C0192
声明内容
“用了21天时间修复COVIDSafe应用程序中的一个已知安全漏洞。”
原始来源： Matthew Davis
原始来源
✅ 事实核查
核心 hé xīn 说法 shuō fǎ 包含 bāo hán 了 le 一个 yí gè 事实 shì shí 准确 zhǔn què 的 de 时间 shí jiān 线 xiàn ， ， 尽管 jǐn guǎn 引用 yǐn yòng 的 de 来源 lái yuán 无法 wú fǎ 核实 hé shí 。 。
The core claim contains a factually accurate timeline, though the cited source cannot be verified.
实际 shí jì 事件 shì jiàn 如下 rú xià ： ： The actual events are as follows:
A significant Bluetooth vulnerability (CVE-2020-12856) was identified in the COVIDSafe app's Android version that could allow attackers to silently bond with vulnerable phones and conduct long-term device tracking [1].
**Timeline of response:**
- **May 5, 2020**: Security researchers Jim Mussared (George Robotics) and Alwen Tiu (Australian National University) reported the vulnerability to the Digital Transformation Agency (DTA) [2]
- **May 18, 2020**: Initial technical analysis was shared with developer teams [2]
- **May 26, 2020**: The DTA released COVIDSafe version 1.0.18 with fixes to address the Bluetooth vulnerability [3]
This represents a **21-day response period from initial notification (May 5) to public release of the fix (May 26)** [2][3].
COVIDSafe COVIDSafe 应用程序 yìng yòng chéng xù 安卓 ān zhuó 版本 bǎn běn 中 zhōng 发现 fā xiàn 了 le 一个 yí gè 重大 zhòng dà 蓝牙 lán yá 漏洞 lòu dòng （ （ CVE CVE - - 2020 2020 - - 12856 12856 ） ） ， ， 可能 kě néng 允许 yǔn xǔ 攻击者 gōng jī zhě 在 zài 用户 yòng hù 不知情 bù zhī qíng 的 de 情况 qíng kuàng 下 xià 与 yǔ 易受攻击 yì shòu gōng jī 的 de 手机 shǒu jī 配对 pèi duì 并 bìng 进行 jìn xíng 长期 cháng qī 设备 shè bèi 追踪 zhuī zōng [ [ 1 1 ] ] 。 。 * * * * 应对 yìng duì 时间 shí jiān 线 xiàn ： ： * * * * - - * * * * 2020 2020 年 nián 5 5 月 yuè 5 5 日 rì * * * * ： ： 安全 ān quán 研究 yán jiū 人员 rén yuán Jim Jim Mussared Mussared （ （ George George Robotics Robotics ） ） 和 hé Alwen Alwen Tiu Tiu （ （ Australian Australian National National University University ） ） 向 xiàng Digital Digital Transformation Transformation Agency Agency （ （ DTA DTA ） ） 报告 bào gào 了 le 该 gāi 漏洞 lòu dòng [ [ 2 2 ] ] - - * * * * 2020 2020 年 nián 5 5 月 yuè 18 18 日 rì * * * * ： ： 初步 chū bù 技术 jì shù 分析 fēn xī 与 yǔ 开发 kāi fā 团队 tuán duì 共享 gòng xiǎng [ [ 2 2 ] ] - - * * * * 2020 2020 年 nián 5 5 月 yuè 26 26 日 rì * * * * ： ： DTA DTA 发布 fā bù 了 le COVIDSafe COVIDSafe 1.0 1.0 . . 18 18 版本 bǎn běn ， ， 修复 xiū fù 了 le 该 gāi 蓝牙 lán yá 漏洞 lòu dòng [ [ 3 3 ] ] 这 zhè 代表 dài biǎo 从 cóng * * * * 最初 zuì chū 接到 jiē dào 通知 tōng zhī （ （ 5 5 月 yuè 5 5 日 rì ） ） 到 dào 公开 gōng kāi 发布 fā bù 修复 xiū fù （ （ 5 5 月 yuè 26 26 日 rì ） ） 共 gòng 21 21 天 tiān 的 de 应对 yìng duì 期 qī * * * * [ [ 2 2 ] ] [ [ 3 3 ] ] 。 。 缺失背景
该 gāi 说法 shuō fǎ 忽略 hū lüè 了 le 几个 jǐ gè 影响 yǐng xiǎng 如何 rú hé 评估 píng gū 这 zhè 一应 yī yīng 对 duì 时间 shí jiān 的 de 重要 zhòng yào 背景 bèi jǐng 因素 yīn sù ： ：
The claim omits several important contextual factors that affect how to evaluate this response time:
**1.
* * * * 1 1 . . 漏洞 lòu dòng 的 de 性质 xìng zhì 和 hé 严重 yán zhòng 程度 chéng dù * * * * Nature and Severity of the Vulnerability**
The vulnerability, while serious, was not immediately exploitable or affecting all devices.
尽管 jǐn guǎn 该 gāi 漏洞 lòu dòng 严重 yán zhòng ， ， 但 dàn 并非 bìng fēi 立即 lì jí 可 kě 被 bèi 利用 lì yòng 或 huò 影响 yǐng xiǎng 所有 suǒ yǒu 设备 shè bèi 。 。 It required attackers to be in Bluetooth range of a device running the older version of the app [1].
攻击者 gōng jī zhě 需要 xū yào 在 zài 运行 yùn xíng 旧版本 jiù bǎn běn 应用程序 yìng yòng chéng xù 的 de 设备 shè bèi 的 de 蓝牙 lán yá 范围 fàn wéi 内 nèi [ [ 1 1 ] ] 。 。 The vulnerability only affected Android devices running COVIDSafe v1.0.17 and earlier [1].
**2.
该 gāi 漏洞 lòu dòng 仅 jǐn 影响 yǐng xiǎng 运行 yùn xíng COVIDSafe COVIDSafe v1.0 v1.0 . . 17 17 及 jí 更 gèng 早 zǎo 版本 bǎn běn 的 de 安卓 ān zhuó 设备 shè bèi [ [ 1 1 ] ] 。 。 Responsible Disclosure Process**
The researchers followed responsible disclosure practices, reporting the vulnerability through DTA rather than publicly disclosing it, which allowed time for a coordinated fix [2].
* * * * 2 2 . . 负责 fù zé 任 rèn 的 de 披露 pī lù 流程 liú chéng * * * * A formal embargo window of approximately 28 days was established (May 19 to May 26, 2020) to allow developers to prepare patches without immediate public knowledge [2].
**3.
研究 yán jiū 人员 rén yuán 遵循 zūn xún 了 le 负责 fù zé 任 rèn 的 de 披露 pī lù 实践 shí jiàn ， ， 通过 tōng guò DTA DTA 而 ér 非 fēi 公开 gōng kāi 披露 pī lù 来 lái 报告 bào gào 该 gāi 漏洞 lòu dòng ， ， 这为 zhè wèi 协调 xié tiáo 修复 xiū fù 争取 zhēng qǔ 了 le 时间 shí jiān [ [ 2 2 ] ] 。 。 Actual Response Actions Within the Timeline**
Rather than being idle, the DTA actively worked during this period:
- Analyzed the technical details of the vulnerability [2]
- Coordinated with development teams [2]
- Implemented multiple security improvements in version 1.0.18, not just a quick patch [3]
- The release included changes to contact tracing protocol frequency (from every 2 hours to every 7.5 minutes, reducing exposure time by up to 93%) [3]
- Added additional encryption layers for digital handshakes [3]
- Provided users the option to remove device names from Bluetooth exposure [3]
**4.
建立 jiàn lì 了 le 约 yuē 28 28 天 tiān 的 de 正式 zhèng shì 禁发 jìn fā 窗口 chuāng kǒu （ （ 2020 2020 年 nián 5 5 月 yuè 19 19 日至 rì zhì 5 5 月 yuè 26 26 日 rì ） ） ， ， 允许 yǔn xǔ 开发者 kāi fā zhě 在 zài 不 bù 立即 lì jí 公开 gōng kāi 的 de 情况 qíng kuàng 下 xià 准备 zhǔn bèi 补丁 bǔ dīng [ [ 2 2 ] ] 。 。 Concurrent Vulnerabilities Discovered**
Additional Bluetooth privacy issues were identified by Jim Mussared and Eleanor McMurty related to transmission of unencrypted device identifiers [2].
* * * * 3 3 . . 时间 shí jiān 线内 xiàn nèi 的 de 实际 shí jì 应对 yìng duì 行动 xíng dòng * * * * These were addressed concurrently with the CVE-2020-12856 fix.
**5.
DTA DTA 在此期间 zài cǐ qī jiān 并非 bìng fēi 无所作为 wú suǒ zuò wéi ， ， 而是 ér shì 积极 jī jí 工作 gōng zuò ： ： Broader Context of App Development**
This was not a simple security patch but a substantial update to the app's core Bluetooth contact tracing protocol.
- - 分析 fēn xī 了 le 漏洞 lòu dòng 的 de 技术细节 jì shù xì jié [ [ 2 2 ] ] The 21-day timeline included design, implementation, testing, and deployment of these changes.
**6.
- - 与 yǔ 开发 kāi fā 团队 tuán duì 协调 xié tiáo [ [ 2 2 ] ] Industry Context for Response Times**
Industry standards for critical vulnerability response vary:
- CISA (U.S.
- - 在 zài 1.0 1.0 . . 18 18 版本 bǎn běn 中 zhōng 实施 shí shī 了 le 多项 duō xiàng 安全 ān quán 改进 gǎi jìn ， ， 不仅仅 bù jǐn jǐn 是 shì 快速 kuài sù 修补 xiū bǔ [ [ 3 3 ] ] Cybersecurity and Infrastructure Security Agency) recommends 15 days for critical vulnerabilities [4]
- Standard responsible disclosure windows are typically 90 days from vendor notification to public release [4]
- High-risk vulnerabilities typically have 30-day response targets [4]
The DTA's 21-day response to a critical vulnerability falls **within industry standards** and actually represents a relatively fast response given the complexity of the fix [4].
- - 该 gāi 版本 bǎn běn 包括 bāo kuò 对 duì 接触 jiē chù 追踪 zhuī zōng 协议 xié yì 频率 pín lǜ 的 de 更改 gēng gǎi （ （ 从 cóng 每 měi 2 2 小时 xiǎo shí 改为 gǎi wéi 每 měi 7.5 7.5 分钟 fēn zhōng ， ， 将 jiāng 暴露 bào lù 时间 shí jiān 减少 jiǎn shǎo 高达 gāo dá 93% 93% ） ） [ [ 3 3 ] ] - - 为 wèi 数字 shù zì 握手 wò shǒu 添加 tiān jiā 了 le 额外 é wài 的 de 加密 jiā mì 层 céng [ [ 3 3 ] ] - - 为 wèi 用户 yòng hù 提供 tí gōng 从 cóng 蓝牙 lán yá 暴露 bào lù 中 zhōng 移除 yí chú 设备 shè bèi 名称 míng chēng 的 de 选项 xuǎn xiàng [ [ 3 3 ] ] * * * * 4 4 . . 同时 tóng shí 发现 fā xiàn 的 de 其他 qí tā 漏洞 lòu dòng * * * * Jim Jim Mussared Mussared 和 hé Eleanor Eleanor McMurty McMurty 发现 fā xiàn 了 le 与 yǔ 传输 chuán shū 未 wèi 加密 jiā mì 设备 shè bèi 标识符 biāo shí fú 相关 xiāng guān 的 de 额外 é wài 蓝牙 lán yá 隐私 yǐn sī 问题 wèn tí [ [ 2 2 ] ] 。 。 这些 zhè xiē 问题 wèn tí 与 yǔ CVE CVE - - 2020 2020 - - 12856 12856 的 de 修复 xiū fù 同时 tóng shí 得到 dé dào 解决 jiě jué 。 。 * * * * 5 5 . . 应用 yìng yòng 程序开发 chéng xù kāi fā 的 de 更 gèng 广泛 guǎng fàn 背景 bèi jǐng * * * * 这 zhè 并非 bìng fēi 简单 jiǎn dān 的 de 安全补丁 ān quán bǔ dīng ， ， 而是 ér shì 对 duì 应用程序 yìng yòng chéng xù 核心 hé xīn 蓝牙 lán yá 接触 jiē chù 追踪 zhuī zōng 协议 xié yì 的 de 重大 zhòng dà 更新 gēng xīn 。 。 21 21 天 tiān 的 de 时间 shí jiān 线 xiàn 包括 bāo kuò 这些 zhè xiē 更改 gēng gǎi 的 de 设计 shè jì 、 、 实施 shí shī 、 、 测试 cè shì 和 hé 部署 bù shǔ 。 。 * * * * 6 6 . . 应对 yìng duì 时间 shí jiān 的 de 行业 háng yè 背景 bèi jǐng * * * * 关键 guān jiàn 漏洞 lòu dòng 应对 yìng duì 的 de 行业标准 háng yè biāo zhǔn 各不相同 gè bù xiāng tóng ： ： - - CISA CISA （ （ 美国 měi guó 网络安全 wǎng luò ān quán 和 hé 基础设施 jī chǔ shè shī 安全局 ān quán jú ） ） 建议 jiàn yì 关键 guān jiàn 漏洞 lòu dòng 15 15 天内 tiān nèi 修复 xiū fù [ [ 4 4 ] ] - - 标准 biāo zhǔn 负责 fù zé 任 rèn 披露 pī lù 窗口 chuāng kǒu 通常 tōng cháng 是从 shì cóng 厂商 chǎng shāng 通知 tōng zhī 到 dào 公开 gōng kāi 发布 fā bù 90 90 天 tiān [ [ 4 4 ] ] - - 高风险 gāo fēng xiǎn 漏洞 lòu dòng 通常 tōng cháng 有 yǒu 30 30 天 tiān 的 de 应对 yìng duì 目标 mù biāo [ [ 4 4 ] ] DTA DTA 对 duì 关键 guān jiàn 漏洞 lòu dòng 21 21 天 tiān 的 de 应对 yìng duì 时间 shí jiān * * * * 符合 fú hé 行业标准 háng yè biāo zhǔn * * * * ， ， 考虑 kǎo lǜ 到 dào 修复 xiū fù 的 de 复杂性 fù zá xìng ， ， 实际上 shí jì shàng 代表 dài biǎo 了 le 一个 yí gè 相对 xiāng duì 较 jiào 快 kuài 的 de 应对 yìng duì [ [ 4 4 ] ] 。 。 来源可信度评估
* * * * 关键 guān jiàn 发现 fā xiàn * * * * ： ： 引用 yǐn yòng 的 de ZDNet ZDNet 文章 wén zhāng URL URL （ （ https https : : / / / / www www . . zdnet zdnet . . com com / / article article / / dta dta - - fixed fixed - - covidsafe covidsafe - - bluetooth bluetooth - - vulnerability vulnerability - - 21 21 - - days days - - after after - - it it - - was was - - notified notified / / ） ） 无法 wú fǎ 核实 hé shí ， ， 在 zài 可用 kě yòng 的 de 档案 dàng àn 或 huò 搜索 sōu suǒ 结果 jié guǒ 中 zhōng 似乎 sì hū 不 bù 存在 cún zài [ [ 5 5 ] ] 。 。
**Critical Finding**: The cited ZDNet article URL (https://www.zdnet.com/article/dta-fixed-covidsafe-bluetooth-vulnerability-21-days-after-it-was-notified/) cannot be verified and does not appear to exist in available archives or search results [5].
在 zài 多个 duō gè 来源 lái yuán 中 zhōng 进行 jìn xíng 广泛 guǎng fàn 搜索 sōu suǒ ， ， 包括 bāo kuò 缓存 huǎn cún 版本 bǎn běn 和 hé ZDNet ZDNet 自己 zì jǐ 的 de 档案 dàng àn ， ， 均 jūn 未 wèi 发现 fā xiàn 该 gāi 文章 wén zhāng 曾 céng 被 bèi 发布 fā bù 的 de 证据 zhèng jù 。 。 Extensive searches across multiple sources, including cached versions and ZDNet's own archives, yielded no evidence that this article was ever published.
**Why this matters**: While the underlying factual claim about the 21-day timeline is accurate, the reliance on an unverifiable or possibly fabricated source weakens the credibility of this claim entry.
* * * * 为何 wèi hé 重要 zhòng yào * * * * ： ： 虽然 suī rán 关于 guān yú 21 21 天 tiān 时间 shí jiān 线 xiàn 的 de 潜在 qián zài 事实 shì shí 说法 shuō fǎ 是 shì 准确 zhǔn què 的 de ， ， 但 dàn 依赖 yī lài 无法 wú fǎ 核实 hé shí 或 huò 可能 kě néng 伪造 wěi zào 的 de 来源 lái yuán 削弱 xuē ruò 了 le 该 gāi 说法 shuō fǎ 条 tiáo 目的 mù dì 可信度 kě xìn dù 。 。 The claim may represent genuine facts but uses an improper citation that cannot be independently verified.
**Reliable sources for the actual timeline** include:
- GitHub repository documenting the vulnerability (alwentiu/COVIDSafe-CVE-2020-12856) - created by one of the researchers who discovered it [2]
- iTnews coverage of the fix [3]
- Official DTA communications [3]
These sources provide verifiable documentation of the May 5 to May 26 timeline.
该 gāi 说法 shuō fǎ 可能 kě néng 代表 dài biǎo 真实 zhēn shí 事实 shì shí ， ， 但 dàn 使用 shǐ yòng 了 le 无法 wú fǎ 独立 dú lì 核实 hé shí 的 de 不当 bù dàng 引用 yǐn yòng 。 。 * * * * 关于 guān yú 实际 shí jì 时间 shí jiān 线 xiàn 的 de 可靠 kě kào 来源 lái yuán * * * * 包括 bāo kuò ： ： - - 记录 jì lù 该 gāi 漏洞 lòu dòng 的 de GitHub GitHub 仓库 cāng kù （ （ alwentiu alwentiu / / COVIDSafe COVIDSafe - - CVE CVE - - 2020 2020 - - 12856 12856 ） ） — — — — 由 yóu 发现 fā xiàn 该 gāi 漏洞 lòu dòng 的 de 研究 yán jiū 人员 rén yuán 之一 zhī yī 创建 chuàng jiàn [ [ 2 2 ] ] - - iTnews iTnews 关于 guān yú 修复 xiū fù 的 de 报道 bào dào [ [ 3 3 ] ] - - DTA DTA 官方 guān fāng 通讯 tōng xùn [ [ 3 3 ] ] 这些 zhè xiē 来源 lái yuán 提供 tí gōng 了 le 5 5 月 yuè 5 5 日至 rì zhì 5 5 月 yuè 26 26 日 rì 时间 shí jiān 线 xiàn 的 de 可 kě 核实 hé shí 文件 wén jiàn 。 。 ⚖️
工党对比
* * * * Labor Labor 是否 shì fǒu 做过 zuò guò 类似 lèi sì 的 de 事情 shì qíng ？ ？
**Did Labor do something similar?**
Search conducted: "Labor government cybersecurity vulnerability response time" and "Australian government contact tracing security incidents"
**Finding**: The Labor government has had mixed cybersecurity responses:
Under the current Albanese Labor government (since 2022), Services Australia's MyGov platform experienced prolonged security vulnerabilities that persisted far longer than 21 days:
- More than 10,000 reports of MyGov account misuse in 2024, nearly double the 2023 figure [6]
- Inadequate security controls allowed criminals to link legitimate accounts to fake accounts [6]
- An Australian National Audit Office (ANAO) report in June 2024 found Services Australia was unprepared for "a significant or reportable cyber security incident" [6]
- Security improvements (passkeys) were only added to MyGov in July 2024, after months of rising security complaints [6]
Under the Rudd/Gillard Labor governments (2007-2013), there was a parliamentary email hack in 2011 that potentially compromised computers of PM Julia Gillard and other ministers, but minimal publicly available information exists about the response timeline or scope [6].
**Comparison**: The COVIDSafe 21-day response time to a known vulnerability appears significantly better than:
- Labor's MyGov response to account security issues (months, not 21 days) [6]
- Government-wide responsiveness to security incidents (ANAO audit found agencies unprepared) [6]
The DTA's response to CVE-2020-12856 represents a competent, industry-standard timeline, and appears more responsive than Labor government security responses to comparable issues.
* * * * 搜索 sōu suǒ 内容 nèi róng ： ： " " Labor Labor 政府 zhèng fǔ 网络安全 wǎng luò ān quán 漏洞 lòu dòng 应对 yìng duì 时间 shí jiān " " 和 hé " " Australian Australian government government contact contact tracing tracing security security incidents incidents " " * * * * 发现 fā xiàn * * * * ： ： Labor Labor 政府 zhèng fǔ 的 de 网络安全 wǎng luò ān quán 应对 yìng duì 表现 biǎo xiàn 不 bù 一 yī ： ： 在 zài 现任 xiàn rèn Albanese Albanese Labor Labor 政府 zhèng fǔ （ （ 2022 2022 年 nián 以来 yǐ lái ） ） 下 xià ， ， Services Services Australia Australia 的 de MyGov MyGov 平台 píng tái 经历 jīng lì 了 le 持续时间 chí xù shí jiān 远超过 yuǎn chāo guò 21 21 天 tiān 的 de 安全漏洞 ān quán lòu dòng ： ： - - 2024 2024 年 nián 超过 chāo guò 10 10 , , 000 000 起 qǐ MyGov MyGov 账户 zhàng hù 滥用 làn yòng 报告 bào gào ， ， 几乎 jī hū 是 shì 2023 2023 年 nián 数字 shù zì 的 de 两倍 liǎng bèi [ [ 6 6 ] ] - - 不 bù 充分 chōng fèn 的 de 安全控制 ān quán kòng zhì 允许 yǔn xǔ 犯罪分子 fàn zuì fèn zǐ 将 jiāng 合法 hé fǎ 账户 zhàng hù 链接 liàn jiē 到 dào 虚假 xū jiǎ 账户 zhàng hù [ [ 6 6 ] ] - - Australian Australian National National Audit Audit Office Office （ （ ANAO ANAO ） ） 2024 2024 年 nián 6 6 月 yuè 的 de 报告 bào gào 发现 fā xiàn Services Services Australia Australia 对 duì " " 重大 zhòng dà 或 huò 可 kě 报告 bào gào 的 de 网络安全 wǎng luò ān quán 事件 shì jiàn " " 准备 zhǔn bèi 不足 bù zú [ [ 6 6 ] ] - - 安全 ān quán 改进 gǎi jìn （ （ 通行 tōng xíng 密钥 mì yào ） ） 直到 zhí dào 2024 2024 年 nián 7 7 月 yuè 才 cái 添加 tiān jiā 到 dào MyGov MyGov ， ， 此前 cǐ qián 数月 shù yuè 安全 ān quán 投诉 tóu sù 不断 bù duàn 增加 zēng jiā [ [ 6 6 ] ] 在 zài Rudd Rudd / / Gillard Gillard Labor Labor 政府 zhèng fǔ （ （ 2007 2007 - - 2013 2013 年 nián ） ） 下 xià ， ， 2011 2011 年 nián 发生 fā shēng 了 le 议会 yì huì 电子邮件 diàn zi yóu jiàn 黑客 hēi kè 事件 shì jiàn ， ， 可能 kě néng 危及 wēi jí 总理 zǒng lǐ Julia Julia Gillard Gillard 和 hé 其他 qí tā 部长 bù zhǎng 的 de 电脑 diàn nǎo ， ， 但 dàn 关于 guān yú 应对 yìng duì 时间 shí jiān 线或 xiàn huò 范围 fàn wéi 的 de 公开 gōng kāi 信息 xìn xī 很少 hěn shǎo [ [ 6 6 ] ] 。 。 * * * * 比较 bǐ jiào * * * * ： ： COVIDSafe COVIDSafe 对 duì 已 yǐ 识别 shí bié 漏洞 lòu dòng 21 21 天 tiān 的 de 应对 yìng duì 时间 shí jiān 似乎 sì hū 显著 xiǎn zhù 优于 yōu yú ： ： - - Labor Labor 对 duì MyGov MyGov 账户 zhàng hù 安全 ān quán 问题 wèn tí 的 de 应对 yìng duì （ （ 数月 shù yuè ， ， 而 ér 非 fēi 21 21 天 tiān ） ） [ [ 6 6 ] ] - - 政府 zhèng fǔ 对 duì 安全事件 ān quán shì jiàn 的 de 普遍 pǔ biàn 响应 xiǎng yìng （ （ ANAO ANAO 审计 shěn jì 发现 fā xiàn 机构 jī gòu 准备 zhǔn bèi 不足 bù zú ） ） [ [ 6 6 ] ] DTA DTA 对 duì CVE CVE - - 2020 2020 - - 12856 12856 的 de 应对 yìng duì 代表 dài biǎo 了 le 称职 chèn zhí 的 de 、 、 符合 fú hé 行业标准 háng yè biāo zhǔn 的 de 应对 yìng duì 时间 shí jiān ， ， 似乎 sì hū 比 bǐ Labor Labor 政府 zhèng fǔ 对 duì 类似 lèi sì 问题 wèn tí 的 de 安全 ān quán 应对 yìng duì 更为 gèng wéi 迅速 xùn sù [ [ 6 6 ] ] 。 。 🌐
平衡视角
虽然 suī rán 批评者 pī píng zhě 可能 kě néng 会 huì 认为 rèn wéi ， ， 在 zài 公共卫生 gōng gòng wèi shēng 应用程序 yìng yòng chéng xù 中 zhōng ， ， 21 21 天 tiān 的 de 安全漏洞 ān quán lòu dòng 应对 yìng duì 时间 shí jiān 令人担忧 lìng rén dān yōu ， ， 但 dàn 平衡 píng héng 的 de 评估 píng gū 揭示 jiē shì 了 le 几个 jǐ gè 重要 zhòng yào 视角 shì jiǎo ： ：
While critics could argue that a 21-day response time is concerning for a security vulnerability in a public health app, a balanced assessment reveals several important perspectives:
**The Critical Perspective:**
Critics could argue that any delay in fixing a known security vulnerability in a widely-deployed public health app is problematic, particularly one enabling tracking of users [7].
* * * * 批评 pī píng 视角 shì jiǎo ： ： * * * * Contact tracing apps handle sensitive health data, and vulnerabilities should theoretically be patched immediately.
**The Operational Reality:**
However, the DTA's response reflects responsible security practices:
1.
批评者 pī píng zhě 可能 kě néng 会 huì 认为 rèn wéi ， ， 在 zài 广泛 guǎng fàn 部署 bù shǔ 的 de 公共卫生 gōng gòng wèi shēng 应用程序 yìng yòng chéng xù 中 zhōng ， ， 任何 rèn hé 修复 xiū fù 已知 yǐ zhī 安全漏洞 ān quán lòu dòng 的 de 延迟 yán chí 都 dōu 是 shì 有 yǒu 问题 wèn tí 的 de ， ， 特别 tè bié 是 shì 那种 nà zhǒng 允许 yǔn xǔ 追踪 zhuī zōng 用户 yòng hù 的 de 漏洞 lòu dòng [ [ 7 7 ] ] 。 。 The researchers followed ethical disclosure protocols rather than public shaming [2]
2.
接触 jiē chù 追踪 zhuī zōng 应用 yìng yòng 程序处理 chéng xù chǔ lǐ 敏感 mǐn gǎn 健康 jiàn kāng 数据 shù jù ， ， 理论 lǐ lùn 上 shàng 漏洞 lòu dòng 应该 yīng gāi 立即 lì jí 修补 xiū bǔ 。 。 The fix was not a simple patch—it involved redesigning core protocol elements [3]
3.
* * * * 操作 cāo zuò 现实 xiàn shí ： ： * * * * The response time of 21 days falls within industry standards (CISA recommends 15 days; standard practice is 30-90 days) [4]
4.
然而 rán ér ， ， DTA DTA 的 de 应对 yìng duì 反映 fǎn yìng 了 le 负责 fù zé 任 rèn 的 de 安全 ān quán 实践 shí jiàn ： ： The coordinated disclosure process prevented exploitation during the window while the fix was being prepared [2]
5.
1 1 . . 研究 yán jiū 人员 rén yuán 遵循 zūn xún 了 le 道德 dào dé 披露 pī lù 协议 xié yì ， ， 而 ér 非 fēi 公开 gōng kāi 羞辱 xiū rǔ [ [ 2 2 ] ] The final release included comprehensive security improvements beyond the minimum necessary fix [3]
**Expert Assessment:**
Security researchers who identified the vulnerability did not publicly condemn the response timeline.
2 2 . . 修复 xiū fù 并非 bìng fēi 简单 jiǎn dān 补丁 bǔ dīng — — — — 它 tā 涉及 shè jí 重新 chóng xīn 设计 shè jì 核心 hé xīn 协议 xié yì 元素 yuán sù [ [ 3 3 ] ] The GitHub repository documenting the CVE appears satisfied with the coordinated disclosure process and the thoroughness of the fix [2].
**Comparative Context:**
This response compares favorably to:
- Current Labor government handling of MyGov security (months vs. 21 days) [6]
- Global contact tracing app security in 2020 (many had far worse vulnerabilities that went unfixed) [8]
- Other government cybersecurity responses across both parties (typically slower) [6]
3 3 . . 21 21 天 tiān 的 de 应对 yìng duì 时间 shí jiān 符合 fú hé 行业标准 háng yè biāo zhǔn （ （ CISA CISA 建议 jiàn yì 15 15 天 tiān ； ； 标准 biāo zhǔn 实践 shí jiàn 是 shì 30 30 - - 90 90 天 tiān ） ） [ [ 4 4 ] ] 4 4 . . 协调 xié tiáo 披露 pī lù 过程 guò chéng 在 zài 准备 zhǔn bèi 修复 xiū fù 期间 qī jiān 防止 fáng zhǐ 了 le 利用 lì yòng [ [ 2 2 ] ] 5 5 . . 最终 zuì zhōng 版本 bǎn běn 包含 bāo hán 了 le 超出 chāo chū 最低 zuì dī 必要 bì yào 修复 xiū fù 的 de 全面 quán miàn 安全 ān quán 改进 gǎi jìn [ [ 3 3 ] ] * * * * 专家 zhuān jiā 评估 píng gū ： ： * * * * 发现 fā xiàn 该 gāi 漏洞 lòu dòng 的 de 安全 ān quán 研究 yán jiū 人员 rén yuán 没有 méi yǒu 公开 gōng kāi 谴责 qiǎn zé 应对 yìng duì 时间 shí jiān 线 xiàn 。 。 记录 jì lù CVE CVE 的 de GitHub GitHub 仓库 cāng kù 似乎 sì hū 对 duì 协调 xié tiáo 披露 pī lù 流程 liú chéng 和 hé 修复 xiū fù 的 de 彻底性 chè dǐ xìng 感到 gǎn dào 满意 mǎn yì [ [ 2 2 ] ] 。 。 * * * * 比较 bǐ jiào 背景 bèi jǐng ： ： * * * * 这 zhè 一应 yī yīng 对 duì 相比 xiāng bǐ 以下 yǐ xià 情况 qíng kuàng 更为 gèng wéi 有利 yǒu lì ： ： - - 现任 xiàn rèn Labor Labor 政府 zhèng fǔ 对 duì MyGov MyGov 安全 ān quán 的 de 处理 chǔ lǐ （ （ 数月 shù yuè vs vs 21 21 天 tiān ） ） [ [ 6 6 ] ] - - 2020 2020 年 nián 全球 quán qiú 接触 jiē chù 追踪 zhuī zōng 应用程序 yìng yòng chéng xù 安全 ān quán （ （ 许多 xǔ duō 存在 cún zài 更 gèng 严重 yán zhòng 的 de 漏洞 lòu dòng 未 wèi 修复 xiū fù ） ） [ [ 8 8 ] ] - - 两党 liǎng dǎng 其他 qí tā 政府 zhèng fǔ 网络安全 wǎng luò ān quán 应对 yìng duì （ （ 通常 tōng cháng 更慢 gèng màn ） ） [ [ 6 6 ] ] 部分属实
6.0
/ 10
关于 guān yú 修复 xiū fù 漏洞 lòu dòng 花 huā 了 le 21 21 天 tiān 的 de 说法 shuō fǎ 根据 gēn jù 时间 shí jiān 线 xiàn （ （ 2020 2020 年 nián 5 5 月 yuè 5 5 日至 rì zhì 5 5 月 yuè 26 26 日 rì ） ） 在 zài 事实上 shì shí shàng 是 shì 准确 zhǔn què 的 de 。 。
The factual claim that it took 21 days to fix the vulnerability is accurate based on the timeline (May 5 to May 26, 2020).
然而 rán ér ， ， 判决 pàn jué 结果 jié guǒ 是 shì " " 部分 bù fèn 属实 shǔ shí " " 而 ér 非 fēi " " 属实 shǔ shí " " ， ， 原因 yuán yīn 如下 rú xià ： ： However, the verdict is "partially true" rather than "true" for these reasons:
1. **The cited source cannot be verified**: The ZDNet article URL provided does not appear to exist, undermining the credibility of the claim's sourcing [5]
2. **The framing implies culpable negligence**: The claim's phrasing ("took 21 days") suggests unacceptable delays, when the 21-day timeline actually represents a competent, industry-standard response [4]
3. **Context is critical**: The 21 days involved not just fixing a bug but redesigning security protocols, implementing additional protections, and following responsible disclosure practices [2][3]
4. **The vulnerability was known but managed**: This was not an undetected vulnerability discovered by external attackers—it was discovered through responsible research and handled through coordinated disclosure [2]
1 1 . . * * * * 引用 yǐn yòng 的 de 来源 lái yuán 无法 wú fǎ 核实 hé shí * * * * ： ： 提供 tí gōng 的 de ZDNet ZDNet 文章 wén zhāng URL URL 似乎 sì hū 不 bù 存在 cún zài ， ， 削弱 xuē ruò 了 le 该 gāi 说法 shuō fǎ 来源 lái yuán 的 de 可信度 kě xìn dù [ [ 5 5 ] ] 2 2 . . * * * * 表述 biǎo shù 暗示 àn shì 应 yīng 受 shòu 指责 zhǐ zé 的 de 疏忽 shū hū * * * * ： ： 该 gāi 说法 shuō fǎ 的 de 措辞 cuò cí （ （ " " 花 huā 了 le 21 21 天 tiān " " ） ） 暗示 àn shì 不可 bù kě 接受 jiē shòu 的 de 延迟 yán chí ， ， 而 ér 21 21 天 tiān 的 de 时间 shí jiān 线 xiàn 实际上 shí jì shàng 代表 dài biǎo 了 le 称职 chèn zhí 的 de 、 、 符合 fú hé 行业标准 háng yè biāo zhǔn 的 de 应对 yìng duì [ [ 4 4 ] ] 3 3 . . * * * * 背景 bèi jǐng 至关重要 zhì guān zhòng yào * * * * ： ： 这 zhè 21 21 天 tiān 不仅 bù jǐn 涉及 shè jí 修复 xiū fù 一个 yí gè 错误 cuò wù ， ， 还 hái 包括 bāo kuò 重新 chóng xīn 设计 shè jì 安全 ān quán 协议 xié yì 、 、 实施 shí shī 额外 é wài 保护措施 bǎo hù cuò shī 以及 yǐ jí 遵循 zūn xún 负责 fù zé 任 rèn 披露 pī lù 实践 shí jiàn [ [ 2 2 ] ] [ [ 3 3 ] ] 4 4 . . * * * * 漏洞 lòu dòng 是 shì 已知 yǐ zhī 的 de 但 dàn 得到 dé dào 了 le 管理 guǎn lǐ * * * * ： ： 这 zhè 并非 bìng fēi 由 yóu 外部 wài bù 攻击者 gōng jī zhě 发现 fā xiàn 的 de 未 wèi 检测 jiǎn cè 漏洞 lòu dòng — — — — 它 tā 是 shì 通过 tōng guò 负责 fù zé 任 rèn 的 de 研究 yán jiū 发现 fā xiàn 的 de ， ， 并 bìng 通过 tōng guò 协调 xié tiáo 披露 pī lù 得到 dé dào 处理 chǔ lǐ [ [ 2 2 ] ] 最终评分
6.0
/ 10
部分属实
关于 guān yú 修复 xiū fù 漏洞 lòu dòng 花 huā 了 le 21 21 天 tiān 的 de 说法 shuō fǎ 根据 gēn jù 时间 shí jiān 线 xiàn （ （ 2020 2020 年 nián 5 5 月 yuè 5 5 日至 rì zhì 5 5 月 yuè 26 26 日 rì ） ） 在 zài 事实上 shì shí shàng 是 shì 准确 zhǔn què 的 de 。 。
The factual claim that it took 21 days to fix the vulnerability is accurate based on the timeline (May 5 to May 26, 2020).
然而 rán ér ， ， 判决 pàn jué 结果 jié guǒ 是 shì " " 部分 bù fèn 属实 shǔ shí " " 而 ér 非 fēi " " 属实 shǔ shí " " ， ， 原因 yuán yīn 如下 rú xià ： ： However, the verdict is "partially true" rather than "true" for these reasons:
1. **The cited source cannot be verified**: The ZDNet article URL provided does not appear to exist, undermining the credibility of the claim's sourcing [5]
2. **The framing implies culpable negligence**: The claim's phrasing ("took 21 days") suggests unacceptable delays, when the 21-day timeline actually represents a competent, industry-standard response [4]
3. **Context is critical**: The 21 days involved not just fixing a bug but redesigning security protocols, implementing additional protections, and following responsible disclosure practices [2][3]
4. **The vulnerability was known but managed**: This was not an undetected vulnerability discovered by external attackers—it was discovered through responsible research and handled through coordinated disclosure [2]
1 1 . . * * * * 引用 yǐn yòng 的 de 来源 lái yuán 无法 wú fǎ 核实 hé shí * * * * ： ： 提供 tí gōng 的 de ZDNet ZDNet 文章 wén zhāng URL URL 似乎 sì hū 不 bù 存在 cún zài ， ， 削弱 xuē ruò 了 le 该 gāi 说法 shuō fǎ 来源 lái yuán 的 de 可信度 kě xìn dù [ [ 5 5 ] ] 2 2 . . * * * * 表述 biǎo shù 暗示 àn shì 应 yīng 受 shòu 指责 zhǐ zé 的 de 疏忽 shū hū * * * * ： ： 该 gāi 说法 shuō fǎ 的 de 措辞 cuò cí （ （ " " 花 huā 了 le 21 21 天 tiān " " ） ） 暗示 àn shì 不可 bù kě 接受 jiē shòu 的 de 延迟 yán chí ， ， 而 ér 21 21 天 tiān 的 de 时间 shí jiān 线 xiàn 实际上 shí jì shàng 代表 dài biǎo 了 le 称职 chèn zhí 的 de 、 、 符合 fú hé 行业标准 háng yè biāo zhǔn 的 de 应对 yìng duì [ [ 4 4 ] ] 3 3 . . * * * * 背景 bèi jǐng 至关重要 zhì guān zhòng yào * * * * ： ： 这 zhè 21 21 天 tiān 不仅 bù jǐn 涉及 shè jí 修复 xiū fù 一个 yí gè 错误 cuò wù ， ， 还 hái 包括 bāo kuò 重新 chóng xīn 设计 shè jì 安全 ān quán 协议 xié yì 、 、 实施 shí shī 额外 é wài 保护措施 bǎo hù cuò shī 以及 yǐ jí 遵循 zūn xún 负责 fù zé 任 rèn 披露 pī lù 实践 shí jiàn [ [ 2 2 ] ] [ [ 3 3 ] ] 4 4 . . * * * * 漏洞 lòu dòng 是 shì 已知 yǐ zhī 的 de 但 dàn 得到 dé dào 了 le 管理 guǎn lǐ * * * * ： ： 这 zhè 并非 bìng fēi 由 yóu 外部 wài bù 攻击者 gōng jī zhě 发现 fā xiàn 的 de 未 wèi 检测 jiǎn cè 漏洞 lòu dòng — — — — 它 tā 是 shì 通过 tōng guò 负责 fù zé 任 rèn 的 de 研究 yán jiū 发现 fā xiàn 的 de ， ， 并 bìng 通过 tōng guò 协调 xié tiáo 披露 pī lù 得到 dé dào 处理 chǔ lǐ [ [ 2 2 ] ] 评分方法
1-3: 不实
事实错误或恶意捏造。
4-6: 部分属实
有一定真实性，但缺乏背景或有所偏颇。
7-9: 基本属实
仅有微小的技术性或措辞问题。
10: 准确
完全经过验证且客观公正。
方法论: 评分通过交叉参照政府官方记录、独立事实核查机构和原始文件确定。