close
資訊保安

OGCIO 聲明指「安心出行」安全問題報告指控不實

昨日(27 日)獨立非營利組織「開放技術基金會」(Open Technology Fund)紅隊實驗室公佈,其與網絡安全公司 7ASecurity 針對「安心出行」聯合展開測試,包括黑盒安全審查 (WP1)及隱私審查(WP2),並發現「安心出行」存在多個嚴重安全漏洞,如允許應用程序及其後台服務器被攔截、可繞過驗證系統獲取新冠疫苗接種和測試狀態、通過 SD 卡獲取相關圖片等。

報告續稱,他們早在一個多月前已聯絡應用開發商 Cherrypicks,並通報了上述安全漏洞發現,然而未有收到任何回覆。報告另提及是次審測合共發現 8 個安全漏洞及 4 一般弱點;此外就 WP2 審查亦分別發現「安心出行」軟件的代碼中含有 Google Face detector 和 React Native Face Detector 這些人臉識別代碼庫。

針對該份安全報告所提出的潛在安全問題,政府資訊科技總監辦公室(OGCIO)今日(28 日)作出嚴正聲明。發言人表示,「安心出行」一直以保障個人私隱為大前提,程式無須登記,儲存所有與個人私隱相關的資料均經遮蓋及加密處理。程式推出一年多以來,從未出現任何保安或私隱相關事故。

強調已按承諾移除人臉識別模組

此外,資科辦早於今年五月就有關人臉識別模組的指控多次解說,重申「安心出行」無須亦從來沒有使用人臉識別的功能,相關人臉識別模組亦早已按承諾移除。發言人再次強調,「安心出行」程式嚴格遵守香港特區政府的資訊保安和私隱保障規例、要求和標準,亦把程式的技術規格開誠布公上載網站供公眾查閱。

程式的所有重要更新版本在推出前,均通過獨立第三方專業機構進行的私隱影響評估,以及資訊保安風險評估及審計,以確保程式安全可靠,相關報告亦早已上載網站供公眾參閱。此外,「安心出行」每個版本均須通過各流動應用程式商店嚴謹的審批程序,確保在其商店推出的程式切實遵守保護個人私隱的要求。資科辦每次在「安心出行」流動應用程式加入新功能時,亦徵詢個人資料私隱專員公署的意見,確保符合《個人資料(私隱)條例》的規定。

Tags :7ASecuritycherrypicksOGCIO
Catabell Lee

The authorCatabell Lee