В приложении iOS для паспорта вакцины были обнаружены недостатки после того, как исследователи безопасности и хакеры показали, что в системе мобильной проверки Квебека существует множество проблем с безопасностью.
Квебек выпустил свое приложение VaxiCode, паспорт вакцинации от COVID-19, предназначенный для подтверждения вакцинационного статуса человека через его iPhone. Вскоре после его выпуска безопасность системы в целом уже оказалась под вопросом.
Программист по имени «Луи» успешно опроверг утверждения министра цифровой трансформации Квебека Эрика Кейра о том, что QR-коды, сгенерированные системой, «нельзя подделать, изменить или скопировать». В отчете CBC мужчине удалось создать поддельное доказательство вакцинации для человека, которого не существовало.
После сохранения доказательства в приложении VaxiCode доказательство смогло обмануть сопутствующее приложение VaxiCode Verif, предназначенное для предприятий для проверки документации.
«Честно говоря, я удивлен, что мне удалось так легко проникнуть в систему», — сказал программист.
Проблемы безопасности не ограничиваются только созданием поддельных доказательств. В четверг сообщалось, что группа хакеров смогла получить QR-коды для премьер-министра Франсуа Лего, мэра Валери Планте, министра здравоохранения Квебека Кристиана Дуба, а также доказательства наличия оппозиционных арендаторов из провинции и министра Кайра.
QR-коды содержат ряд информации, включая имена, даты рождения, даты вакцинации и типы используемых вакцин. Кейр преуменьшил значение этой проблемы, поддерживая безопасность использования системы.
Система должна была быть как можно более простой, чтобы стимулировать принятие, но Кэр говорит, что провинция могла бы сделать процесс получения QR-кода более сложным для повышения безопасности.
Кейр также говорит, что гражданам также необходимо будет предъявить удостоверение личности с фотографией, чтобы пойти в места, где требуется паспорт вакцинации. «Суть истории — доказать вашу личность», — сказал Кэр. «Я хочу, чтобы это было предельно ясно, QR-код не был подделан, он не был изменен и остается безопасным».
Квебек требует использования паспортов вакцинации для ряда мероприятий с 1 сентября, включая сидение в баре или ресторане, посещение фестиваля или тренажерный зал, а также в других ситуациях с высоким риском передачи инфекции.
Проблемы привели к тому, что пресс-секретарь Quebec Solidare Габриэль Надо-Дюбуа послал письмо премьер-министру Квебека Лего, в котором он назвал ситуацию «непростительным беспорядком». В письме премьер-министр просит устранить нарушение, «в противном случае необходимо будет рассмотреть вопрос о приостановлении действия паспорта вакцины до тех пор, пока не будет найдено долгосрочное решение».
