Chinese app voor Spelen: verplicht downloaden, inclusief slechte databeveiliging

In korte filmpjes beantwoord ik elke week een van twee vragen over een aan technologie gerelateerd thema. Vorige week ging het over een nieuwe analyse van de Chinese My2022-app, ontwikkeld voor de Olympische Spelen die vandaag beginnen. ‘BS’ – onzin – was de weinig diplomatieke reactie per tweet van Chen Weihua, journalist bij China dagelijks, het nieuwsmedium in handen van de Chinese Communistische Partij. Chen kon zich niet vinden in de kritische analyse van deze officiële app, verplicht voor sporters, publiek en journalisten die naar de Olympische Spelen gaan. Ze moeten de app een paar weken voor vertrek downloaden.

De grote belangstelling van de Chinese overheid voor informatie en haar behoefte om gegevens te verzamelen, waren al bekend. Nederlandse belangen werden opgenomen hun persoonlijke telefoons en laptops thuis te laten en de FBI raadde Amerikaanse sporters hetzelfde. Maar ook op vervangen brander telefoons moet correct paspoort- en gezondheidsinformatie worden gedeeld in het kader van veiligheid en de bestrijding van Covid-19.

Onderzoekers van het Citizen Lab aan de Universiteit van Toronto deden forensisch onderzoek naar de veiligheid van de verplichte app. Zo ontdekte ze een fout in de versleuteling van informatie, gevoelige details als geluidsfragmenten, douaneformulieren en paspoortgegevens makkelijk voor buitenstaanders toegankelijk zijn. Ieder punt in de keten waarlangs de informatie zou moeten reizen, dus bijvoorbeeld de beheerder van een wifi in een hotel, kannetwerk van de slechte beveiliging.

Dan is er nog de censuurlijst, een standaardlijst met woorden en begrippen die niet ontwikkeld worden door de Communistische Partij. Referenties aan de dalai lama en de Oeigoeren op, en werden verwijzingen naar president Xi Jinping van het Plein van de Hemelse Vrede, waar een studentenopstand in 1989 bruut neergeslagen. Censuur is standaard in Chinese apps, en populaire Amerikaanse sites als Facebook en Twitter zijn helemaal niet toegestaan ​​in China. Voor de olympische sporters gelden op die beperking een tijdelijke uitzondering, zodat zij hun succesen met fans kunnen blijven delen.

De Canadese onderzoekers rapporteerden de kwetsbaarheden in de app netjes. Dat is goed gebruik en geeft de ontwikkelaars van de technologie een kans het probleem op te lossen. Misschien was het een onbedoeld foutje, maar er kwam geen antwoord. De ontwikkelaars in op de opmerkingen van de onderzoekers. Een update van de software die intussen werd uitgerold, loste de zwakke versleuteling niet op.

Of de software voor de app nu bewust zo is geschreven van dat de kwetsbaarheden er onbewust in zijn geslopen, het resultaat is hetzelfde. Geheel verwachting volgens verdedigt het International Olympisch Comité de gang van zaken. De Duitse sportersbond Athleten Deutschland heeft er geen goed woord voor over. De bond bevat het onverantwoord dat de organisatie sporters aanmoedigt de app te gebruiken, gebruiken het delen van gegevens en beginnen in China op voorstelbare gevolgen.

Of iemand in China die het niet eens is met het strenge Covid-19-beleid, de komst van de Olympische Spelen tijdens een pandemie of de mensenrechtenschendingen zelf ongeschonden zou wegkomen met een kritische maaragzeking v. Voor journalisten als die van de China Daily is het in elk geval met de vinger te wijzen en met krachttermen te strooien op sociale media die in China niet zijn toegestaan.

Laten we vooral de ‘bullshit’ bespreken, hopelijk ook in de Nederlandse media, alle ogen op de sport gericht zijn.

Marietje Schaake schrijft om de week op deze plek een column over technologie, beleid en economie.