Новая норма слежки в Таиланде

Новая норма слежки в Таиланде

7 минут чтения

Обзор тайской системы отслеживания входа и выхода в магазинах в борьбе с распространением коронавируса.

Запуск

17 мая 2020 года была запущена онлайн платформа Thai Chana («Тай Чана́», ไทยชนะ – «Таиланд побеждает») в рамках подготовки ко 2-му этапу ослабления карантина COVID-19 в Таиланде.

Все бизнесмены могли зарегистрировать свой бизнес, чтобы получить свои собственные QR коды и установить ограничения на одновременное количество посетителей. И они должны отвечать за то, чтобы все покупатели сканировали QR код на входе и выходе. Владельцы бизнеса могут также проверить, сколько людей находится в их магазине прямо сейчас.

Говоря «чеки́н» и «чека́ут», подразумевается обязательная регистрация всех посетителей магазинов на входе и выходе путём считывания QR кодов.

Инструкция доступна только на тайском языке, но она содержит скриншоты и иллюстрации.

Вход

Предполагалось, что у каждого должен быть телефон с камерой или каким-нибудь специальным приложением, которое может считывать QR код.

QR код
QR код

И у всех магазинов должны быть их собственные сгенерированные QR коды, распечатанные на бумаге. На ней только тайский язык. Но из того, что я мог прочитать, это название и адрес магазина. Некоторые магазины предоставляют дополнительную информацию на английском.

Тай Чана чекин
Тай Чана чекин
  1. Отсканируй QR код, чтобы перейти по ссылке.
  2. Выбери английский язык и нажми Check-In.
  3. Отметь чекбокс для согласия на сбор персональных данных и нажми Next.
Тай Чана чекин завершён
Тай Чана чекин завершён
  1. Введи свой мобильный номер и нажми Submit.
  2. Вход завершён!

Выход

На входе похожий процесс.

Тай Чана выход завершён
Тай Чана выход завершён
  1. Отсканируй QR код и нажми Check-Out.
  2. Выход завершён!
  3. Опционально ответь на вопросы и нажми Submit или Skip it, чтобы пропустить.
Тай Чана вопросник
Тай Чана вопросник

Мой личный опыт

Первый раз я видел QR код, когда я шёл в супермаркет BigC Extra на Патонге. Их сотрудник попросил меня отсканировать QR код. И это было в дополнение к проверке температуры, мытью рук дезинфицирующим средством и надетой маске. Кстати, если нет маски, то предложат купить её прямо на месте.

Чекин в супермаркете BigC Extra
Чекин в супермаркете BigC Extra

В то время я думал, что я должен был пользоваться каким-то приложением, чтобы отсканировать QR код, т.к. об этом говорилось в тайских новостях. Но в любом случае у меня не было мобильного интернета. Я пользовался только вайфаем, пока сидел дома.

Так что, если я не мог отсканировать QR код, меня попросили оставить мои имя и номер телефона в регистрационной книге. И мыть руки дезинфицирующим средством до и после пользования ручки.

Это выглядит небезопасно, т.к. любой может получить твои данные на входе. Это то же самое, если бы написать свои данные на стене.

И также сотрудники не могут проверить, если ты написал свои настоящие имя и номер телефона.

Такой же процесс на выходе. Но после оплаты на кассе я просто вышел как обычно, и меня никто ничего не спрашивал.

Когда торговые центры BigC и Jungceylon открылись, снаружи были установлены палатки для входа. В других, таких как Central на Патонге или Пхукете, чекин происходит внутри.

BigC палатка для входа
BigC палатка для входа

Я попробовал зачекиниться с QR кодом, нужно было обязательно ввести мой номер телефона, но я не стал этого делать. На входе в других местах я просто делал вид, что я отсканировал, и проходил. И никто это не проверял.

На выходах я не видел, чтобы кто-то тоже чекаутился.

Хоть персонал и должен отвечать за это, где-то они просят отсканировать QR код, а где-то нет. Я видел только 2 раза, когда они это проверяли. И это было только на входе.

Внутри торговых центров, если я хочу зайти в любой магазин, я каждый раз должен отсканировать QR код и пользоваться дезинфицирующим средством на входе и выходе.

Сканирование QR кодов телефоном ещё ок. Но из-за слишком частого мытья болят руки.

Studio 7
Studio 7

Там также есть некоторые магазины, в которых не хватает рук для проверки посетителей, и никто сам не чекинился.

Однако в торговых центрах на Патонге меньше людей, чем в Пхукет Тауне. Большинство из них тайцы.

Кстати, есть и «инновационная часть» этой отслеживающей системы: на входе каждому лепят стикер на одежду! 😄

Стикеры повсюду
Стикеры повсюду

В результате эти стикеры оказываются на улице повсюду.

Расизм

В одном из магазинов в Central на Пхукет Тауне я столкнулся с расизмом. Когда я отсканировал QR код, тайская сотрудница магазина попросила меня написать мои имя и номер телефона в регистрационной книге.

Я и моя тайская девушка пытались объяснить ей, что это какой-то бред, т.к. я только что зачекинился с QR кодом перед ней. Но она сказала, что я должен оставить свои данные в любом случае, потому что я фаранг!

Тайцы называют фарангом любого человека с белой расой.

В итоге она сдалась, мы получили какие-то номера на куске бумаги и мы зашли в магазин. Позже мы вышли и никто ничего нас не спрашивал. Такая вот классика!

Исследование веб-приложения

Вот что я обнаружил в веб-приложении:

  1. Находится на домене qr.thaichana.com.
  2. Нет главной страницы, доступно только для конкретного магазина, переходя по ссылке из QR кода.
  3. Уже есть английский язык.
  4. Собрано на React фреймворке Next.js.
  5. Нет тёмной темы.

Официальный Thai Chana сайт только на тайском языке:

  1. www.thaichana.com – главный
  2. www.ไทยชนะ.com - зеркальный с тайскими буквами

Он не содержит ничего связанного с их приложением. Там только общая информация.

Все остальные сайты — фейки и могут украсть ваши данные. Не заходите на них!

Как это работает

QR код содержит ссылку на страницу конкретного магазина на сайте Тай Чана.

Как только QR код отсканирован камерой телефона или другим специальным приложением для считывания QR кода, ссылка откроется в браузере по умолчанию.

Ссылка выглядит вот так:

https://qr.thaichana.com/?appId=0001&shopId=S0000020397

Если, перейдя по ссылке, магазин уже достиг лимита, он скажет, что зачекиниться нельзя. И нужно ждать снаружи.

Первый раз, когда ты чекинишься, приложение попросит ввести свой номер телефона.

После регистрации на том же устройстве это уже не нужно делать каждый раз. Приложение устанавливает сгенерированный идентификатор, связанный с номером телефона, в локальном хранилище браузера.

Уязвимости

Т.к. для введённого номера телефона нет СМС с одноразовыми паролями, это создаёт уязвимости:

  1. Можно чекиниться с любым номером, начинающимся с 0.
  2. Чекиниться с чужим реальным номером. Если будет реальный случай COVID-19, им всем позвонят.
  3. Чекиниться много раз и достигнуть лимита. Другие посетители не смогут зачекиниться, хотя магазин на самом деле пустой.

Нарушение соглашения

После прочтения постановлений и условий ты соглашаешься позволить тайскому министерству здравоохранения и правительственным учреждениям при нём собирать только твои имя, номер телефона, место и время. Но приложение также трекает тебя сторонней веб-аналитикой от Google Analytics. Это значит, что приложение Thai Chana нарушает соглашение.

И также не понятно, как данные будут использоваться.

Скорость загрузки

В Chrome DevTools на вкладке Network я проверил, сколько килобайтов приложение загружает и как долго.

Первый тест на медленном 3G: больше половины мегабайта и около 17 секунд.

Chrome DevTools – Network: медленный 3G
Chrome DevTools – Network: медленный 3G

Второй — на быстром 3G: около мегабайта и 5 секунд.

Chrome DevTools – Network: медленный 3G
Chrome DevTools – Network: медленный 3G

Также я протестил это в мобильном Safari с 1 мбит/с соединением. И это заняло 7 секунд. Повторный заход — 1-2 секунды. Просто для сравнения, Google открывается за секунду.

На PageSpeed Insights от Google оно набрало 56 очков на мобиле и 98 очков на десктопе.

Мобильное приложение

В тайских новостях я видел, что релиз iOS версии приложения Thai Chana ожидался в конце мая. А Android версия уже была доступна в магазине Google Play.

Я пытался поискать его, набирая «Thai Chana» или «ไทยชนะ» на тайском, но ничего не было ни в App Store, ни в Google Play.

Позже я обнаружил, что мобильное приложение на самом деле называется MorChana («Мо Чана́», หมอชนะ – «доктор побеждает») и было выпущено ещё в апреле.

Поначалу было непонятно, т.к. были только разговоры о приложении Thai Chana, которое на самом деле было веб-сайтом.

MorChana доступно на iOS и Android.

MorChana в App Store
MorChana в App Store

Далее я проследую все шаги регистрации в приложении.

Условия и положения

Я прочитал условия и положения, и нашёл, какие данные оно собирает:

  1. Номер телефона, запрашиваемый 1 раз при чекине.
  2. Селфи.
  3. Возраст, который на самом деле не запрашивается в приложении. Я полагаю, он может быть извлечён из данных, зарегистрированных на номер телефона.
  4. Адрес, только район или провинция (город).
  5. Информация о месте регистрации входа
  6. Информация отслеживания контактирования, которая определяется и собирается приложением
  7. Риск воздействия COVID-19, такой как поездка в районы с высоким риском или близкий контакт с инфицированным человеком в соответствии с медицинской анкетой с самооценкой.
  8. COVID-19 симптомы, такие как лихорадка в соответствии с медицинской анкетой с самооценкой.
Приложение MorChana
Приложение MorChana

Цель сбора этих данных — предотвращение распространения коронавируса и другие красивые слова. Но кто собирается в это верить? Как минимум это нарушает права и свободу человека.

И есть срок хранения данных. В течение 30 дней после того, как пандемия коронавируса и чрезвычайное положение закончатся, все персональные данные будут стёрты. Я так не думаю.

И это не совпадает с условиями Thai Chana в FAQ (там на тайском, но я перевёл), где говорится, что время на хранение данных ограничено всего 60-ю днями.

Фото

Я сделал селфи котэ-кошелька моей девушки. В приложении нет специального движка с ИИ, чтобы проверять, настоящее ли это лицо или нет.

Фото
Фото

Разрешения и доступы

Далее приложение просит дать разрешение делить местоположением, перемещением и доступом к Bluetooth.

Bluetooth используется для сканирования и обмена информацией с другими устройствами в ближнем радиусе, у которых установлено то же приложение.

Разрешение к местоположения, перемещению и доступ к Bluetooth
Разрешение к местоположения, перемещению и доступ к Bluetooth

Просит включить уведомления, но уже просило, когда я открыл приложение первый раз.

Разрешение уведомлений и проверка симптомов
Разрешение уведомлений и проверка симптомов

Вопросник

И далее нужно начать оценку. Это просто вопросник.

Есть ли у тебя симптомы, связанные с COVID-19, или был ли заграницей в последние 14 дней.

Вопросник: симптомы и выезд заграницу
Вопросник: симптомы и выезд заграницу

Приближался ли ты к человеку, который подвергался риску COVID-19 в течение последних 14 дней, и имеешь ли профессию, которая связана с необходимостью часто быть в близком контакте с иностранцами.

Вопросник: контактирование с COVID-19 person & work with foreigners
Вопросник: контактирование с COVID-19 person & work with foreigners

Навигация приложения

И наконец, индикатор уровня риска со своим результат.

Индикатор уровня риска и QR код
Индикатор уровня риска и QR код

На вкладке Data располагается аватар и QR код с информацией из вопросника, которая может быть использована врачами, чтобы не тратить вермя, спрашивая одни и те же вопросы.

На вкладке Scan QR находится та же камера для сканирования QR-кодов, но обрезаная в квадрат.

Скан QR кода
Скан QR кода

Я отсканировал один QR код. И что я там увидел? Открылся тот же самый сайт Thai Chana внутри приложения! Выглядит, как будто они пытаются продать браузер с трекером, который собирает дополнительные данные.

На вкладке Settings можно выключить отслеживание по Bluetooth.

Настройки и разрешения
Настройки и разрешения

Также я глянул, какие разрешения для этого приложения были в настройках iOS. Все те же, что и запрашивались.

Техническая сторона

  1. Занимает всего 14.3 МБ в iOS.
  2. Нет тёмной темы.
  3. Использует WebView UI (браузер в приложении) для отображения сайта Thai Chana.
  4. Приложение работает в фоне и ест батарею телефона, получая доступ к местоположению, перемещению и Bluetooth.
  5. Если удалить и переустановить его, то нужно заново регистрироваться.
  6. Т.к. это приложение не с открытым исходниками, мы не можем быть уверены, что оно собирает только те данные из условий и положения.

Моё мнение

Система регистрации входа/выхода в Таиланде не идеальна: работает наполовину и содержит уязвимости.

Вот краткая выжимка:

  1. Нет нужды скачивать и пользоваться приложением на входе и выходе. Камеры телефона достаточно, чтобы сканировать QR код и открыть ссылку в браузере по умолчанию.
  2. Небезопасно оставлять имена и номера телефонов в регистрационной книге, т.к. любой может прочитать её на входе.
  3. Приложение с личным QR кодом может сохранить время на границах во время путешествия в другую провинцию или город.
  4. Блокировщики рекламы могут защитить от слежки сторонними сервисами вроде Google Analytics в веб-приложении Thai Chana.

© 2021 Smvzy by Felix Exter

Built with & deployed by