C0050
主張
“在 COVIDSafe 應用程式的隱私政策中，未提及手機型號和裝置名稱（例如「Mary 的 iPhone」）會透過藍牙廣播。一個被利用的例子是，家庭暴力施虐者可以在不踏進建築物的情況下，判斷受害者是否在家以及其室友是否不在。”
原始來源： Matthew Davis
分析日期： 29 Jan 2026
原始來源
✅ 事實查核
核心 hé xīn 主張 zhǔ zhāng 包含 bāo hán 多個 duō gè 技術 jì shù 和 hé 事實 shì shí 要素 yào sù ， ， 需要 xū yào 仔細驗證 zǎi xì yàn zhèng ： ：
The core claim contains multiple technical and factual elements that require careful verification:
### ### CVE CVE 文件 wén jiàn 實際 shí jì 顯示 xiǎn shì 的 de 內容 nèi róng ### What the CVE Documentation Actually Shows
COVIDSafe COVIDSafe （ （ Android Android v1.0 v1.0 . . 17 17 及 jí 更 gèng 早 zǎo 版本 bǎn běn ） ） 確實 què shí 存在 cún zài 一個 yī gè 真正 zhēn zhèng 的 de 藍牙 lán yá 漏洞 lòu dòng ， ， 記錄 jì lù 為 wèi * * * * CVE CVE - - 2020 2020 - - 12860 12860 * * * * 和 hé * * * * CVE CVE - - 2020 2020 - - 12856 12856 * * * * [ [ 1 1 ] ] [ [ 2 2 ] ] 。 。 There IS a genuine Bluetooth vulnerability in COVIDSafe (Android v1.0.17 and earlier), documented as **CVE-2020-12860** and **CVE-2020-12856** [1][2].
然而 rán ér ， ， 該主張 gāi zhǔ zhāng 對 duì 暴露 bào lù 資訊 zī xùn 的 de 描述 miáo shù 部分 bù fèn 準確 zhǔn què ， ， 但 dàn 需要 xū yào 重要 zhòng yào 的 de 背景 bèi jǐng 說明 shuō míng 。 。 However, the claim's characterization of what information is exposed is partially accurate but requires important context.
根據 gēn jù CVE CVE - - 2020 2020 - - 12860 12860 技術 jì shù 文件 wén jiàn ， ， COVIDSafe COVIDSafe v1.0 v1.0 . . 17 17 及 jí 更 gèng 早 zǎo 版本 bǎn běn 「 「 允許 yǔn xǔ 遠端 yuǎn duān 攻擊者 gōng jī zhě 存取 cún qǔ 電話 diàn huà 名稱 míng chēng 和 hé 型 xíng 號資訊 hào zī xùn ， ， 因為 yīn wèi 藍牙 lán yá 低功耗 dī gōng hào 裝置 zhuāng zhì 可以 kě yǐ 具有 jù yǒu 四種 sì zhǒng 角色 jué sè ， ， 而 ér COVIDSafe COVIDSafe 使用 shǐ yòng 了 le 所有 suǒ yǒu 這些 zhè xiē 角色 jué sè 」 」 [ [ 1 1 ] ] 。 。 According to the CVE-2020-12860 technical documentation, COVIDSafe through v1.0.17 "allows a remote attacker to access phone name and model information because a BLE device can have four roles and COVIDSafe uses all of them" [1].
這允許 zhè yǔn xǔ 「 「 重新 chóng xīn 識別 shí bié 裝置 zhuāng zhì ， ， 並 bìng 可能 kě néng 識別 shí bié 擁有者 yōng yǒu zhě 的 de 姓名 xìng míng 」 」 [ [ 1 1 ] ] 。 。 This allows for "re-identification of a device, and potentially identification of the owner's name" [1].
另 lìng 一個 yī gè 獨立 dú lì 的 de 漏洞 lòu dòng CVE CVE - - 2020 2020 - - 12856 12856 ， ， 由 yóu 研究 yán jiū 人員 rén yuán Jim Jim Mussared Mussared 和 hé Alwen Alwen Tiu Tiu 發現 fā xiàn ， ， 描述 miáo shù 了 le 一個 yī gè 「 「 靜默配 jìng mò pèi 對 duì 問題 wèn tí 」 」 ， ， 其中 qí zhōng 「 「 配對 pèi duì 過程 guò chéng 涉及 shè jí 交換 jiāo huàn 受害者 shòu hài zhě 手機 shǒu jī 的 de 永久 yǒng jiǔ 識別碼 shí bié mǎ ： ： 手機 shǒu jī 中 zhōng 藍牙 lán yá 裝置 zhuāng zhì 的 de 身分 shēn fèn 位址 wèi zhǐ 和 hé 一個 yī gè 稱 chēng 為 wèi 身分 shēn fèn 解析 jiě xī 金鑰 jīn yào （ （ IRK IRK ） ） 的 de 加密 jiā mì 金鑰 jīn yào 」 」 [ [ 3 3 ] ] 。 。 A separate vulnerability, CVE-2020-12856, discovered by researchers Jim Mussared and Alwen Tiu, describes a "silent pairing issue" where "the bonding process involves exchanges of permanent identifiers of the victim phone: the identity address of the bluetooth device in the phone and a cryptographic key called Identity Resolving Key (IRK)" [3].
任一 rèn yī 識別碼 shí bié mǎ 都 dōu 可以 kě yǐ 用 yòng 於 yú 「 「 長 zhǎng 期 qī 追 zhuī 蹤 zōng 手 shǒu 機 jī 」 」 [ [ 3 3 ] ] 。 。 Either identifier can be used for "long term tracking of the phone" [3].
### ### 裝置 zhuāng zhì 名稱 míng chēng 廣播 guǎng bō — — — — 需要 xū yào 釐 lí 清 qīng ### Device Name Broadcasting - Clarification Needed
一個 yī gè 關鍵 guān jiàn 細節 xì jié ： ： 根據 gēn jù 安全 ān quán 研究 yán jiū 員 yuán Matthew Matthew Rocklin Rocklin ( ( @ @ matthewrdev matthewrdev ) ) 的 de Twitter Twitter 討論 tǎo lùn 串 chuàn ， ， 「 「 該 gāi 應用 yīng yòng 程式 chéng shì 在 zài 標準 biāo zhǔn 運作 yùn zuò 中 zhōng * * 並不 bìng bù * * 會廣播 huì guǎng bō 裝置 zhuāng zhì 名稱 míng chēng 」 」 [ [ 4 4 ] ] 。 。 A critical detail: According to a Twitter thread by security researcher Matthew Rocklin (@matthewrdev), "the app *does not* broadcast the device name" in the standard operation of the app [4].
相反 xiāng fǎn 地 dì ， ， 「 「 當另 dāng lìng 一支 yī zhī 手機 shǒu jī 偵測 zhēn cè 到 dào 您 nín 時 shí ， ， 您 nín 是 shì 透過 tòu guò 藍牙 lán yá 位址 wèi zhǐ 而 ér 不是 bú shì 裝置 zhuāng zhì 名稱 míng chēng 來識別 lái shí bié 的 de 」 」 [ [ 4 4 ] ] 。 。 Instead, "when another phone detects you, you are identified using a Bluetooth address and not a device name" [4].
然而 rán ér ， ， CVE CVE - - 2020 2020 - - 12860 12860 漏洞 lòu dòng 允許 yǔn xǔ 攻擊者 gōng jī zhě 透過 tòu guò 濫用 làn yòng 藍牙 lán yá 低功耗 dī gōng hào 角色 jué sè 來 lái 擷 xié 取手 qǔ shǒu 機型號 jī xíng hào 和 hé 裝置 zhuāng zhì 名稱 míng chēng 資訊 zī xùn ， ， 這 zhè 意味著 yì wèi zhù 即使 jí shǐ 裝置 zhuāng zhì 名稱 míng chēng 在 zài 正常 zhèng cháng 運作 yùn zuò 中不會 zhōng bù huì 廣播 guǎng bō ， ， 但 dàn 透過 tòu guò 利用 lì yòng 此 cǐ 漏洞 lòu dòng 是 shì 可以 kě yǐ 存取 cún qǔ 的 de [ [ 1 1 ] ] [ [ 2 2 ] ] 。 。 However, the CVE-2020-12860 vulnerability allows attackers to extract phone model AND device name information through BLE role misuse, meaning the device name IS accessible through exploitation of this vulnerability, even if not broadcast in normal operation [1][2].
### ### 隱私 yǐn sī 政策 zhèng cè 揭露 jiē lù ### Privacy Policy Disclosure
關於此 guān yú cǐ 資訊 zī xùn 未 wèi 在 zài 隱私 yǐn sī 政策 zhèng cè 中 zhōng 提及 tí jí 的 de 主張 zhǔ zhāng ： ： 昆士蘭 kūn shì lán 科技 kē jì 大學關 dà xué guān 於 yú COVIDSafe COVIDSafe 實施 shí shī 的 de 學術 xué shù 研究 yán jiū 發現 fā xiàn ， ， 政府 zhèng fǔ 提供 tí gōng 了 le 一份 yī fèn 隱私 yǐn sī 影響 yǐng xiǎng 評估 píng gū ， ， 重點 zhòng diǎn 關注 guān zhù 藍牙 lán yá 資料 zī liào 收集 shōu jí [ [ 5 5 ] ] 。 。 Regarding the claim that this wasn't mentioned in the privacy policy: The QUT academic research on COVIDSafe implementation found that the government provided a Privacy Impact Assessment focusing on Bluetooth data collection [5].
然而 rán ér ， ， 透過 tòu guò 藍牙 lán yá 低功耗 dī gōng hào 漏洞 lòu dòng 可以 kě yǐ 擷取 xié qǔ 哪些 nǎ xiē 資訊 zī xùn 的 de 具體 jù tǐ 細節 xì jié ， ， 可能 kě néng 沒有 méi yǒu 在 zài 面向 miàn xiàng 消費者 xiāo fèi zhě 的 de 隱私 yǐn sī 政策 zhèng cè 文件 wén jiàn 中明確 zhōng míng què 說明 shuō míng [ [ 5 5 ] ] 。 。 However, the specifics of what information could be extracted through BLE vulnerabilities may not have been explicitly detailed in consumer-facing privacy policy documentation [5].
隱私 yǐn sī 政策 zhèng cè 確 què 實 shí 註 zhù 明 míng 「 「 藍牙 lán yá 掃描 sǎo miáo 可用 kě yòng 於 yú 收集 shōu jí 使用者 shǐ yòng zhě 位置 wèi zhì 資訊 zī xùn 」 」 [ [ 6 6 ] ] ， ， 但 dàn 可能 kě néng 沒有 méi yǒu 詳細 xiáng xì 說 shuō 明裝置 míng zhuāng zhì 名稱 míng chēng / / 型號 xíng hào 擷取 xié qǔ 的 de 具體 jù tǐ 漏洞 lòu dòng [ [ 5 5 ] ] 。 。 The privacy policy did note that "a Bluetooth scan can be used to gather information about the location of the user" [6], but may not have detailed the specific vulnerability of device name/model extraction [5].
缺失的脈絡
### ### 時間 shí jiān 表和修 biǎo hé xiū 補狀態 bǔ zhuàng tài
### Timeline and Patch Status
該 gāi 漏洞 lòu dòng 於 yú 2020 2020 年 nián 5 5 月 yuè 5 5 日向 rì xiàng DTA DTA （ （ 內 nèi 政事 zhèng shì 務部 wù bù ） ） 回報 huí bào ， ， 並在 bìng zài * * * * COVIDSafe COVIDSafe ( ( Android Android ) ) v1.0 v1.0 . . 18 18 * * * * 中修 zhōng xiū 復 fù [ [ 3 3 ] ] 。 。 The vulnerability was reported to DTA (Department of Home Affairs) on May 5, 2020, and **was fixed in COVIDSafe (Android) v1.0.18** [3].
該 gāi 應用 yīng yòng 程式 chéng shì 於 yú 2020 2020 年 nián 4 4 月 yuè 26 26 日 rì 部署 bù shǔ ， ， 意味著 yì wèi zhù 此 cǐ 漏洞 lòu dòng 在 zài 修補 xiū bǔ 程式 chéng shì 推出 tuī chū 前 qián 存在 cún zài 約 yuē 3 3 週 zhōu [ [ 1 1 ] ] [ [ 3 3 ] ] 。 。 The app was deployed April 26, 2020, meaning this vulnerability existed for approximately 3 weeks before patches were available [1][3].
發現 fā xiàn 後 hòu 迅速 xùn sù 實施 shí shī 了 le 修 xiū 復 fù [ [ 3 3 ] ] 。 。 The fix was implemented promptly after discovery [3].
### ### 家庭暴力 jiā tíng bào lì 利用 lì yòng — — — — 理論 lǐ lùn 與 yǔ 實證 shí zhèng ### Domestic Violence Exploitation - Theoretical vs Proven
雖然 suī rán 該 gāi 主張 zhǔ zhāng 呈現 chéng xiàn 了 le 一個 yī gè 情境 qíng jìng ， ， 即 jí 「 「 家庭暴力 jiā tíng bào lì 施虐 shī nüè 者 zhě 可以 kě yǐ 判斷 pàn duàn 受害者 shòu hài zhě 是否 shì fǒu 在家 zài jiā 以及 yǐ jí 其 qí 室友 shì yǒu 是否 shì fǒu 不 bù 在 zài 」 」 ， ， 但 dàn 這 zhè 似乎 sì hū 是 shì 一個 yī gè * * * * 理論 lǐ lùn 上 shàng 的 de 漏洞 lòu dòng ， ， 而 ér 非 fēi 有 yǒu 記錄 jì lù 的 de 實際 shí jì 利用 lì yòng 案例 àn lì * * * * [ [ 1 1 ] ] [ [ 3 3 ] ] 。 。 While the claim presents a scenario where "a domestic violence abuser can tell whether the victim is at home and their house-mates are not," this appears to be a **theoretical vulnerability rather than documented evidence of actual exploitation** [1][3].
CVE CVE 文件 wén jiàn 討論 tǎo lùn 了 le 透過 tòu guò 藍牙 lán yá 低功耗 dī gōng hào 識別碼 shí bié mǎ 擷取 xié qǔ 進行 jìn xíng 「 「 長 zhǎng 期 qī 追 zhuī 蹤 zōng 」 」 的 de 技術 jì shù 能力 néng lì [ [ 3 3 ] ] ， ， 但 dàn 在 zài 已 yǐ 發布 fā bù 的 de 漏洞 lòu dòng 揭露 jiē lù 、 、 學術 xué shù 文獻 wén xiàn 或 huò 媒體 méi tǐ 報導 bào dǎo 中 zhōng ， ， 沒有 méi yǒu 證據 zhèng jù 顯示 xiǎn shì 此 cǐ 漏洞 lòu dòng 曾 céng 被 bèi 實際用 shí jì yòng 於 yú 家庭暴力 jiā tíng bào lì 追 zhuī 蹤 zōng [ [ 2 2 ] ] [ [ 3 3 ] ] 。 。 The CVE documents discuss the technical capability for "long term tracking" through BLE identifier extraction [3], but there is no evidence in the published vulnerability disclosures, academic literature, or media reporting of actual instances where this vulnerability was exploited for domestic violence tracking [2][3].
這是 zhè shì 研究 yán jiū 人員發 rén yuán fā 現並 xiàn bìng 負責任 fù zé rèn 揭露 jiē lù 的 de * * * * 正當 zhèng dāng 安全 ān quán 疑慮 yí lǜ * * * * ， ， 但將 dàn jiāng 其 qí 描述 miáo shù 為 wèi 有 yǒu 記錄 jì lù 的 de 利用 lì yòng 方法 fāng fǎ 而 ér 沒 méi 有 yǒu 文件 wén jiàn 記錄 jì lù ， ， 是 shì 對 duì 證據 zhèng jù 的 de 過度 guò dù 推論 tuī lùn 。 。 This is a **legitimate security concern** that researchers identified and responsibly disclosed, but characterizing it as a known exploitation method without documented instances is an extrapolation beyond what the evidence shows.
### ### 「 「 廣播 guǎng bō 」 」 的 de 技術 jì shù 精確性 jīng què xìng ### Technical Accuracy of "Broadcasting"
該主張 gāi zhǔ zhāng 使用 shǐ yòng 「 「 廣播 guǎng bō 」 」 一詞 yī cí ， ， 技術 jì shù 上 shàng 不夠 bù gòu 精確 jīng què 。 。 The claim uses the word "broadcast" which is technically imprecise.
裝置 zhuāng zhì 名稱 míng chēng 不會 bù huì 在 zài COVIDSafe COVIDSafe 的 de 正常 zhèng cháng 運作 yùn zuò 中持續 zhōng chí xù 廣播 guǎng bō 。 。 Device names are not continuously broadcast in COVIDSafe's normal operation.
相反 xiāng fǎn 地 dì ， ， 它們 tā men 是 shì 透過 tòu guò 允許 yǔn xǔ 攻擊者 gōng jī zhě 從 cóng 裝置 zhuāng zhì 藍牙堆 lán yá duī 疊 dié 擷 xié 取此 qǔ cǐ 資訊 zī xùn 的 de 藍牙 lán yá 低功耗 dī gōng hào 技術 jì shù 漏洞 lòu dòng （ （ 角色 jué sè 濫用 làn yòng ） ） 而 ér 暴露 bào lù 的 de [ [ 1 1 ] ] [ [ 2 2 ] ] 。 。 Rather, they are exposed through BLE technical vulnerabilities (role misuse) that allow attackers to extract this information from the device's Bluetooth stack [1][2].
這是 zhè shì 一個 yī gè 有意 yǒu yì 義的 yì de 區別 qū bié ， ， 因為 yīn wèi 它 tā 影響 yǐng xiǎng 威脅 wēi xié 建模 jiàn mó — — — — 攻擊者 gōng jī zhě 需要 xū yào 主動 zhǔ dòng 進行 jìn xíng 技術 jì shù 利用 lì yòng ， ， 而 ér 不僅僅 bù jǐn jǐn 是 shì 在 zài 藍牙範圍 lán yá fàn wéi 內 nèi [ [ 3 3 ] ] 。 。 This is a meaningful distinction because it affects threat modeling—an attacker would need to actively conduct a technical exploit, not merely be in Bluetooth range [3].
來源可信度評估
原始 yuán shǐ 來源 lái yuán 是 shì 一份 yī fèn * * * * Google Google 文件 wén jiàn * * * * ， ， 在 zài 該 gāi 主張 zhǔ zhāng 檔案 dàng àn 中 zhōng 未 wèi 列出 liè chū 作者 zuò zhě 、 、 機構 jī gòu 隸屬 lì shǔ 或 huò 出版 chū bǎn 證明 zhèng míng [ [ 7 7 ] ] 。 。
The original source is a **Google Doc** with no identified author, institutional affiliation, or publication credentials listed in the claim file [7].
沒有 méi yǒu 查看 chá kàn 完整 wán zhěng 文件 wén jiàn 的 de 權限 quán xiàn ， ， 評估 píng gū 其 qí 可信度 kě xìn dù 受到限制 shòu dào xiàn zhì 。 。 Without access to view the full document, assessing its credibility is limited.
然而 rán ér ， ， 該主張 gāi zhǔ zhāng 確實 què shí 引用 yǐn yòng 了 le 合法 hé fǎ 的 de 安全漏洞 ān quán lòu dòng （ （ CVE CVE - - 2020 2020 - - 12860 12860 和 hé CVE CVE - - 2020 2020 - - 12856 12856 ） ） ， ， 這些 zhè xiē 漏洞 lòu dòng 在 zài 官方 guān fāng 來源 lái yuán 中 zhōng 有 yǒu 詳細 xiáng xì 記錄 jì lù 。 。 However, the claim does reference legitimate security vulnerabilities (CVE-2020-12860 and CVE-2020-12856) that are well-documented in official sources.
基礎 jī chǔ 的 de CVE CVE 揭露 jiē lù 和 hé 學術 xué shù 研究 yán jiū 來 lái 自 zì 可信 kě xìn 來源 lái yuán ： ： The underlying CVE disclosures and academic research are from credible sources:
- **CVE-2020-12860**: Published by MITRE/NVD (National Vulnerability Database), official vulnerability tracking [1]
- **CVE-2020-12856**: Discovered and disclosed by Jim Mussared (George Robotics) and Alwen Tiu (ANU), published on GitHub with technical documentation [3]
- **QUT Academic Research**: Peer-reviewed article on COVIDSafe implementation from Queensland University of Technology [5]
These sources are credible technical disclosures, not partisan sources.
- - * * * * CVE CVE - - 2020 2020 - - 12860 12860 * * * * ： ： 由 yóu MITRE MITRE / / NVD NVD （ （ 國家 guó jiā 漏洞 lòu dòng 資料 zī liào 庫 kù ） ） 發布 fā bù ， ， 官方 guān fāng 漏洞 lòu dòng 追 zhuī 蹤 zōng [ [ 1 1 ] ] - - * * * * CVE CVE - - 2020 2020 - - 12856 12856 * * * * ： ： 由 yóu Jim Jim Mussared Mussared （ （ George George Robotics Robotics ） ） 和 hé Alwen Alwen Tiu Tiu （ （ 澳洲 ào zhōu 國立 guó lì 大學 dà xué ） ） 發現 fā xiàn 和 hé 揭露 jiē lù ， ， 在 zài GitHub GitHub 上 shàng 發布並 fā bù bìng 附技術 fù jì shù 文件 wén jiàn [ [ 3 3 ] ] - - * * * * 昆士蘭 kūn shì lán 科技 kē jì 大學學術 dà xué xué shù 研究 yán jiū * * * * ： ： 來 lái 自昆士蘭 zì kūn shì lán 科技 kē jì 大學關 dà xué guān 於 yú COVIDSafe COVIDSafe 實施 shí shī 的 de 同儕 tóng chái 審查 shěn chá 文章 wén zhāng [ [ 5 5 ] ] 這些 zhè xiē 來源 lái yuán 是 shì 可信 kě xìn 的 de 技術 jì shù 揭露 jiē lù ， ， 而 ér 非黨 fēi dǎng 派 pài 來源 lái yuán 。 。 ⚖️
Labor 比較
* * * * 工黨 gōng dǎng 是否 shì fǒu 有類 yǒu lèi 似的 shì de 技術 jì shù 隱私 yǐn sī 失敗 shī bài ？ ？
**Did Labor have equivalent technology privacy failures?**
Search conducted: "Labor government technology privacy failures contact tracing"
Labor's involvement with contact tracing technology was limited during this period, as the Coalition government held power (2013-2022) and developed COVIDSafe.
* * * * Labor was in opposition and did not develop an alternative contact tracing app [8].
搜尋 sōu xún ： ： 「 「 Labor Labor government government technology technology privacy privacy failures failures contact contact tracing tracing 」 」 However, broader technology privacy concerns existed across both parties:
- Both Labor and Coalition governments have faced criticism for inadequate privacy protections in digital government services [8]
- Privacy reform efforts in Australia have been cross-party issues, with concerns raised about government data handling practices generally, not specific to one party [8]
- The broader privacy framework issues that necessitated special COVIDSafe legislation are systemic to Australia's fragmented privacy law regime, not unique to Coalition implementation [5]
In essence, there is no direct Labor equivalent because Labor was not in government during the COVID-19 pandemic and did not develop contact tracing apps.
工黨 gōng dǎng 在 zài 此 cǐ 期間 qī jiān 參與 cān yǔ 接觸 jiē chù 追 zhuī 蹤 zōng 技 jì 術 shù 的 de 程度 chéng dù 有限 yǒu xiàn ， ， 因為 yīn wèi 聯盟 lián méng 政府 zhèng fǔ 執政 zhí zhèng （ （ 2013 2013 - - 2022 2022 年 nián ） ） 並開發 bìng kāi fā 了 le COVIDSafe COVIDSafe 。 。 工黨 gōng dǎng 當時 dāng shí 在野 zài yě ， ， 沒有 méi yǒu 開發 kāi fā 替代 tì dài 的 de 接觸 jiē chù 追 zhuī 蹤 zōng 應 yīng 用 yòng 程式 chéng shì [ [ 8 8 ] ] 。 。 然而 rán ér ， ， 兩黨 liǎng dǎng 都 dōu 存在 cún zài 更廣泛 gèng guǎng fàn 的 de 技術 jì shù 隱私 yǐn sī 疑慮 yí lǜ ： ： - - 工黨 gōng dǎng 和 hé 聯盟 lián méng 政府 zhèng fǔ 都 dōu 因數位 yīn shù wèi 政府 zhèng fǔ 服務中 fú wù zhōng 的 de 隱私 yǐn sī 保護 bǎo hù 不足 bù zú 而 ér 受到 shòu dào 批評 pī píng [ [ 8 8 ] ] - - 澳洲 ào zhōu 的 de 隱私 yǐn sī 改革 gǎi gé 努力 nǔ lì 是 shì 跨黨 kuà dǎng 派 pài 議題 yì tí ， ， 對 duì 政府 zhèng fǔ 資料 zī liào 處理 chù lǐ 實務 shí wù 的 de 疑慮 yí lǜ 普遍存在 pǔ biàn cún zài ， ， 不限 bù xiàn 於 yú 特定 tè dìng 政黨 zhèng dǎng [ [ 8 8 ] ] - - 需要 xū yào 特別 tè bié COVIDSafe COVIDSafe 立法 lì fǎ 所體現 suǒ tǐ xiàn 的 de 更 gèng 廣泛 guǎng fàn 隱私 yǐn sī 框架 kuāng jià 問題 wèn tí ， ， 是 shì 澳洲 ào zhōu 碎片 suì piàn 化隱私 huà yǐn sī 法律 fǎ lǜ 體系 tǐ xì 的 de 系 xì 統性 tǒng xìng 問題 wèn tí ， ， 而 ér 非聯盟 fēi lián méng 黨 dǎng 執行 zhí xíng 所 suǒ 特有 tè yǒu [ [ 5 5 ] ] 本質 běn zhì 上 shàng ， ， 沒有 méi yǒu 直接 zhí jiē 的 de 工黨 gōng dǎng 對 duì 應 yīng 案例 àn lì ， ， 因為 yīn wèi 工黨 gōng dǎng 在 zài COVID COVID - - 19 19 大 dà 流行 liú xíng 期間 qī jiān 並未 bìng wèi 執政 zhí zhèng ， ， 也 yě 沒 méi 有 yǒu 開發 kāi fā 接觸 jiē chù 追 zhuī 蹤 zōng 應 yīng 用 yòng 程式 chéng shì 。 。 🌐
平衡觀點
### ### 合法 hé fǎ 的 de 技術 jì shù 漏洞 lòu dòng
### The Legitimate Technical Vulnerability
該主張 gāi zhǔ zhāng * * * * 正確 zhèng què 指出 zhǐ chū COVIDSafe COVIDSafe 中 zhōng 存在 cún zài 真正 zhēn zhèng 的 de 技術 jì shù 漏洞 lòu dòng * * * * ， ， 可能 kě néng 理論 lǐ lùn 上會 shàng huì 暴露 bào lù 裝置 zhuāng zhì 型號 xíng hào 和 hé 名稱 míng chēng 資訊 zī xùn ， ， 且 qiě 這些 zhè xiē 資訊 zī xùn 可能 kě néng 用 yòng 於 yú 追 zhuī 蹤 zōng 某人 mǒu rén 的 de 位置 wèi zhì / / 存在 cún zài [ [ 1 1 ] ] [ [ 3 3 ] ] 。 。 The claim is **correct that a genuine technical vulnerability existed** in COVIDSafe that could theoretically expose device model and name information, and that this information could potentially be used to track someone's location/presence [1][3].
該 gāi 漏洞 lòu dòng 是 shì 真實 zhēn shí 的 de ， ， 由 yóu 可信 kě xìn 的 de 安全 ān quán 研究 yán jiū 人員 rén yuán 記錄 jì lù ， ， 並負責 bìng fù zé 任地 rèn dì 揭露 jiē lù [ [ 3 3 ] ] 。 。 The vulnerability was real, documented by credible security researchers, and responsibly disclosed [3].
### ### 政府 zhèng fǔ 的 de 回應 huí yīng ### The Government's Response
正面 zhèng miàn 的 de 是 shì ， ， 澳洲 ào zhōu 政府 zhèng fǔ 在 zài 收到 shōu dào 揭露 jiē lù 後 hòu 採取 cǎi qǔ 了 le 行動 xíng dòng ， ， 在 zài 收到 shōu dào 通知 tōng zhī 後 hòu 約 yuē 3 3 週內 zhōu nèi 發布 fā bù 了 le 修補 xiū bǔ 程式 chéng shì （ （ v1.0 v1.0 . . 18 18 ） ） [ [ 3 3 ] ] 。 。 Positively, the Australian Government acted on the disclosure by releasing a patch (v1.0.18) within approximately 3 weeks of being notified [3].
與 yǔ 新加坡 xīn jiā pō TraceTogether TraceTogether 等 děng 類似 lèi shì 應用 yīng yòng 程式 chéng shì 相比 xiāng bǐ ， ， 該 gāi 應用 yīng yòng 程式 chéng shì 還 hái 包含 bāo hán 了 le 額外 é wài 的 de 隱私 yǐn sī 保護 bǎo hù ， ， 包括 bāo kuò 對 duì 未經 wèi jīng 授權 shòu quán 資料 zī liào 使用 shǐ yòng 的 de 刑事 xíng shì 處罰 chù fá [ [ 5 5 ] ] 。 。 The app also included additional privacy protections compared to comparable apps like Singapore's TraceTogether, including criminal penalties for unauthorized data use [5].
### ### 關於實際 guān yú shí jì 利用 lì yòng 的 de 誇大主張 kuā dà zhǔ zhāng ### Overstated Claims About Practical Exploitation
從 cóng 「 「 存在 cún zài 可能 kě néng 理論 lǐ lùn 上 shàng 暴露 bào lù 裝置 zhuāng zhì 資訊 zī xùn 的 de 技術 jì shù 漏洞 lòu dòng 」 」 跳 tiào 到 dào 「 「 家庭暴力 jiā tíng bào lì 施虐 shī nüè 者 zhě 可以 kě yǐ 利用 lì yòng 此 cǐ 漏洞 lòu dòng 」 」 並沒有 bìng méi yǒu 證據 zhèng jù 支持 zhī chí 。 。 The leap from "a technical vulnerability exists that theoretically could expose device information" to "domestic violence abusers can exploit this" is not supported by evidence.
雖然 suī rán 理論 lǐ lùn 上 shàng 的 de 風險 fēng xiǎn 對 duì 安全 ān quán 通報 tōng bào 有效 yǒu xiào ， ， 但聲 dàn shēng 稱 chēng 有 yǒu 記錄 jì lù 的 de 利用 lì yòng 而 ér 沒 méi 有 yǒu 證據 zhèng jù 是 shì 誤導性 wù dǎo xìng 的 de [ [ 1 1 ] ] [ [ 3 3 ] ] [ [ 7 7 ] ] 。 。 While the theoretical risk is valid for security advisories, claiming documented exploitation without evidence is misleading [1][3][7].
### ### 隱私 yǐn sī 政策 zhèng cè 和 hé 揭露 jiē lù 問題 wèn tí ### Privacy Policy and Disclosure Issue
關於隱私 guān yú yǐn sī 政策 zhèng cè 揭露 jiē lù 的 de 主張 zhǔ zhāng 部分 bù fèn 有效 yǒu xiào 。 。 The claim about privacy policy disclosure is partially valid.
政府 zhèng fǔ 可能 kě néng 沒有 méi yǒu 向 xiàng 一般 yì bān 用戶 yòng hù 明確 míng què 詳細 xiáng xì 說 shuō 明藍牙 míng lán yá 低功耗 dī gōng hào 漏洞 lòu dòng 風險 fēng xiǎn ， ， 儘 jǐn 管 guǎn 隱 yǐn 私 sī 專 zhuān 業 yè 人士 rén shì 會 huì 預期 yù qī 這類 zhè lèi 風險 fēng xiǎn 應成 yīng chéng 為 wèi 安全 ān quán 威脅 wēi xié 建模 jiàn mó 的 de 一部分 yī bù fèn [ [ 5 5 ] ] 。 。 The government may not have explicitly detailed BLE vulnerability risks to general users, though privacy professionals would expect such risks to be part of security threat modeling [5].
隱私 yǐn sī 政策 zhèng cè 確實 què shí 揭露 jiē lù 了 le 藍牙 lán yá 資料 zī liào 收集 shōu jí ， ， 但 dàn 可能 kě néng 沒有 méi yǒu 將潛 jiāng qián 在 zài 藍牙 lán yá 低功耗 dī gōng hào 攻擊 gōng jī 的 de 具體 jù tǐ 細節 xì jié 面向 miàn xiàng 消費者 xiāo fèi zhě 說明 shuō míng [ [ 5 5 ] ] [ [ 6 6 ] ] 。 。 The privacy policy did disclose Bluetooth data collection, but specifics of potential BLE attacks may not have been consumer-facing [5][6].
### ### 實際 shí jì 影響 yǐng xiǎng 評估 píng gū ### Actual Impact Assessment
鑑 jiàn 於 yú ： ： Given that:
- The vulnerability was patched relatively quickly (within ~3 weeks) [3]
- The app remained voluntary and had low uptake (never reached government targets) [5]
- The exploitation would require technical sophistication beyond casual surveillance [3]
- No documented cases of exploitation for domestic violence exist [1][3]
The **actual practical harm appears limited** compared to the severity the claim implies.
- - 該 gāi 漏洞 lòu dòng 相對 xiāng duì 迅速 xùn sù 地 dì 獲得 huò dé 修補 xiū bǔ （ （ 約 yuē 3 3 週內 zhōu nèi ） ） [ [ 3 3 ] ] - - 該 gāi 應用 yīng yòng 程式 chéng shì 保持 bǎo chí 自願性 zì yuàn xìng 且採 qiě cǎi 用率 yòng lǜ 低 dī （ （ 從 cóng 未 wèi 達 dá 到 dào 政府 zhèng fǔ 目標 mù biāo ） ） [ [ 5 5 ] ] - - 利用 lì yòng 需要 xū yào 超越 chāo yuè 一般 yì bān 監控 jiān kòng 的 de 技術 jì shù 能力 néng lì [ [ 3 3 ] ] - - 沒有 méi yǒu 記錄 jì lù 的 de 家庭暴力 jiā tíng bào lì 利用 lì yòng 案例 àn lì [ [ 1 1 ] ] [ [ 3 3 ] ] * * * * 與 yǔ 該 gāi 主張 zhǔ zhāng 暗示 àn shì 的 de 嚴重性 yán zhòng xìng 相比 xiāng bǐ ， ， 實際 shí jì 的 de 實際 shí jì 傷害 shāng hài 似乎 sì hū 有限 yǒu xiàn * * * * 。 。 部分真實
5.5
/ 10
該主張 gāi zhǔ zhāng 正確 zhèng què 指出 zhǐ chū ： ： ( ( 1 1 ) ) 存在 cún zài 允許 yǔn xǔ 擷取 xié qǔ 裝置 zhuāng zhì 型號 xíng hào / / 名稱 míng chēng 的 de 真正 zhēn zhèng 技術 jì shù 漏洞 lòu dòng ， ， 以及 yǐ jí ( ( 2 2 ) ) 這些 zhè xiē 資訊理論 zī xùn lǐ lùn 上 shàng 可用 kě yòng 於 yú 追 zhuī 蹤 zōng 存在 cún zài 。 。
The claim is correct that: (1) a genuine technical vulnerability existed allowing device model/name extraction, and (2) this information could theoretically be used to track presence.
然而 rán ér ， ， 該主張 gāi zhǔ zhāng 在 zài 以下 yǐ xià 方面 fāng miàn 具有 jù yǒu 誤導性 wù dǎo xìng ： ： ( ( 1 1 ) ) 將理論 jiāng lǐ lùn 漏洞 lòu dòng 描述 miáo shù 為 wèi 有 yǒu 記錄 jì lù 的 de 家庭暴力 jiā tíng bào lì 利用 lì yòng ， ， ( ( 2 2 ) ) 不 bù 精確 jīng què 地 dì 使用 shǐ yòng 「 「 廣播 guǎng bō 」 」 一詞 yī cí ， ， 以及 yǐ jí ( ( 3 3 ) ) 遺漏 yí lòu 該 gāi 漏洞 lòu dòng 已 yǐ 迅速 xùn sù 修補並 xiū bǔ bìng 負責任 fù zé rèn 揭露 jiē lù 的 de 事實 shì shí 。 。 However, the claim is misleading in: (1) characterizing theoretical vulnerability as documented exploitation for domestic violence, (2) using "broadcast" imprecisely, and (3) omitting that the vulnerability was patched quickly and responsibly disclosed.
該主 gāi zhǔ 張將 zhāng jiāng 最壞 zuì huài 情況 qíng kuàng 的 de 技術 jì shù 能力 néng lì 呈現 chéng xiàn 為 wèi 好像 hǎo xiàng 是 shì 有 yǒu 記錄 jì lù 利用 lì yòng 的 de 實際 shí jì 威脅 wēi xié 情境 qíng jìng 。 。 The claim presents worst-case technical capability as if it were an actual threat scenario with documented exploitation.
最終分數
5.5
/ 10
部分真實
該主張 gāi zhǔ zhāng 正確 zhèng què 指出 zhǐ chū ： ： ( ( 1 1 ) ) 存在 cún zài 允許 yǔn xǔ 擷取 xié qǔ 裝置 zhuāng zhì 型號 xíng hào / / 名稱 míng chēng 的 de 真正 zhēn zhèng 技術 jì shù 漏洞 lòu dòng ， ， 以及 yǐ jí ( ( 2 2 ) ) 這些 zhè xiē 資訊理論 zī xùn lǐ lùn 上 shàng 可用 kě yòng 於 yú 追 zhuī 蹤 zōng 存在 cún zài 。 。
The claim is correct that: (1) a genuine technical vulnerability existed allowing device model/name extraction, and (2) this information could theoretically be used to track presence.
然而 rán ér ， ， 該主張 gāi zhǔ zhāng 在 zài 以下 yǐ xià 方面 fāng miàn 具有 jù yǒu 誤導性 wù dǎo xìng ： ： ( ( 1 1 ) ) 將理論 jiāng lǐ lùn 漏洞 lòu dòng 描述 miáo shù 為 wèi 有 yǒu 記錄 jì lù 的 de 家庭暴力 jiā tíng bào lì 利用 lì yòng ， ， ( ( 2 2 ) ) 不 bù 精確 jīng què 地 dì 使用 shǐ yòng 「 「 廣播 guǎng bō 」 」 一詞 yī cí ， ， 以及 yǐ jí ( ( 3 3 ) ) 遺漏 yí lòu 該 gāi 漏洞 lòu dòng 已 yǐ 迅速 xùn sù 修補並 xiū bǔ bìng 負責任 fù zé rèn 揭露 jiē lù 的 de 事實 shì shí 。 。 However, the claim is misleading in: (1) characterizing theoretical vulnerability as documented exploitation for domestic violence, (2) using "broadcast" imprecisely, and (3) omitting that the vulnerability was patched quickly and responsibly disclosed.
該主 gāi zhǔ 張將 zhāng jiāng 最壞 zuì huài 情況 qíng kuàng 的 de 技術 jì shù 能力 néng lì 呈現 chéng xiàn 為 wèi 好像 hǎo xiàng 是 shì 有 yǒu 記錄 jì lù 利用 lì yòng 的 de 實際 shí jì 威脅 wēi xié 情境 qíng jìng 。 。 The claim presents worst-case technical capability as if it were an actual threat scenario with documented exploitation.
📚 來源與引用 (8)
-
1
cvedetails.com
Cvedetails
-
2
nvd.nist.gov
CVE-2020-12860
-
3
github.com
A bluetooth-related vulnerability in some contact tracing apps - alwentiu/COVIDSafe-CVE-2020-12856
GitHub -
4
threadreaderapp.com
Thread by @matthewrdev: The #covidsafe app is now available in Australia However, it's a shame that they have decided not to release the sourr full transparency. Luckily, I'm a curious chap and also a professional mobile developer. So, I've downloaded an…
Threadreaderapp -
5
lthj.qut.edu.au
Lthj Qut Edu
-
6
reddit.com
The heart of the internet -
7
docs.google.com
Privacy issues discovered in the BLE implementation of the COVIDSafe Android app Jim Mussared jim.mussared@gmail.com https://twitter.com/jim_mussared 28/04/2020 Last updated: 15/05/2020 Status: Public. Updates ongoing. Privacy issues discovered in the BLE implementation of the COVIDSafe Andr...
Google Docs -
8
ashurst.com
Australia's first tranche of privacy reforms – a deep dive and why they matter
Ashurst
評分量表方法論
1-3: 虛假
事實不正確或惡意捏造。
4-6: 部分
有部分真實性，但缺乏或扭曲了背景。
7-9: 大致屬實
微小的技術性問題或措辭問題。
10: 準確
完美驗證且在情境上公正。
方法論: 評分通過交叉比對官方政府記錄、獨立事實查核組織和原始來源文件來確定。