TL;DR:
- Een "appathon" bewijst niet dat een app veilig kan worden ingezet (hooguit dat het onveilig is);
- Het werkelijke doel van de Corona tracking app, en waar het uiteindelijk voor zal worden ingezet, is onduidelijk;
- Of de app verplicht zal worden (bij een te lage installatie-bereidheid) is onbekend;
- De effectiviteit van de app is nog onbekend en bij voorbaat twijfelachtig;
- Hieronder benoem ik een groot aantal risico's waarvan ik, in veel gevallen, de kans en impact niet goed kan inschatten; dat wil echter niet zeggen dat ze verwaarloosbaar zijn. Zie ook de conclusie onderaan deze bijdrage.

INHOUD
- Inleiding
- Mogelijke doelen van de Corona tracking app
- Vrijwillig of verplicht
- Risico's - kopjes (overzicht)
- Risico's - details
- Conclusie

Inleiding
Met tegenzin schrijf ik deze bijdrage. Ik vind het zonde als mensen tijd verspillen (niet alleen ikzelf) aan weinig- tot nietsbelovende oplossingen, in plaats van aan zinvoller zaken. Het beste dat ik kan doen is dit schrijven, in de hoop dat betrokken beleidsmakers en/of hun adviseurs de risico's van zo'n tracking app tot zich door laten dringen en hun mening bijstellen.
Komend weekend vindt de "appathon" plaats (zie https://www.rijksoverheid.nl/onderwerpen/coronavirus-app/nieuws/2020/04/17/zeven-apps-doen-mee-aan-publieke-test-komend-weekend). Als daaruit volgt dat één of meer van de onderzochte apps veilig is of zijn, wil dat niet zeggen dat tijdens die appathon met alle denkbare risiso's rekening is gehouden!
Daarom, en omdat ik ervaring heb met het opstellen van eisen, met risico-analyses (ook bekend als doemdenken), met ICT security en met schrijven, deze bijdrage. Belangrijk: ik heb mijn best gedaan om zoveel mogelijk doelen, scenario's en risico's te benoemen en daar argumenten voor te geven, maar ook mijn bijdrage zal ongetwijfeld incompleet zijn. Met name waar ik "bijvoorbeeld" o.i.d. schrijf moeten lijstjes niet als uitputtend worden beschouwd. Aanvullingen in commentaren hieronder stel ik dan ook zeer op prijs.

Mogelijke doelen van de Corona tracking app

A) Primaire doel
Het primaire doel is mij onduidelijk. Is dat:
A1) Het terugdringen van het aantal ernstig zieke Corona-patiënten en -doden per tijdseenheid?
A2) Het kunnen loslaten van de eis om 1,5m afstand te houden? Zo ja, moet die app dan gaan aantonen dat we weer terug moeten naar die 1,5m maatschappij (het dus nog te vroeg was om dat los te laten)?
A3) Het ontlasten van GGD's die anders, nadat zij hebben vastgesteld dat je besmettelijk bent geweest, zouden moeten onderzoeken met wie je in contact bent geweest? Dit is m.i. onzin (dus lieg daar niet over). De GGD kan bijv. bij SOA's (Sexueel Overdraagbare Aandoeningen) dit soort onderzoek doen, maar dat is natuurlijk kansloos is als je dichtbij totaal onbekenden in een supermarkt of het OV bent geweest;
A4) Gegeven dat A3 een kulargument is, gaat het om een nieuw experiment waarvan we nog geen idee hebben of het individuen en/of de maatschappij iets gaat opleveren?

Of is er niet echt een primair doel maar moeten we naar de doelen van het installeren van zo'n app hieronder kijken?

B) Het helpt jou als een ander (later) besmettelijk blijkt te zijn
Ik heb verschillende VIP's horen zeggen dat je "het vanzelfsprekend wilt weten als je in de buurt van een besmettelijk persoon geweest bent" - ook als je dat achteraf verneemt. Maar zo vanzelfsprekend is dat niet, want er zijn allerlei omstandigheden te bedenken waarom dat zinloos of zelfs ongewenst is, bijvoorbeeld omdat:
- Je geen idee hebt hoe groot de kans is dat jij, tijdens dat Bluetooth "contact", besmet bent geraakt met Corona;
- Je niets wilt doen met die informatie (bijv. omdat je kind bent, met patiënten werkt of door thuiszitten niks meer verdient);
- Je al Corona hebt gehad en ervan uitgaat dat je immuun bent;
- Voor "groepsimmuniteit" naar verluidt 60% van de mensen Corona moet krijgen en jij dus waarschijnlijk ook;
- Groepsimmuniteit alleen nieuwe epidemiën voorkomt. De kans dat jij Corona krijgt is dus echt groot;
- Je kunt beter nu ziek worden van Corona dan op het moment dat je weer geld kunt verdienen.
Ik denk dat het onverstandig is om burgers met dit argument over te halen de app te gaan gebruiken.

C) Je helpt anderen zodra jij besmet blijkt te zijn
Vooral in combinatie met het volgende punt lijkt mij dit een iets beter argument - zelfs als veel mensen zich er niets van aantrekken, kan het voor sommigen belangrijk zijn om te weten dat zij mogelijk besmet zijn geraakt.
De vraag is tegen welke prijs je dit doet.

D) Het helpt de maatschappij door nieuwe lokale brandhaarden in de kiem te smoren
Ook bij veel false negatives (indien niet verplicht is de kans groot dat een besmettelijk persoon geen smartphone met werkende app bij zich had) en bij veel false positives kan het zo zijn dat er, vroeger of later, iets meer mensen thuis gaan zitten. Dit zou m.i. kunnen werken, maar er kan veel "collateral damage" zijn, d.w.z. mensen die onterecht thuis gaan zitten of juist onterecht denken dat ze niemand besmetten als ze naar buiten gaan. Collateral damage is er nu, alleen landelijk; met zo'n app hopelijk meer gelokaliseerd. Dit werkt natuurlijk minder goed naarmate meer mensen zich verder van huis (c.q. buiten hun woonplaats) gaan begeven; dan kun je m.i. net zo goed de intelligente lockdown continueren.

E) Het helpt wetenschappers begrijpen hoe Corona zich verspreidt
Dit zou er, op termijn, toe kunnen leiden dat de overheid wat beter kan sturen. Maar om dit goed te kunnen doen, zullen die wetenschappers veel meer en minder anonieme informatie willen hebben. Met de huidige beloftes m.b.t. privacy heb ik ernstige bedenkingen bij de mogelijke nut van dit doel.

F) Het helpt de overheid begrijpen hoe Corona zich verspreidt
Dit is wat we in China en Israel zien gebeuren. Met stevige repressieve maatregelen kun je de snelheid waarmee Corona zich verspreidt inperken, maar de "intelligente lockdown" doet dat ook (niet dat we daar heel veel ernstig zieken en doden mee voorkomen, maar wel per tijdseenheid). Dit scenario lijkt mij zeer ongewenst, want dit krijg je moeilijk weg. Sterker, veel (semi-) overheidsinstanties zullen ook "handige" toepassingen hebben voor verzamelde en nog te verzamelen gegevens.

Kortom: zolang de exacte doelen van deze app niet bekend zijn en onduidelijk blijft of die in de loop van de tijd mogen wijzigen, en welke prijs de samenleving en ik persoonlijk betalen door zo'n app te installeren, vind ik bovenstaande doelen vergelijkbaar met koffiedik. Vooral als je een lijst maakt van potentiële risico's waarvan in een deel van de gevallen onduidelijk is of, hoe en hoe lang deze gemitigeerd zullen worden.

Vrijwillig of verplicht
Enkele overwegingen:
- Naarmate een kleiner deel van de mensen die je tegenkomt, die later besmettelijk blijken te zijn geweest, een perfect werkende smartphone + app bij zich hadden, hoe kleiner de kans dat jij weet dat je in de buurt van die persoon bent geweest. Als bijv. maar 50% van die mensen zo'n actieve Corona-tracking app bij zich hebben, lijdt dat tot veel false negatives, wat niet best is voor doel B) hierboven (jij neemt jouw verantwoordelijkheid, maar anderen niet - waardoor derden denken dat ze niet in de buurt van besmettelijke personen geweest zijn, terwijl dat wel het geval kan zijn);

- Als maar weinig mensen (bijv. 10%-20%) zo'n app installeert, neemt voor mensen die later besmettelijk blijken te zijn het risico toe om door anderen te kunnen worden geïdentificeerd (zie doel C) hierboven);

- Ik verwacht een enigszins lineair verband voor doel D): als (de naar verluidt beoogde) 60% van de burgers zo'n app installeert, is een remmend lokaal effect denkbaar. De praktijk zal echter moeten uitwijzen of dit echt zo is;

- Voor de doelen E) en zeker F) is het noodzakelijk dat zoveel mogelijk mensen met zo'n werkende app gaan rondlopen.

Kortom: zolang zo'n app niet verplicht wordt, acht ik doel D) het meest voor de hand liggend, gevolgd door doel C). Zodra de app verplicht wordt kan het doel ervan alle kanten opgaan (en, in de toekomst, worden aangepast).

Risico's - kopjes
1) Onvoldoende verband tussen werkelijke Coronabesmettingen en Bluetooth nabijheidsdetectie
2) Te weinig mensen met goed functionerende tracking app op relevante momenten
3) Bijzondere omstandigheden
4) Aanvallen via Bluetooth
5) Fake apps
6) Misbruik, terreur, gebrek aan toezicht en handhaving
7) Bugs en kinderziektes
8) Privacy
9) Consequenties indien dit project mislukt

Risico's - details
1) Onvoldoende verband tussen werkelijke Coronabesmettingen en Bluetooth nabijheidsdetectie
1A) Onnauwkeurige afstandmeting, bijv. door weersomstandigheden, dichtheid van zenders op ca. 2,4GHz, sterke zenders in de buurt, magnetrons, storingen door schakelende elektrische apparaten of vonkende bougies in benzinemotoren etc.;
1B) Doorlatendheid van Bluetooth door vaste stoffen als kunststof, glas, hout, gipsplaat, gasbeton, steen etc. ("besmet" worden door de buurman omdat zijn smartphone met een muur ertussen, bijv. aan de lader, dichtbij jouw smartphone was);
1C) Belemmering van Bluetooth-signalen op kontzakhoogte (toonbanken, balies);
1D) Belemmering van Bluetooth-signalen door (menselijke) lichamen en/of waterbevattende objecten;
1E) "Onwetendheid" van Bluetooth over mondkapjes, beschermende kleding etc.;
1F) Over grotere afstanden besmet kunnen raken bijv. door druppeltjes die verder zweven dan gevaarlijk wordt geacht;
1G) Richting: de kans dat iemand die in de bus of trein achter jou zit, besmettelijk is en jou infecteert, is waarschijnlijk een stuk groter dan iemand die voor jou zit (Bluetooth "weet" dat niet);
1H) Je smartphone achterlatend bij je vaste PC (bijv. aan de lader) als je op de zaak naar meetings, toilet, koffieautomaat of kantine gaat;
1I) Onzekere (doch vermoede) transmissie van Coronavirussen via oppervlakken en (huis-) dieren.

2) Te weinig mensen met goed functionerende tracking app op relevante momenten
2A) Niet iedereen heeft een geschikte smartphone met geschikte Bluetooth zender/ontvanger;
2B) Mensen kunnen hun smartphone vergeten mee te nemen of vergeten op te laden;
2C) Verschillende Bluetooth toepassingen zouden met elkaar kunnen interfereren;
2D) Mensen die zo'n app niet installeren omdat ze bang zijn thuis om te moeten gaan zitten:
      2D1) Kinderen en jongvolwassenen die sowieso niet of nauwelijks ziek worden;
      2D2) Werkenden die hun inkomsten niet kunnen missen;
      2D3) Werkenden die "onmisbaar zijn op het werk" zoals zorgverleners;
      2D4) Mensen die (denken) Corona gehad te hebben en nu immuun (denken te) zijn.

3) Bijzondere omstandigheden
3A) Op sommige locaties (examens, rekencentra van defensie; in de buurt van gevoelige apparatuur) mag je geen privé smartphone bij je dragen of moet deze op vliegtuigstand staan;
3B) Criminelen, rechercheurs en bijv. hoerenlopers zullen zoveel mogelijk trackingmogelijkheden uitzetten;
3C) Moeten handhavers (BOA's, politieagenten) wel zo'n app installeren, of hoeven zij dat niet indien verder verplicht;
3D) Wat te doen met zorgverleners die mogelijk/waarschijnlijk in de buurt van besmettelijke patiënten komen;
3E) Ziek geworden mensen die weigeren hun data te uploaden naar de centrale server.

4) Aanvallen via Bluetooth
4A) Er zijn ongetwijfeld smartphones in gebruik met kwetsbare Bluetooth chips en/of firmware;
4B) Er zitten waarschijnlijk nog onbekende (of nog niet gepubliceerde) kwetsbaarheden in Bluetooth chips en/of firmware;
4C) Kwetsbaarheden in apps zouden tijdens een "appathon" kunnen worden gevonden, maar dat hoeft niet;
4D) De prijs op de zwarte markt en bedrijven zoals NSO Group voor exploits zal enorm stijgen, en dus de kans daarop;
4E) Bij kwetsbaarheden kunnen wormen niet worden uitgesloten (vooral bij grote aantallen grotendeels identieke devices zoals iPhones en Samsung smartphones).

5) Fake apps en fake news
5A) Minder ervaren mensen zullen via fake e-mails/berichten worden overgehaald om malware te installeren;
5B) Mensen zullen worden afgeperst door cybercriminelen die claimen via deze app informatie van hen te hebben;
5C) Mensen kunnen apps installeren die suggereren goed te werken (bijv. op het moment dat wordt gecontroleerd of gehandhaafd), of om sociale controle (door bijv. ouders, docenten) te omzeilen;
5D) Mensen die iets niet willen (naar de gevangenis, uitgezet worden in vliegtuig) zouden kunnen veinzen dat ze besmettelijk zijn (of daarmee anderen bedreigen, zie 6).

6) Misbruik, terreur, gebrek aan toezicht en handhaving
6A) Als je vermoed dat je besmettelijk bent maar niet wilt dat anderen dit te weten kunnen komen, kun je de smartphone+app van een ander meemenen (evt. SIM wisselen; zelf heb ik 2 smartphones, een nieuwe kopen kan ook);
6B) Als je de autorisatiecode voor het uploaden van "besmet zijn" in handen krijgt, kun je besmettelijkhed veinzen;
6C) Door in je in de nabijheid van concurrenten of andere "vijanden" (politieagenten, gangs) te begeven met een smartphone+app van iemand die waarschijnlijk ziek wordt (of een proxy te gebruiken), kun je mensen onterecht bangmaken;
6D) Door met het bovenstaande te dreigen kun je wellicht mensen en/of bedrijven afpersen;
6E) Met (D)DoS aanvallen op server(s) kun je voorkomen dat apps kunnen opvragen of zij in de buurt van besmettelijke personen zijn geweest en/of voorkomen dat dergelijke gegevens kunnen worden geüpload;
6F) Ballorige jongeren (er zijn er die nu anderen bespugen, zie Opsporing Verzocht van afgelopen disndag) kunnen je extra bang maken door met hun smartphone in de hand vlak bij je te gaan lopen en te zeggen dat jouw app binnenkort zal melden dat je besmet bent;
6G) Door boosters (versterkers), met Bluetooth uitgeruste laptops (met kwaadaardige software erop, bewust of onbewust geïnstalleerd) of jammers kunnen afstanden verkeerd worden ingeschat en/of metingen worden verstoord;
6H) De ingebouwde "anonimiteit" kan opsporing van misbruikers lastig maken;
6I) Indien de app verplicht wordt, zal het handhaven daarvan erg lastig kunnen blijken te zijn.

7) Bugs en kinderziektes
7A) Vooral haastig gemaakte software is de kans op kinderziektes groot, waardoor gebruikers vertrouwen kunnen verliezen;
7B) Bugs en kinderziektes, alsmede in de haast gemaakte fixes daarvoor, kunnen leiden tot kwetsbaarheden (zie punt 4);
7C) De verleiding voor app-makers is gigantisch om, met name na uitrol, middels telemetrie problemen op te kunnen sporen, met alle risico's voor de privacy (zie punt 8);
7D) Een veel voorkomende bug is onvoldoende randomization, wat niet altijd meteen zichtbaar is. Juist bij apps die pretenderen de anonimiteit te waarborgen vormen dergelijke bugs een serieus te nemen risico.

8) Privacy
8A) Apps zullen aan een server vragen, op basis van informatie over via Bluetooth ontvangen ID's, of de eigenaar van de (destijds) zendende smartphone ondertussen ziek is en dus besmettelijk was. Het is m.i. onmogelijk om uit te sluiten dat op dat moment gepresenteerde en reeds op de server aanwezige gegevens niet met elkaar kunnen worden gecorreleerd. Immers, jouw app maakt verbinding met die server en gebruikt daar o.a. een IP-adres voor, waarbij op basis van de uitgewisselde netwerkpakketjes fingerprinting mogelijk is;
8B) De risico's voor 8A) nemen toe zodra op sommige plaatsen meer informatie wordt verzameld (bijv. camerabeelden) en die worden gecombineerd met de reeds centraal beschikbare gegevens. Geeks kunnen dit doen omdat het kan, (semi-) wetenschappers omdat het meer interessante informatie oplevert, en privacy-activisten kunnen allerlei gegevens gaan verzamelen om risico's aan te tonen;
8C) Bijv. winkeliers zouden op strategische plekken trackers (sniffers, loggers) kunnen plaatsen om nauwkeurig te meten waar klanten zich in hun winkel bevinden en hoe zij bewegen. Als je dit een beetje slim doet (bijv. met driehoeksmeting) kan zo'n tracker ook "zien" dat een app van "anonieme" ID wisselt, en toch blijven tracken. Niet alleen winkeliers vinden het interessant om mensen te volgen. Met name indien gecombineerd met andere middelen (Wi-Fi, camera's, gezichtsherkenning) kun je zo meer over mensen te weten komen;
8D) Hoe goed werkt Bluetooth MAC-adres randomization;
8E) Hoe vaak wordt van identifier gewisseld en hoe goed is de randomization daarvan;
8F) Is fingerprinting mogelijk op basis van uitgezonden info via Bluetooth;
8G) Welke informatie wordt via Bluetooth uitgezonden, bijv. op zoek naar bekende devices;
8H) Hoe goed werkt Wi-Fi MAC-adres randomization, en welke SSID's worden uitgezonden;
8I) Iedereen kan een locatielogger hebben draaien en tevens filmen met een verborgen camera;
8J) Deze hype kan ertoe aanzetten dat meer mensen vanalles digitaal gaan vastleggen, het wordt "acceptabeler";
8K) Identificeren kan eenvoudiger worden als je deels met een partner op stap gaat en ofwel één van beide ofwel juist allebei zijn in de buurt van een besmettelijk individu geweest;
8L) Zodra je bevestigd ziek wordt zal jou worden gevraagd om jouw "contactdata" van de afgelopen (2?) weken te uploaden naar een centrale server. Dat maakt correlatie (door mensen met toegang tot de server) van jouw gegevens met die van anderen eenvoudiger;
8M) Adware/malware op smartphones kan via Bluetooth verzamelde gegevens met onaangename partijen delen en mogelijk de uitgezonden informatie beïnvloeden;
8N) Onderzoekers en andere "belangstellenden" zullen data veel langer willen bewaren dan noodzakelijk. Wijzigende inzichten, politieke druk en veranderende omstandigheden leiden vaak tot het besluit om gegevens langer te bewaren. Zelfs als het niet de bedoeling is dat gegevens langer worden bewaard, kunnen geldruikende individuen het heft in eigen hand nemen. Alles wat aan jou gerelateerd kan worden en digitaal wordt vastgelegd, verlaagt jouw anonimiteit en verhoogt de kans op misbruik van die gegevens.

9) Consequenties indien dit project mislukt
9A) Algemeen verlies van vertrouwen in de overheid;
9B) Minder geneigd zijn om op verzoek andere apps te installeren;
9C) Met name beveiligings- en/of privacy-incidenten kunnen een grote negatieve impact hebben.

Conclusie
M.i. zijn er veel te veel onzekerheden om nu, hals over kop, een Corona tracking app zoals voorgesteld in te voeren. Mijn advies is om eerst met een kleinschalige test te beginnen, temeer daar het onduidelijk is:
- wat deze app moet opleveren;
- onzeker is of dat vervolgens ook zal gebeuren;
- de risico's groot zijn als die app functioneel te onbetrouwbaar blijkt en/of er security/privacy-incidenten zullen plaatsvinden.