Portpass verifizierte einen gefälschten Impfnachweis und brach dann vor einem Flames-Spiel zusammen

Eine App aus Calgary zum Speichern und Teilen von COVID-19-Impfnachweisen und Testergebnissen mit Veranstaltungsorten und Arbeitgebern.

Dass eine private App, nicht ein staatliches System, zu Albertas de facto-Impfnachweis werden könnte – wobei „KI und Blockchain“ ihre Nachweise vertrauenswürdig und fälschungssicher machen sollten.

Der Calgaryer Gründer und CEO Zakir Hussein baute Portpass als private App zum Nachweis der Impfung, während die Provinz noch keinen digitalen Nachweis hatte, und die Calgary Sports and Entertainment Corporation empfahl sie für Spiele der Flames und Stampeders.

Der lokale Webentwickler Conrad Yeung lud das Foto eines beliebigen Bürgermeisterkandidaten als seinen Führerschein hoch, dann einen gefälschten Impfnachweis mit dem Namen eines Schauspielers – Portpass verifizierte ihn als legitim. Yeung fand keine Validierung von Sicherheitszertifikaten, ein öffentlich erreichbares Backend, Daten, die in einem Amazon-Rechenzentrum in Ohio gehostet wurden, obwohl die Website behauptete, die Daten blieben in Kanada, und keine Belege für die beworbene KI und Blockchain. Der genannte Partner der App, das Canadian Digital Health Network, verwies auf Portpass selbst zurück und lieferte 404-Seiten. Als CBC Hussein anrief, legte er mitten im Interview auf und reagierte nicht auf Nachfragen.

Die zentrale Verifizierungsfunktion verifizierte nicht: gefälschte Ausweise und fabrizierte Nachweise wurden als legitim akzeptiert.

Ihre Sicherheitsversprechen – kanadischer Datenstandort, KI- und Blockchain-Prüfungen – wurden durch das tatsächlich Gehostete und Ausgelieferte widerlegt.

Die Glaubwürdigkeit der App stützte sich auf einen namentlich genannten Gesundheitsnetzwerk-Partner, dessen eigene Website auf Portpass zurückverwies und tote Links auslieferte.

Der CEO brach ein aufgezeichnetes Interview ab, als er mit den Erkenntnissen konfrontiert wurde, und das Unternehmen verstummte, als die App öffentlich versagte.

Es setzte seine Verbreitung auf die Empfehlung eines Veranstaltungsbetreibers, ohne die Zuverlässigkeit zu haben, eine einzige Spieltagslast zu überstehen.

Technologien zu beanspruchen, die man nicht ausgeliefert hat – KI, Blockchain, lokaler Datenstandort –, bricht in dem Moment zusammen, in dem ein neugieriger Nutzer unter die Haube schaut; das Logo eines Vertriebspartners ist keine Sorgfaltsprüfung.

Innerhalb von Stunden nach dem Anruf von CBC sahen Nutzer einen grauen Bildschirm mit der Anzeige „undefined undefined“ statt eines Namens. Weniger als zwei Stunden vor dem Vorbereitungsspiel der Flames am 26. September 2021 twitterte das Unternehmen, es habe „technische Schwierigkeiten“, und forderte Ticketinhaber auf, gedruckte Nachweise mitzubringen; Fans berichteten, sie seien vor dem Saddledome festgesteckt. Yeung sagte, er habe danach einen Anruf von jemandem erhalten, der sich als Polizeibeamter ausgab und ihn wegen seiner „Spam-Tweets“ ansprach und dabei eine Dienstnummer nannte, die es laut der Polizei von Calgary nicht gab. Portpass reagierte nicht auf weitere Anfragen nach einer Stellungnahme.