses a utilizar a app de rastreio, uma proposta que foi aprovada em Conselho de Ministros mas que gerou grande polémica e dúvidas sobre a sua constitucionalidade, mas também sobre a capacidade das autoridades aplicarem as multas, que estavam previstas até aos 500 euros para quem não cumprisse a obrigatoriedade de usar a aplicação. No entanto, o primeiro-ministro recuou na proposta de tornar a app STAYAWAY COVID obrigatória.