美波網安機構批「安心出行」存保安漏洞 政界中人斥報告為講而講

波蘭網絡及數據安全調查機構「7ASecurity」聯同美國政府資助的「開放技術基金」（Open Technology Fund）日前發表報告，批評港府推行的「安心出行」防疫軟件存在重大漏洞。

這份長達55頁的報告提到，兩間機構展開聯合測試，共發現8個安全漏洞和4項一般弱點，其中3個較為嚴重，包括允許應用程序及其後台服務器被攔截、避開驗證系統獲取新冠疫苗接種和測試狀態，以及通過存儲卡獲取相關圖片。報告形容，專家們早於一個多月前向應用開發者Cherrypicks講述有關發現，但至今未有收到任何回覆。

「安心出行」應用程式。

報告同時發現，「安心出行」軟件代碼中包含Google Face detector和React Native Face Detector等人臉識別代碼庫，但在測試運行時未有發現「安心出行」能使用人臉識別和定位追蹤功能。

有份參與調查的「開放技術基金」認為，即使無法證明「安心出行」對香港公民展開惡意或未經授權的跟縱，但該程式未有經過任何「網絡安全」公司的專業審核，卻以某種方式強制執行9個月，最近更傳出要求實名註冊和追蹤用戶活動，情況令人擔憂。

針對報告內容，資訊科技總監辦公室昨日發聲明表示遺憾，形容報告內容不盡不實，強調「安心出行」中所有與個人私隱相關的資料，都經過遮蓋及加密處理。在推出新版本或新功能前，都會諮詢個人資料私隱專員公署的意見，以符合《私隱條例》的要求，同時第三方專業機構也會評估程式的私隱和資訊保安風險，相關報告早已上載至網站供公眾參閱。

資科辦重申，《安心出行》從來沒有使用人臉識別的功能，相關模組已按承諾移除，形容程式自推出一年多以來，有超過八百萬次下載，其間沒有出現任何保安或私隱事故。

有政壇中人話，這份報告炒作《安心出行》涉及安全漏洞和風險，但自己都明言，未能找到人臉識別功能，以及無法證明《安心出行》對香港公民展開惡意或未經授權的跟縱。政界中人笑言「這份報告為講而講，如此不盡不實、充滿猜想，只有盲從西方的人才會相信」。

Ariel

** 博客文章文責自負,不代表本公司立場 **

立法會今天（4月16日）召開的財委會特別會議，會上選委會界別議員江玉歡及工聯會梁子穎均關注，特首政策組進行的研究不對外公開的做法，認為並非所有報告都不能公開，除了一些敏感話題報告外的成果理應公開，對香港市民或企業也有幫助。江玉歡又指，一些研究如旅遊巴泊位的研究用了90多萬元去做報告，做完研究但仍有旅遊巴擾民的問題。

高人話，外界或許有點誤解，以為特首政策組的研究都是保密的，其實並非如此。特首政策組一年外判的研究費用2000多萬元，當中很多研究是公開的。他們選題時也有和政策局溝通，確保做出來的研究政策局能用得著。

高人形容，政府決策前多做研究，了解情況，然後才作出決定，比拍腦袋決策科學得多。但事實上不能說做了一個旅遊巴泊位研究就馬上可以解決相關問題，但做了研究可以讓政策局有更多數據和科學分析，以供參照。

他說，特首政策組有部分研究不公開，涉及費用大約1000多萬，包括就不同問題做的民調，以及其他合約研究，保密的研究有兩大類，主要是和施政報告相關的前期研究，以及就政府內部醖釀中的政策作研究，例如了解外界有無其他可行的政策選項，或者作為「紅隊」，挑戰現有構思中的政策，找出其中漏洞。由於這些研究和政府即將推出的政策緊密關連，故有保密的需要。

高人分析，特首政策組的預算和過去差不多，但本屆政府謀劃的新項目很多，涉及眾多未來的規劃，以有限資源完成更多工作，協助政府作科學決策，殊非易事。