C0050
声明内容
“未在COVIDSafe应用程序隐私政策中提及手机型号和设备名称（例如'Mary的iPhone'）会通过蓝牙广播的信息。一个被利用的例子是：家庭暴力施虐者可以在不踏入建筑物的情况下，判断受害者是否在家以及其室友是否不在家。”
原始来源： Matthew Davis
分析时间： 29 Jan 2026
原始来源
✅ 事实核查
核心 hé xīn 声明 shēng míng 包含 bāo hán 多个 duō gè 需要 xū yào 仔细 zǐ xì 核实 hé shí 的 de 技术 jì shù 和 hé 事实 shì shí 要素 yào sù ： ：
The core claim contains multiple technical and factual elements that require careful verification:
### ### CVE CVE 文档 wén dàng 实际 shí jì 显示 xiǎn shì 的 de 内容 nèi róng ### What the CVE Documentation Actually Shows
COVIDSafe COVIDSafe （ （ Android Android v1.0 v1.0 . . 17 17 及 jí 更 gèng 早 zǎo 版本 bǎn běn ） ） 确实 què shí 存在 cún zài 一个 yí gè 真正 zhēn zhèng 的 de 蓝牙 lán yá 漏洞 lòu dòng ， ， 记录 jì lù 为 wèi * * * * CVE CVE - - 2020 2020 - - 12860 12860 * * * * 和 hé * * * * CVE CVE - - 2020 2020 - - 12856 12856 * * * * [ [ 1 1 ] ] [ [ 2 2 ] ] 。 。 There IS a genuine Bluetooth vulnerability in COVIDSafe (Android v1.0.17 and earlier), documented as **CVE-2020-12860** and **CVE-2020-12856** [1][2].
然而 rán ér ， ， 声明 shēng míng 对 duì 暴露 bào lù 信息 xìn xī 特征 tè zhēng 的 de 描述 miáo shù 部分 bù fèn 准确 zhǔn què ， ， 但 dàn 需要 xū yào 重要 zhòng yào 的 de 背景 bèi jǐng 说明 shuō míng 。 。 However, the claim's characterization of what information is exposed is partially accurate but requires important context.
根据 gēn jù CVE CVE - - 2020 2020 - - 12860 12860 技术 jì shù 文档 wén dàng ， ， COVIDSafe COVIDSafe v1.0 v1.0 . . 17 17 及 jí 更 gèng 早 zǎo 版本 bǎn běn " " 允许 yǔn xǔ 远程 yuǎn chéng 攻击者 gōng jī zhě 访问 fǎng wèn 手机 shǒu jī 名称 míng chēng 和 hé 型号 xíng hào 信息 xìn xī ， ， 因为 yīn wèi BLE BLE 设备 shè bèi 可以 kě yǐ 具有 jù yǒu 四种 sì zhǒng 角色 jué sè ， ， 而 ér COVIDSafe COVIDSafe 使用 shǐ yòng 了 le 所有 suǒ yǒu 四种 sì zhǒng 角色 jué sè " " [ [ 1 1 ] ] 。 。 According to the CVE-2020-12860 technical documentation, COVIDSafe through v1.0.17 "allows a remote attacker to access phone name and model information because a BLE device can have four roles and COVIDSafe uses all of them" [1].
这 zhè 允许 yǔn xǔ " " 重新 chóng xīn 识别 shí bié 设备 shè bèi ， ， 以及 yǐ jí 可能 kě néng 识别 shí bié 所有者 suǒ yǒu zhě 姓名 xìng míng " " [ [ 1 1 ] ] 。 。 This allows for "re-identification of a device, and potentially identification of the owner's name" [1].
另 lìng 一个 yí gè 由 yóu 研究 yán jiū 人员 rén yuán Jim Jim Mussared Mussared 和 hé Alwen Alwen Tiu Tiu 发现 fā xiàn 的 de 漏洞 lòu dòng CVE CVE - - 2020 2020 - - 12856 12856 描述 miáo shù 了 le 一个 yí gè " " 静默 jìng mò 配对 pèi duì 问题 wèn tí " " ， ， 其中 qí zhōng " " 配对 pèi duì 过程 guò chéng 涉及 shè jí 交换 jiāo huàn 受害者 shòu hài zhě 手机 shǒu jī 的 de 永久 yǒng jiǔ 标识符 biāo shí fú ： ： 手机 shǒu jī 中 zhōng 蓝牙 lán yá 设备 shè bèi 的 de 身份 shēn fèn 地址 dì zhǐ 以及 yǐ jí 一个 yí gè 称为 chēng wéi 身份 shēn fèn 解析 jiě xī 密钥 mì yào （ （ IRK IRK ） ） 的 de 加密 jiā mì 密钥 mì yào " " [ [ 3 3 ] ] 。 。 A separate vulnerability, CVE-2020-12856, discovered by researchers Jim Mussared and Alwen Tiu, describes a "silent pairing issue" where "the bonding process involves exchanges of permanent identifiers of the victim phone: the identity address of the bluetooth device in the phone and a cryptographic key called Identity Resolving Key (IRK)" [3].
任一 rèn yī 标识符 biāo shí fú 都 dōu 可 kě 用于 yòng yú " " 长期 cháng qī 追踪 zhuī zōng 手机 shǒu jī " " [ [ 3 3 ] ] 。 。 Either identifier can be used for "long term tracking of the phone" [3].
### ### 设备 shè bèi 名称 míng chēng 广播 guǎng bō - - 需要 xū yào 澄清 chéng qīng ### Device Name Broadcasting - Clarification Needed
一个 yí gè 关键 guān jiàn 细节 xì jié ： ： 根据 gēn jù 安全 ān quán 研究 yán jiū 人员 rén yuán Matthew Matthew Rocklin Rocklin （ （ @ @ matthewrdev matthewrdev ） ） 的 de Twitter Twitter 讨论 tǎo lùn 串 chuàn ， ， " " 该 gāi 应用程序 yìng yòng chéng xù * * 不会 bú huì * * 广播设备 guǎng bō shè bèi 名称 míng chēng " " [ [ 4 4 ] ] 。 。 A critical detail: According to a Twitter thread by security researcher Matthew Rocklin (@matthewrdev), "the app *does not* broadcast the device name" in the standard operation of the app [4].
相反 xiāng fǎn ， ， " " 当 dāng 另 lìng 一部 yī bù 手机 shǒu jī 检测 jiǎn cè 到 dào 你 nǐ 时 shí ， ， 你 nǐ 是 shì 通过 tōng guò 蓝牙 lán yá 地址 dì zhǐ 而 ér 不是 bú shì 设备 shè bèi 名称 míng chēng 来 lái 识别 shí bié 的 de " " [ [ 4 4 ] ] 。 。 Instead, "when another phone detects you, you are identified using a Bluetooth address and not a device name" [4].
然而 rán ér ， ， CVE CVE - - 2020 2020 - - 12860 12860 漏洞 lòu dòng 允许 yǔn xǔ 攻击者 gōng jī zhě 通过 tōng guò BLE BLE 角色 jué sè 滥用 làn yòng 提取 tí qǔ 手机 shǒu jī 型号 xíng hào 和 hé 设备 shè bèi 名称 míng chēng 信息 xìn xī ， ， 这 zhè 意味着 yì wèi zhe 即使 jí shǐ 设备 shè bèi 名称 míng chēng 在 zài 正常 zhèng cháng 操作 cāo zuò 中 zhōng 不会 bú huì 广播 guǎng bō ， ， 通过 tōng guò 利用 lì yòng 此 cǐ 漏洞 lòu dòng 确实 què shí 可以 kě yǐ 获取 huò qǔ 该 gāi 信息 xìn xī [ [ 1 1 ] ] [ [ 2 2 ] ] 。 。 However, the CVE-2020-12860 vulnerability allows attackers to extract phone model AND device name information through BLE role misuse, meaning the device name IS accessible through exploitation of this vulnerability, even if not broadcast in normal operation [1][2].
### ### 隐私 yǐn sī 政策 zhèng cè 披露 pī lù ### Privacy Policy Disclosure
关于 guān yú 未 wèi 在 zài 隐私 yǐn sī 政策 zhèng cè 中 zhōng 提及 tí jí 此 cǐ 问题 wèn tí 的 de 声明 shēng míng ： ： QUT QUT 关于 guān yú COVIDSafe COVIDSafe 实施 shí shī 的 de 学术研究 xué shù yán jiū 发现 fā xiàn ， ， 政府 zhèng fǔ 提供 tí gōng 了 le 一份 yī fèn 重点 zhòng diǎn 关注 guān zhù 蓝牙 lán yá 数据 shù jù 收集 shōu jí 的 de 隐私 yǐn sī 影响 yǐng xiǎng 评估 píng gū [ [ 5 5 ] ] 。 。 Regarding the claim that this wasn't mentioned in the privacy policy: The QUT academic research on COVIDSafe implementation found that the government provided a Privacy Impact Assessment focusing on Bluetooth data collection [5].
然而 rán ér ， ， 通过 tōng guò BLE BLE 漏洞 lòu dòng 可能 kě néng 提取 tí qǔ 的 de 具体 jù tǐ 信息 xìn xī 可能 kě néng 未 wèi 在 zài 面向 miàn xiàng 消费者 xiāo fèi zhě 的 de 隐私 yǐn sī 政策 zhèng cè 文档 wén dàng 中 zhōng 明确 míng què 详细 xiáng xì 说明 shuō míng [ [ 5 5 ] ] 。 。 However, the specifics of what information could be extracted through BLE vulnerabilities may not have been explicitly detailed in consumer-facing privacy policy documentation [5].
隐私 yǐn sī 政策 zhèng cè 确实 què shí 注明 zhù míng " " 蓝牙 lán yá 扫描 sǎo miáo 可 kě 用于 yòng yú 收集 shōu jí 用户 yòng hù 位置 wèi zhì 信息 xìn xī " " [ [ 6 6 ] ] ， ， 但 dàn 可能 kě néng 未 wèi 详细 xiáng xì 说明 shuō míng 设备 shè bèi 名称 míng chēng / / 型号 xíng hào 提取 tí qǔ 的 de 具体 jù tǐ 漏洞 lòu dòng [ [ 5 5 ] ] 。 。 The privacy policy did note that "a Bluetooth scan can be used to gather information about the location of the user" [6], but may not have detailed the specific vulnerability of device name/model extraction [5].
缺失背景
### ### 时间 shí jiān 线 xiàn 和 hé 修复 xiū fù 状态 zhuàng tài
### Timeline and Patch Status
该 gāi 漏洞 lòu dòng 于 yú 2020 2020 年 nián 5 5 月 yuè 5 5 日 rì 报告 bào gào 给 gěi DTA DTA （ （ 内政部 nèi zhèng bù ） ） ， ， 并 bìng 在 zài * * * * COVIDSafe COVIDSafe （ （ Android Android ） ） v1.0 v1.0 . . 18 18 * * * * 中 zhōng 得到 dé dào 修复 xiū fù [ [ 3 3 ] ] 。 。 The vulnerability was reported to DTA (Department of Home Affairs) on May 5, 2020, and **was fixed in COVIDSafe (Android) v1.0.18** [3].
该 gāi 应用程序 yìng yòng chéng xù 于 yú 2020 2020 年 nián 4 4 月 yuè 26 26 日 rì 部署 bù shǔ ， ， 意味着 yì wèi zhe 该 gāi 漏洞 lòu dòng 在 zài 修复 xiū fù 可用 kě yòng 前 qián 存在 cún zài 了 le 大约 dà yuē 3 3 周 zhōu [ [ 1 1 ] ] [ [ 3 3 ] ] 。 。 The app was deployed April 26, 2020, meaning this vulnerability existed for approximately 3 weeks before patches were available [1][3].
发现 fā xiàn 后 hòu 迅速 xùn sù 实施 shí shī 了 le 修复 xiū fù [ [ 3 3 ] ] 。 。 The fix was implemented promptly after discovery [3].
### ### 家庭暴力 jiā tíng bào lì 利用 lì yòng - - 理论 lǐ lùn vs vs 实证 shí zhèng ### Domestic Violence Exploitation - Theoretical vs Proven
虽然 suī rán 声明 shēng míng 提出 tí chū 了 le 一种 yī zhǒng 场景 chǎng jǐng ， ， 即 jí " " 家庭暴力 jiā tíng bào lì 施虐 shī nüè 者 zhě 可以 kě yǐ 判断 pàn duàn 受害者 shòu hài zhě 是否 shì fǒu 在家 zài jiā 以及 yǐ jí 其 qí 室友 shì yǒu 是否 shì fǒu 不 bù 在家 zài jiā " " ， ， 但 dàn 这 zhè 似乎 sì hū 是 shì 一种 yī zhǒng * * * * 理论 lǐ lùn 漏洞 lòu dòng 而 ér 非 fēi 有 yǒu 记录 jì lù 的 de 实际 shí jì 利用 lì yòng 证据 zhèng jù * * * * [ [ 1 1 ] ] [ [ 3 3 ] ] 。 。 While the claim presents a scenario where "a domestic violence abuser can tell whether the victim is at home and their house-mates are not," this appears to be a **theoretical vulnerability rather than documented evidence of actual exploitation** [1][3].
CVE CVE 文档 wén dàng 讨论 tǎo lùn 了 le 通过 tōng guò BLE BLE 标识符 biāo shí fú 提取 tí qǔ 进行 jìn xíng " " 长期 cháng qī 追踪 zhuī zōng " " 的 de 技术 jì shù 能力 néng lì [ [ 3 3 ] ] ， ， 但 dàn 在 zài 已 yǐ 发布 fā bù 的 de 漏洞 lòu dòng 披露 pī lù 、 、 学术 xué shù 文献 wén xiàn 或 huò 媒体报道 méi tǐ bào dào 中 zhōng ， ， 没有 méi yǒu 证据 zhèng jù 表明 biǎo míng 该 gāi 漏洞 lòu dòng 实际 shí jì 被 bèi 用于 yòng yú 家庭暴力 jiā tíng bào lì 追踪 zhuī zōng [ [ 2 2 ] ] [ [ 3 3 ] ] 。 。 The CVE documents discuss the technical capability for "long term tracking" through BLE identifier extraction [3], but there is no evidence in the published vulnerability disclosures, academic literature, or media reporting of actual instances where this vulnerability was exploited for domestic violence tracking [2][3].
这是 zhè shì 一个 yí gè * * * * 合理 hé lǐ 的 de 安全 ān quán 担忧 dān yōu * * * * ， ， 研究 yán jiū 人员 rén yuán 已 yǐ 识别 shí bié 并 bìng 负责 fù zé 任地 rèn dì 披露 pī lù ， ， 但 dàn 将 jiāng 其 qí 描述 miáo shù 为 wèi 没有 méi yǒu 记录 jì lù 实例 shí lì 的 de 已知 yǐ zhī 利用 lì yòng 方法 fāng fǎ ， ， 超出 chāo chū 了 le 证据 zhèng jù 所 suǒ 显示 xiǎn shì 的 de 范围 fàn wéi 。 。 This is a **legitimate security concern** that researchers identified and responsibly disclosed, but characterizing it as a known exploitation method without documented instances is an extrapolation beyond what the evidence shows.
### ### " " 广播 guǎng bō " " 的 de 技术 jì shù 准确性 zhǔn què xìng ### Technical Accuracy of "Broadcasting"
声明 shēng míng 使用 shǐ yòng 了 le " " 广播 guǎng bō " " 一词 yī cí ， ， 这 zhè 在技术上 zài jì shù shàng 是 shì 不 bù 精确 jīng què 的 de 。 。 The claim uses the word "broadcast" which is technically imprecise.
设备 shè bèi 名称 míng chēng 在 zài COVIDSafe COVIDSafe 的 de 正常 zhèng cháng 操作 cāo zuò 中 zhōng 不会 bú huì 持续 chí xù 广播 guǎng bō 。 。 Device names are not continuously broadcast in COVIDSafe's normal operation.
相反 xiāng fǎn ， ， 它们 tā men 是 shì 通过 tōng guò 允许 yǔn xǔ 攻击者 gōng jī zhě 从 cóng 设备 shè bèi 蓝牙 lán yá 协议 xié yì 栈 zhàn 提取 tí qǔ 此 cǐ 信息 xìn xī 的 de BLE BLE 技术 jì shù 漏洞 lòu dòng （ （ 角色 jué sè 滥用 làn yòng ） ） 而 ér 暴露 bào lù 的 de [ [ 1 1 ] ] [ [ 2 2 ] ] 。 。 Rather, they are exposed through BLE technical vulnerabilities (role misuse) that allow attackers to extract this information from the device's Bluetooth stack [1][2].
这是 zhè shì 一个 yí gè 有 yǒu 意义 yì yì 的 de 区别 qū bié ， ， 因为 yīn wèi 它 tā 影响 yǐng xiǎng 了 le 威胁 wēi xié 建模 jiàn mó — — — — 攻击者 gōng jī zhě 需要 xū yào 主动 zhǔ dòng 进行 jìn xíng 技术 jì shù 利用 lì yòng ， ， 而 ér 不仅仅 bù jǐn jǐn 是 shì 处于 chǔ yú 蓝牙 lán yá 范围 fàn wéi 内 nèi [ [ 3 3 ] ] 。 。 This is a meaningful distinction because it affects threat modeling—an attacker would need to actively conduct a technical exploit, not merely be in Bluetooth range [3].
来源可信度评估
原始 yuán shǐ 来源 lái yuán 是 shì 一份 yī fèn * * * * Google Google 文档 wén dàng * * * * ， ， 在 zài 声明 shēng míng 文件 wén jiàn 中 zhōng 没有 méi yǒu 列出 liè chū 确定 què dìng 的 de 作者 zuò zhě 、 、 机构 jī gòu 隶属 lì shǔ 关系 guān xì 或 huò 发布 fā bù 凭证 píng zhèng [ [ 7 7 ] ] 。 。
The original source is a **Google Doc** with no identified author, institutional affiliation, or publication credentials listed in the claim file [7].
由于 yóu yú 无法 wú fǎ 查看 chá kàn 完整 wán zhěng 文档 wén dàng ， ， 评估 píng gū 其 qí 可信度 kě xìn dù 受到限制 shòu dào xiàn zhì 。 。 Without access to view the full document, assessing its credibility is limited.
然而 rán ér ， ， 该 gāi 声明 shēng míng 确实 què shí 引用 yǐn yòng 了 le 合法 hé fǎ 的 de 漏洞 lòu dòng （ （ CVE CVE - - 2020 2020 - - 12860 12860 和 hé CVE CVE - - 2020 2020 - - 12856 12856 ） ） ， ， 这些 zhè xiē 漏洞 lòu dòng 在 zài 官方 guān fāng 来源 lái yuán 中有 zhōng yǒu 充分 chōng fèn 记录 jì lù 。 。 However, the claim does reference legitimate security vulnerabilities (CVE-2020-12860 and CVE-2020-12856) that are well-documented in official sources.
基础 jī chǔ 的 de CVE CVE 披露 pī lù 和 hé 学术研究 xué shù yán jiū 来自 lái zì 可信 kě xìn 来源 lái yuán ： ： The underlying CVE disclosures and academic research are from credible sources:
- **CVE-2020-12860**: Published by MITRE/NVD (National Vulnerability Database), official vulnerability tracking [1]
- **CVE-2020-12856**: Discovered and disclosed by Jim Mussared (George Robotics) and Alwen Tiu (ANU), published on GitHub with technical documentation [3]
- **QUT Academic Research**: Peer-reviewed article on COVIDSafe implementation from Queensland University of Technology [5]
These sources are credible technical disclosures, not partisan sources.
- - * * * * CVE CVE - - 2020 2020 - - 12860 12860 * * * * ： ： 由 yóu MITRE MITRE / / NVD NVD （ （ 国家 guó jiā 漏洞 lòu dòng 数据库 shù jù kù ） ） 发布 fā bù ， ， 官方 guān fāng 漏洞 lòu dòng 追踪 zhuī zōng [ [ 1 1 ] ] - - * * * * CVE CVE - - 2020 2020 - - 12856 12856 * * * * ： ： 由 yóu Jim Jim Mussared Mussared （ （ George George Robotics Robotics ） ） 和 hé Alwen Alwen Tiu Tiu （ （ ANU ANU ） ） 发现 fā xiàn 并 bìng 披露 pī lù ， ， 在 zài GitHub GitHub 上 shàng 发布 fā bù 并 bìng 有 yǒu 技术 jì shù 文档 wén dàng [ [ 3 3 ] ] - - * * * * QUT QUT 学术研究 xué shù yán jiū * * * * ： ： 来自 lái zì 昆士兰 kūn shì lán 科技 kē jì 大学 dà xué 的 de 关于 guān yú COVIDSafe COVIDSafe 实施 shí shī 的 de 同行 tóng háng 评审 píng shěn 文章 wén zhāng [ [ 5 5 ] ] 这些 zhè xiē 来源 lái yuán 是 shì 可信 kě xìn 的 de 技术 jì shù 披露 pī lù ， ， 而 ér 非 fēi 党派 dǎng pài 来源 lái yuán 。 。 ⚖️
工党对比
* * * * Labor Labor 政府 zhèng fǔ 是否 shì fǒu 有 yǒu 同等 tóng děng 的 de 技术 jì shù 隐私 yǐn sī 失败 shī bài ？ ？
**Did Labor have equivalent technology privacy failures?**
Search conducted: "Labor government technology privacy failures contact tracing"
Labor's involvement with contact tracing technology was limited during this period, as the Coalition government held power (2013-2022) and developed COVIDSafe.
* * * * Labor was in opposition and did not develop an alternative contact tracing app [8].
搜索 sōu suǒ 进行 jìn xíng ： ： " " Labor Labor 政府 zhèng fǔ 技术 jì shù 隐私 yǐn sī 失败 shī bài 接触 jiē chù 者 zhě 追踪 zhuī zōng " " However, broader technology privacy concerns existed across both parties:
- Both Labor and Coalition governments have faced criticism for inadequate privacy protections in digital government services [8]
- Privacy reform efforts in Australia have been cross-party issues, with concerns raised about government data handling practices generally, not specific to one party [8]
- The broader privacy framework issues that necessitated special COVIDSafe legislation are systemic to Australia's fragmented privacy law regime, not unique to Coalition implementation [5]
In essence, there is no direct Labor equivalent because Labor was not in government during the COVID-19 pandemic and did not develop contact tracing apps.
Labor Labor 在此期间 zài cǐ qī jiān 对 duì 接触 jiē chù 者 zhě 追踪 zhuī zōng 技术 jì shù 的 de 参与 cān yù 有限 yǒu xiàn ， ， 因为 yīn wèi Coalition Coalition 政府 zhèng fǔ 执政 zhí zhèng （ （ 2013 2013 - - 2022 2022 年 nián ） ） 并 bìng 开发 kāi fā 了 le COVIDSafe COVIDSafe 。 。 Labor Labor 当时 dāng shí 处于 chǔ yú 反对党 fǎn duì dǎng 地位 dì wèi ， ， 没有 méi yǒu 开发 kāi fā 替代 tì dài 的 de 接触 jiē chù 者 zhě 追踪 zhuī zōng 应用程序 yìng yòng chéng xù [ [ 8 8 ] ] 。 。 然而 rán ér ， ， 两党 liǎng dǎng 都 dōu 存在 cún zài 更 gèng 广泛 guǎng fàn 的 de 技术 jì shù 隐私 yǐn sī 问题 wèn tí ： ： - - Labor Labor 和 hé Coalition Coalition 政府 zhèng fǔ 都 dōu 因 yīn 数字 shù zì 政府 zhèng fǔ 服务 fú wù 中 zhōng 隐私 yǐn sī 保护 bǎo hù 不足 bù zú 而 ér 受到 shòu dào 批评 pī píng [ [ 8 8 ] ] - - 澳大利亚 ào dà lì yà 的 de 隐私 yǐn sī 改革 gǎi gé 努力 nǔ lì 是 shì 跨 kuà 党派 dǎng pài 问题 wèn tí ， ， 对 duì 政府 zhèng fǔ 数据处理 shù jù chǔ lǐ 的 de 担忧 dān yōu 普遍存在 pǔ biàn cún zài ， ， 不 bù 特定 tè dìng 于 yú 某 mǒu 一 yī 党派 dǎng pài [ [ 8 8 ] ] - - 需要 xū yào COVIDSafe COVIDSafe 特别 tè bié 立法 lì fǎ 的 de 更 gèng 广泛 guǎng fàn 隐私 yǐn sī 框架 kuāng jià 问题 wèn tí 是 shì 澳大利亚 ào dà lì yà 分散 fēn sàn 的 de 隐私 yǐn sī 法律 fǎ lǜ 制度 zhì dù 所 suǒ 固有 gù yǒu 的 de ， ， 并非 bìng fēi Coalition Coalition 实施 shí shī 所 suǒ 独有 dú yǒu [ [ 5 5 ] ] 本质 běn zhì 上 shàng ， ， 没有 méi yǒu 直接 zhí jiē 的 de Labor Labor 对 duì 等 děng 产品 chǎn pǐn ， ， 因为 yīn wèi Labor Labor 在 zài COVID COVID - - 19 19 大 dà 流行 liú xíng 期间 qī jiān 没有 méi yǒu 执政 zhí zhèng ， ， 也 yě 没有 méi yǒu 开发 kāi fā 接触 jiē chù 者 zhě 追踪 zhuī zōng 应用程序 yìng yòng chéng xù 。 。 🌐
平衡视角
### ### 合法 hé fǎ 的 de 技术 jì shù 漏洞 lòu dòng
### The Legitimate Technical Vulnerability
该 gāi 声明 shēng míng 在 zài * * * * 确实 què shí 存在 cún zài 一个 yí gè 可能 kě néng 暴露 bào lù 设备 shè bèi 型号 xíng hào 和 hé 名称 míng chēng 信息 xìn xī 的 de 技术 jì shù 漏洞 lòu dòng * * * * 方面 fāng miàn 是 shì 正确 zhèng què 的 de ， ， 这些 zhè xiē 信息 xìn xī 理论 lǐ lùn 上 shàng 可 kě 用于 yòng yú 追踪 zhuī zōng 某人 mǒu rén 的 de 位置 wèi zhì / / 在场 zài chǎng 情况 qíng kuàng [ [ 1 1 ] ] [ [ 3 3 ] ] 。 。 The claim is **correct that a genuine technical vulnerability existed** in COVIDSafe that could theoretically expose device model and name information, and that this information could potentially be used to track someone's location/presence [1][3].
该 gāi 漏洞 lòu dòng 是 shì 真实 zhēn shí 的 de ， ， 由 yóu 可信 kě xìn 的 de 安全 ān quán 研究 yán jiū 人员 rén yuán 记录 jì lù ， ， 并 bìng 负责 fù zé 任地 rèn dì 披露 pī lù [ [ 3 3 ] ] 。 。 The vulnerability was real, documented by credible security researchers, and responsibly disclosed [3].
### ### 政府 zhèng fǔ 的 de 回应 huí yìng ### The Government's Response
积极 jī jí 的 de 是 shì ， ， 澳大利亚政府 ào dà lì yà zhèng fǔ 在 zài 收到 shōu dào 披露 pī lù 后 hòu 采取 cǎi qǔ 了 le 行动 xíng dòng ， ， 在 zài 大约 dà yuē 3 3 周内 zhōu nèi 发布 fā bù 了 le 修复 xiū fù 补丁 bǔ dīng （ （ v1.0 v1.0 . . 18 18 ） ） [ [ 3 3 ] ] 。 。 Positively, the Australian Government acted on the disclosure by releasing a patch (v1.0.18) within approximately 3 weeks of being notified [3].
与 yǔ 新加坡 xīn jiā pō 的 de TraceTogether TraceTogether 等 děng 同类 tóng lèi 应用程序 yìng yòng chéng xù 相比 xiāng bǐ ， ， 该 gāi 应用程序 yìng yòng chéng xù 还 hái 包括 bāo kuò 额外 é wài 的 de 隐私 yǐn sī 保护措施 bǎo hù cuò shī ， ， 包括 bāo kuò 对 duì 未经 wèi jīng 授权 shòu quán 使用 shǐ yòng 数据 shù jù 的 de 刑事 xíng shì 处罚 chǔ fá [ [ 5 5 ] ] 。 。 The app also included additional privacy protections compared to comparable apps like Singapore's TraceTogether, including criminal penalties for unauthorized data use [5].
### ### 关于 guān yú 实际 shí jì 利用 lì yòng 的 de 夸大 kuā dà 声明 shēng míng ### Overstated Claims About Practical Exploitation
从 cóng " " 理论 lǐ lùn 上 shàng 可能 kě néng 暴露 bào lù 设备 shè bèi 信息 xìn xī 的 de 技术 jì shù 漏洞 lòu dòng 存在 cún zài " " 到 dào " " 家庭暴力 jiā tíng bào lì 施虐 shī nüè 者 zhě 可以 kě yǐ 利用 lì yòng 此 cǐ 漏洞 lòu dòng " " 的 de 跳跃 tiào yuè 没有 méi yǒu 得到 dé dào 证据 zhèng jù 支持 zhī chí 。 。 The leap from "a technical vulnerability exists that theoretically could expose device information" to "domestic violence abusers can exploit this" is not supported by evidence.
虽然 suī rán 理论 lǐ lùn 风险 fēng xiǎn 对 duì 安全 ān quán 建议 jiàn yì 有效 yǒu xiào ， ， 但 dàn 没有 méi yǒu 证据 zhèng jù 就 jiù 声称 shēng chēng 有 yǒu 记录 jì lù 的 de 利用 lì yòng 行为 xíng wéi 具有 jù yǒu 误导性 wù dǎo xìng [ [ 1 1 ] ] [ [ 3 3 ] ] [ [ 7 7 ] ] 。 。 While the theoretical risk is valid for security advisories, claiming documented exploitation without evidence is misleading [1][3][7].
### ### 隐私 yǐn sī 政策 zhèng cè 和 hé 披露 pī lù 问题 wèn tí ### Privacy Policy and Disclosure Issue
关于 guān yú 隐私 yǐn sī 政策 zhèng cè 披露 pī lù 的 de 声明 shēng míng 部分 bù fèn 有效 yǒu xiào 。 。 The claim about privacy policy disclosure is partially valid.
政府 zhèng fǔ 可能 kě néng 没有 méi yǒu 向 xiàng 普通用户 pǔ tōng yòng hù 明确 míng què 详细 xiáng xì 说明 shuō míng BLE BLE 漏洞 lòu dòng 风险 fēng xiǎn ， ， 尽管 jǐn guǎn 隐私 yǐn sī 专业人士 zhuān yè rén shì 会 huì 期望 qī wàng 此类 cǐ lèi 风险 fēng xiǎn 成为 chéng wéi 安全 ān quán 威胁 wēi xié 建模 jiàn mó 的 de 一部分 yī bù fèn [ [ 5 5 ] ] 。 。 The government may not have explicitly detailed BLE vulnerability risks to general users, though privacy professionals would expect such risks to be part of security threat modeling [5].
隐私 yǐn sī 政策 zhèng cè 确实 què shí 披露 pī lù 了 le 蓝牙 lán yá 数据 shù jù 收集 shōu jí ， ， 但 dàn 潜在 qián zài 的 de BLE BLE 攻击 gōng jī 细节 xì jié 可能 kě néng 不是 bú shì 面向 miàn xiàng 消费者 xiāo fèi zhě 的 de [ [ 5 5 ] ] [ [ 6 6 ] ] 。 。 The privacy policy did disclose Bluetooth data collection, but specifics of potential BLE attacks may not have been consumer-facing [5][6].
### ### 实际 shí jì 影响 yǐng xiǎng 评估 píng gū ### Actual Impact Assessment
鉴于 jiàn yú ： ： Given that:
- The vulnerability was patched relatively quickly (within ~3 weeks) [3]
- The app remained voluntary and had low uptake (never reached government targets) [5]
- The exploitation would require technical sophistication beyond casual surveillance [3]
- No documented cases of exploitation for domestic violence exist [1][3]
The **actual practical harm appears limited** compared to the severity the claim implies.
- - 该 gāi 漏洞 lòu dòng 在 zài 相对 xiāng duì 较 jiào 短 duǎn 的 de 时间 shí jiān 内 nèi 得到 dé dào 修复 xiū fù （ （ 约 yuē 3 3 周内 zhōu nèi ） ） [ [ 3 3 ] ] - - 该 gāi 应用程序 yìng yòng chéng xù 仍然 réng rán 是 shì 自愿 zì yuàn 的 de ， ， 采用率 cǎi yòng lǜ 很 hěn 低 dī （ （ 从未 cóng wèi 达到 dá dào 政府 zhèng fǔ 目标 mù biāo ） ） [ [ 5 5 ] ] - - 利用 lì yòng 需要 xū yào 超出 chāo chū 日常 rì cháng 监视 jiān shì 的 de 技术 jì shù 能力 néng lì [ [ 3 3 ] ] - - 没有 méi yǒu 家庭暴力 jiā tíng bào lì 利用 lì yòng 的 de 记录 jì lù 的 de 实例 shí lì [ [ 1 1 ] ] [ [ 3 3 ] ] * * * * 与 yǔ 声明 shēng míng 暗示 àn shì 的 de 严重 yán zhòng 程度 chéng dù 相比 xiāng bǐ ， ， 实际 shí jì 实际 shí jì 危害 wēi hài 似乎 sì hū 有限 yǒu xiàn * * * * 。 。 部分属实
5.5
/ 10
该 gāi 声称 shēng chēng 在 zài 以下 yǐ xià 方面 fāng miàn 是 shì 正确 zhèng què 的 de ： ： （ （ 1 1 ） ） 确实 què shí 存在 cún zài 一个 yí gè 允许 yǔn xǔ 提取 tí qǔ 设备 shè bèi 型号 xíng hào / / 名称 míng chēng 的 de 技术 jì shù 漏洞 lòu dòng ， ， 以及 yǐ jí （ （ 2 2 ） ） 这些 zhè xiē 信息 xìn xī 理论 lǐ lùn 上 shàng 可 kě 用于 yòng yú 追踪 zhuī zōng 在场 zài chǎng 情况 qíng kuàng 。 。
The claim is correct that: (1) a genuine technical vulnerability existed allowing device model/name extraction, and (2) this information could theoretically be used to track presence.
然而 rán ér ， ， 该 gāi 声称 shēng chēng 在 zài 以下 yǐ xià 方面 fāng miàn 具有 jù yǒu 误导性 wù dǎo xìng ： ： （ （ 1 1 ） ） 将 jiāng 理论 lǐ lùn 上 shàng 的 de 漏洞 lòu dòng 描述 miáo shù 为 wèi 针对 zhēn duì 家庭暴力 jiā tíng bào lì 的 de 有据可查 yǒu jù kě chá 的 de 利用 lì yòng 行为 xíng wéi ， ， （ （ 2 2 ） ） 不 bù 准确 zhǔn què 地 dì 使用 shǐ yòng " " 广播 guǎng bō " " 一词 yī cí ， ， 以及 yǐ jí （ （ 3 3 ） ） 忽略 hū lüè 了 le 该 gāi 漏洞 lòu dòng 在 zài 负责 fù zé 任地 rèn dì 披露 pī lù 后 hòu 迅速 xùn sù 被 bèi 修复 xiū fù 的 de 事实 shì shí 。 。 However, the claim is misleading in: (1) characterizing theoretical vulnerability as documented exploitation for domestic violence, (2) using "broadcast" imprecisely, and (3) omitting that the vulnerability was patched quickly and responsibly disclosed.
该 gāi 声称 shēng chēng 将 jiāng 最坏 zuì huài 情况 qíng kuàng 下 xià 的 de 技术 jì shù 能力 néng lì 描述 miáo shù 为 wèi 仿佛 fǎng fú 是 shì 有据可查 yǒu jù kě chá 的 de 实际 shí jì 利用 lì yòng 场景 chǎng jǐng 。 。 The claim presents worst-case technical capability as if it were an actual threat scenario with documented exploitation.
最终评分
5.5
/ 10
部分属实
该 gāi 声称 shēng chēng 在 zài 以下 yǐ xià 方面 fāng miàn 是 shì 正确 zhèng què 的 de ： ： （ （ 1 1 ） ） 确实 què shí 存在 cún zài 一个 yí gè 允许 yǔn xǔ 提取 tí qǔ 设备 shè bèi 型号 xíng hào / / 名称 míng chēng 的 de 技术 jì shù 漏洞 lòu dòng ， ， 以及 yǐ jí （ （ 2 2 ） ） 这些 zhè xiē 信息 xìn xī 理论 lǐ lùn 上 shàng 可 kě 用于 yòng yú 追踪 zhuī zōng 在场 zài chǎng 情况 qíng kuàng 。 。
The claim is correct that: (1) a genuine technical vulnerability existed allowing device model/name extraction, and (2) this information could theoretically be used to track presence.
然而 rán ér ， ， 该 gāi 声称 shēng chēng 在 zài 以下 yǐ xià 方面 fāng miàn 具有 jù yǒu 误导性 wù dǎo xìng ： ： （ （ 1 1 ） ） 将 jiāng 理论 lǐ lùn 上 shàng 的 de 漏洞 lòu dòng 描述 miáo shù 为 wèi 针对 zhēn duì 家庭暴力 jiā tíng bào lì 的 de 有据可查 yǒu jù kě chá 的 de 利用 lì yòng 行为 xíng wéi ， ， （ （ 2 2 ） ） 不 bù 准确 zhǔn què 地 dì 使用 shǐ yòng " " 广播 guǎng bō " " 一词 yī cí ， ， 以及 yǐ jí （ （ 3 3 ） ） 忽略 hū lüè 了 le 该 gāi 漏洞 lòu dòng 在 zài 负责 fù zé 任地 rèn dì 披露 pī lù 后 hòu 迅速 xùn sù 被 bèi 修复 xiū fù 的 de 事实 shì shí 。 。 However, the claim is misleading in: (1) characterizing theoretical vulnerability as documented exploitation for domestic violence, (2) using "broadcast" imprecisely, and (3) omitting that the vulnerability was patched quickly and responsibly disclosed.
该 gāi 声称 shēng chēng 将 jiāng 最坏 zuì huài 情况 qíng kuàng 下 xià 的 de 技术 jì shù 能力 néng lì 描述 miáo shù 为 wèi 仿佛 fǎng fú 是 shì 有据可查 yǒu jù kě chá 的 de 实际 shí jì 利用 lì yòng 场景 chǎng jǐng 。 。 The claim presents worst-case technical capability as if it were an actual threat scenario with documented exploitation.
📚 来源与引用 (8)
-
1
cvedetails.com
Cvedetails
-
2
nvd.nist.gov
CVE-2020-12860
-
3
github.com
A bluetooth-related vulnerability in some contact tracing apps - alwentiu/COVIDSafe-CVE-2020-12856
GitHub -
4
threadreaderapp.com
Thread by @matthewrdev: The #covidsafe app is now available in Australia However, it's a shame that they have decided not to release the sourr full transparency. Luckily, I'm a curious chap and also a professional mobile developer. So, I've downloaded an…
Threadreaderapp -
5
lthj.qut.edu.au
Lthj Qut Edu
-
6
reddit.com
The heart of the internet -
7
docs.google.com
Privacy issues discovered in the BLE implementation of the COVIDSafe Android app Jim Mussared jim.mussared@gmail.com https://twitter.com/jim_mussared 28/04/2020 Last updated: 15/05/2020 Status: Public. Updates ongoing. Privacy issues discovered in the BLE implementation of the COVIDSafe Andr...
Google Docs -
8
ashurst.com
Australia's first tranche of privacy reforms – a deep dive and why they matter
Ashurst
评分方法
1-3: 不实
事实错误或恶意捏造。
4-6: 部分属实
有一定真实性，但缺乏背景或有所偏颇。
7-9: 基本属实
仅有微小的技术性或措辞问题。
10: 准确
完全经过验证且客观公正。
方法论: 评分通过交叉参照政府官方记录、独立事实核查机构和原始文件确定。