Penetration Test Report (Secura): Coronamelder REPORT v1.0

Source Code Review
CoronaMelder, Android and iOS application
commissionedby
Ministerie van Volksgezondheid, Welzijn en
Sport
MinVWS-Coronamelder-REPORT-v(cid:372).(cid:371).pdf
BenBrücker,BSc.OSCP,GXPN,SEPP
RalphMoonen,CISSP
TimHemel, MSc.
TomTervoort,MSc.
MatthijsKoot,Ph.D.
YuriiBilyk,CEH
DaveWurtz,OSCP,OSCE
Version(cid:372).(cid:371)
CONFIDENTIAL
(cid:372)(cid:380)August(cid:373)(cid:371)(cid:373)(cid:371)
SecuraBV
Vestdijk(cid:376)(cid:380) Karspeldreef(cid:379)
(cid:376)(cid:377)(cid:372)(cid:372)CAEINDHOVEN (cid:372)(cid:372)(cid:371)(cid:372)CJAMSTERDAM
TheNetherlands TheNetherlands
T +(cid:374)(cid:372)((cid:371))(cid:375)(cid:371)(cid:373)(cid:374)(cid:378)(cid:378)(cid:380)(cid:380)(cid:371)
E info@secura.com
W https://www.secura.com
CONFIDENTIAL
DOCUMENT MANAGEMENT
Reviewers
Name Function Date Version
MatthijsKoot SecuritySpecialist (cid:373)(cid:371)(cid:373)(cid:371)-(cid:371)(cid:379)-(cid:372)(cid:380) (cid:371).(cid:372)
RalphMoonen TechnicalDirector (cid:373)(cid:371)(cid:373)(cid:371)-(cid:371)(cid:379)-(cid:372)(cid:380) (cid:372).(cid:371)
Changes
Version Date Initials Changes
(cid:371).(cid:372) (cid:373)(cid:371)(cid:373)(cid:371)-(cid:371)(cid:379)-(cid:372)(cid:380) BB Initialversion
(cid:372).(cid:371) (cid:373)(cid:371)(cid:373)(cid:371)-(cid:371)(cid:379)-(cid:372)(cid:380) BB Internallyreviewedfinalversion
©SecuraBV,(cid:373)(cid:371)(cid:373)(cid:371) iii
CONFIDENTIAL
CONTENTS
(cid:372) ManagementSummary (cid:372)
(cid:372).(cid:372) Resultsofthereview . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . (cid:372)
(cid:372).(cid:373) Recommendations . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . (cid:372)
(cid:372).(cid:374) Conclusion . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . (cid:373)
(cid:372).(cid:375) Limitationsoftheassessment . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . (cid:373)
(cid:372).(cid:376) FinalNotes . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . (cid:373)
(cid:373) TechnicalSummary (cid:374)
(cid:373).(cid:372) Researchquestions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . (cid:374)
(cid:373).(cid:372).(cid:372) Requirementswithinconsistencies . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . (cid:374)
(cid:373).(cid:372).(cid:373) Mappingofrequirements . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . (cid:375)
(cid:373).(cid:373) MostImportantFindings . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . (cid:376)
(cid:373).(cid:374) OverviewofFindings . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . (cid:378)
(cid:374) DescriptionoftheEngagement (cid:380)
(cid:374).(cid:372) ScopeoftheAssessment . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . (cid:380)
(cid:374).(cid:373) InformationProvided . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . (cid:380)
(cid:374).(cid:374) GoaloftheAssessment . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . (cid:380)
(cid:374).(cid:375) Reporting . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . (cid:372)(cid:371)
(cid:374).(cid:376) Approach . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . (cid:372)(cid:371)
(cid:374).(cid:377) Limitations . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . (cid:372)(cid:371)
(cid:375) ApplicationAssessment (cid:372)(cid:372)
(cid:375).(cid:372) Applicationversion . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . (cid:372)(cid:372)
(cid:375).(cid:373) Researchquestions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . (cid:372)(cid:372)
(cid:375).(cid:374) U(cid:372)(cid:374)-Datacollection. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . (cid:372)(cid:373)
(cid:375).(cid:374).(cid:372) iOS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . (cid:372)(cid:373)
(cid:375).(cid:374).(cid:373) Android . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . (cid:372)(cid:375)
(cid:375).(cid:375) F(cid:374)-Anonymouscontactcodes . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . (cid:372)(cid:377)
(cid:375).(cid:376) F(cid:375)-Secureuninstallation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . (cid:372)(cid:377)
(cid:375).(cid:376).(cid:372) iOS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . (cid:372)(cid:377)
(cid:375).(cid:376).(cid:373) Android . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . (cid:372)(cid:377)
(cid:375).(cid:377) F(cid:376)-Temporarydisablingtheapplication . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . (cid:372)(cid:379)
(cid:375).(cid:377).(cid:372) SubmissionofDecoyswhileapplicationisdisabled . . . . . . . . . . . . . . . . . . . . . . . . . . (cid:373)(cid:373)
(cid:375).(cid:378) F(cid:377)-Collectionofanonymouscontactcodes . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . (cid:373)(cid:374)
(cid:375).(cid:379) F(cid:378)-Centralconfiguration . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . (cid:373)(cid:374)
(cid:375).(cid:379).(cid:372) iOS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . (cid:373)(cid:374)
(cid:375).(cid:379).(cid:373) Android . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . (cid:373)(cid:375)
(cid:375).(cid:380) F(cid:379)-Removalofolddata . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . (cid:373)(cid:375)
(cid:375).(cid:380).(cid:372) iOS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . (cid:373)(cid:375)
(cid:375).(cid:380).(cid:373) RemovalofexposureTEKs . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . (cid:373)(cid:377)
(cid:375).(cid:380).(cid:374) Android . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . (cid:373)(cid:377)
(cid:375).(cid:380).(cid:375) Conclusion . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . (cid:373)(cid:380)
(cid:375).(cid:372)(cid:371) F(cid:380)-Collectionofcontactcodes . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . (cid:374)(cid:371)
(cid:375).(cid:372)(cid:371).(cid:372) iOS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . (cid:374)(cid:371)
(cid:375).(cid:372)(cid:371).(cid:373) Android . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . (cid:374)(cid:371)
(cid:375).(cid:372)(cid:372) F(cid:372)(cid:371)-Centralconfiguration . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . (cid:374)(cid:371)
(cid:375).(cid:372)(cid:372).(cid:372) iOS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . (cid:374)(cid:371)
©SecuraBV,(cid:373)(cid:371)(cid:373)(cid:371) iv
CONFIDENTIAL
(cid:375).(cid:372)(cid:372).(cid:373) Android . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . (cid:374)(cid:372)
(cid:375).(cid:372)(cid:373) F(cid:372)(cid:372)-Automaticexposuredetectionbasedonconfiguration . . . . .