美大学强迫学生安装COVID-19检测及定位App

美国各级学校开学、复学在即，Techcrunch报导，为了确保学生做过COVID-19检测，以及提供接触追踪，一所大学强迫学生安装一款稍早还爆发漏洞的App，而且擅自关闭定位追踪者可能遭到处份。

美国当地大专院校即将在疫情方炽中开启新学期，让校方绷紧神经，采取多项防范措施。例如密歇根州的Albion学院规划的新学期，会在8月24日开始，于11月感恩节，而非传统上的圣诞节前夕结束。但该校也要求师生开学当天接受COVID-19抗体检测，并安装名为Aura的App。

这款App具备接触追踪、检测排程、以及出入准许功能，并产生QR code作为出入验证。学生接受过检测后，资料就会喂进App及通知校方。未来学生出入某个场合时，检测为阴性的学生扫描QR code会显示“通过验证”（certified），但检测结果为阳性或尚未检测的学生在扫描QR code时，即会出现“不得进入”（denied）。

此外，若检测阴性的学生和检测阳性的学生有过一段时间的近距离接触后，Aura就会发出警告。但是报导指出，Aura使用的技术，和苹果、Google提供的曝险通知（exposure notification）不同，它会经常存取学生即时位置，校方声称这是接触追踪的必须。

根据媒体拿到的邮件显示，利用定位功能，校方企图监控学生行动。例如校方要求学生不得在未经许可情况下离开校区，以免在外感染回校传染给师生。若擅自离校这款App会通知校方，该生学生证即被锁卡而不得进入校园大楼。

学校还警告若是学生违规关闭定位功能，可能遭到停学或是开除的处分。

此外，报导还指出，这款App还存在可能导致资讯外泄的漏洞。这项漏洞出现在产生QR code的方式。Techcrunch分析发现，产生学生QR code的Aura网址包含Aura用户账号，因此增减账号即可产生不同人的QR code。只要扫描这些QR code即可得知学生的全名、COVID-19检测结果，以及出入验证的日期等资讯。报导推测可能有1.5万名学生资讯可因此外泄。

在媒体通知后，开发该App的厂商已修补漏洞。不过学生家长仍然质疑，密歇根州已经有接触追踪App，这款App根本是画蛇添足。