Как подключить социальный мониторинг на телефон

«Социальный мониторинг» — это мобильное приложение для людей, болеющих коронавирусной инфекцией. Задача программы — отслеживание местоположение жителей российской столицы, проходящих лечение на дому. Амбулаторное лечение получают все пациенты с легкими симптомами заболевания. Приложение заставляет пользователей соблюдать карантин. Нужно находиться дома и регулярно делать селфи. При выходе на улицу телефон отправляет уведомление. В результате гражданин может быть оштрафован. «Социальный мониторинг» помогает сдерживать распространение опасного инфекционного заболевания.

При появлении любых вопросов касательно работы приложения рекомендуется набирать горячую линию.

Принцип работы приложения «Социальный мониторинг»

Пользователь устанавливает программу на мобильное устройство. После первого запуска нужно прикрепить фото, написать адрес и контакты. А также — разрешить определять местоположение по сигналам со спутника. Приложение постоянно отслеживает перемещение пользователя. Люди, проходящие домашнее лечение, не должны покидать собственную квартиру или дом. Систему почти невозможно обмануть. Через определенные периоды времени появляется уведомление.

Нужно сделать фото в домашней обстановке. При этом учитывается местоположение человека. «Забыть» телефон и покинуть дом не получится.

Какие персональные данные отправляет приложение

Пациенты, проходящие амбулаторное лечение от COVID-19, подписывают соглашение на обработку персональных данных. Сюда относится место жительства во время лечения и Ф. И. О. человека. Пользователи «Социального мониторинга» соглашаются на отправку фото и определение местоположения по спутнику. Система обеспечивает высокую конфиденциальность. Персональные данные сохраняются на защищенных серверах. После прохождения лечения информация навсегда уничтожается. Посторонние лица не смогут похитить ваши данные.

В каких регионах используется

Сегодня приложение «Социальный мониторинг» предназначена только для жителей российской столицы. Именно там наблюдается тяжелая эпидемиологическая обстановка. В остальных регионах страны приложение не используется.

В других странах работают аналоги приложения. Например, в КНР запущен проект под названием «Close Contact Detector». Он позволяет убедиться, что человек не имел контактов с больными коронавирусом. В Польше создана программа «Домашний Карантин» для отслеживания местоположения людей, являющихся носителями заболевания.

Штрафы за нарушение правил

Пользователи будут оштрафованы за нарушение правил. Недопустимо:

1. Покидать дом;
2. Отказываться делать фото;
3. Бездействовать в мобильном приложении.

Как обжаловать штраф

Если штраф был выписан необоснованно, вы можете его обжаловать через интернет — без получения официального уведомления. Необходимо иметь документы, доказывающие отсутствие нарушений. К примеру — закрытый больничный или фото с геолокацией. Прикрепите файлы к жалобе.

Второй вариант обжалования штрафа подразумевает отправку письменного обращения. Оно принимается районным судом.

Как посетить больницу без штрафа

Если санитарный врач разрешил вам покидать дом для посещения медицинского учреждения, штраф не будет начислен. Если начисление штрафа произошло, вы можете его оспорить. Для этого отправьте документы, доказывающие посещение больницы.

Установка приложения

Перед использованием программы убедитесь, что устройство отвечает техническим требованиям. Смартфон должен быть подключен к интернету, обладать фронтальной камерой и принимать сообщения СМС. Для установки приложения выполните несколько шагов:

1. Зайдите в магазин приложений. Напишите в поисковой строке название программы — «Социальный мониторинг». Нажмите кнопку «Скачать». Подождите несколько секунд, пока файл загрузится из интернета.
   • Скачать на Андройд
   • Скачать на Айфон.
2. Нажмите кнопку «Открыть». Пройдите регистрацию. Напишите телефон. Вам придет сообщение с секретным кодом. Полученный код введите в мобильном приложении. Проверка пользователя занимает до 1 дня.
3. Сделайте фото своего лица. Нажмите по значку фотоаппарата, расположенного вверху экрана. Перед вами появится изображение с передней камеры. Сделайте снимок при хорошем внешнем освещении.
4. Соблюдайте карантин. Программа будет регулярно напоминать о необходимости делать селфи. Оповещения отправляются через разные промежутки времени. Поэтому пользователи не могут обмануть приложение.

Что делать пациентам без смартфона

Люди, проходящие амбулаторное лечение от коронавируса, могут бесплатно получить смартфон. Устройство выдается временно — до наступления выздоровления. Для получения устройства позвоните по круглосуточному телефону +7 (495) 870 72 96. Скажите свое Ф. И. О. и контактные данные, указанные в договоре на получение амбулаторной медицинской помощи. Сотрудники обработают заявку.

Через время поступит входящий звонок. Уточните время доставки смартфона. После получения устройства установите приложение и напишите личные данные. Не забывайте делать фото после получения уведомлений. После выздоровления верните смартфон городу. Для отправки заявки наберите горячую линию. К вам придет сотрудник и заберет казенное устройство.

Когда можно удалить приложение

После того, как больной соглашается на получение амбулаторного лечения, устанавливается карантин. Его длительность варьируется от 14 до 21 дней. В течение указанного времени пользователь приложения должен соблюдать режим самоизоляции и периодически делать фото в домашней обстановке. Программа удаляется по решению врача или после наступления даты, указанной в документе.

Как подать жалобу

Если был выписан необоснованный штраф или мобильное приложение работает с ошибками, рекомендуется подать жалобу. Можете позвонить по телефону или открыть раздел «Помощь» в программе. Подробно опишите проблему. Добавьте доказательство (например, скриншот). Специалисты устранят неполадку.

Как написать в поддержку

В приложении работает раздел «Помощь». Через него принимаются жалобы на технические проблемы.

Второй способ связи — отправка сообщения на сайте московского правительства. Нажмите кнопку «Обратная связь». Сообщите о проблеме. Укажите подробности найденной неполадки. При необходимости добавьте вложения — например, текстовые или графические файлы. Они помогут специалистам быстрее устранить неисправность. Кликните «Отправить». Вы получите ответ на почту.

Можете отправить сообщение напрямую — по адресу socialmonitoring@mos.ru. Составляйте письмо аналогичным образом.

Горячая линия

Приложение «Социальный мониторинг» разрабатывалась для сдерживания распространения инфекционного заболевания. Пользователи приложения проходят амбулаторное лечение и регулярно отправляют доказательства своего пребывания дома. Программа следит за соблюдением режима самоизоляции.
При появлении вопросов обращайтесь на горячую линию.

+7(495)8707296 — единый телефон поддержки. Позвонить по номеру могут жители Москвы. Сотрудники расскажут, как правильно установить приложение или зарегистрировать учетную запись. Принимаются жалобы и предложения касательно работы сервиса. Горячая линия работает круглые сутки.

Приложение «Социальный мониторинг» разработано для контроля над гражданами, которые обязаны находиться в самоизоляции из-за заражения коронавирусом. Программа разработана мэрией Москвы.

⚖ Законодательные нормы

Приложение «Социальный мониторинг» действует на территории отдельного субъекта (г. Москвы), поэтому опирается на муниципальные законы.

Требование о его установке для самоизолирующихся граждан содержится в указе мэра г. Москвы от 2020 года №12-УМ (пп. 12.4-12.5).

📲 Что такое приложение Социальный мониторинг и зачем оно нужно

Приложение «Социальный мониторинг» создано для контроля за самоизолирующимися гражданами и является одним из мероприятий по нераспространению коронавирусной инфекции.

Суть работы сервиса в следующем: человек, который проходит лечение от коронавируса дома, устанавливает данное приложение на смартфон. Ему предстоит регулярно делать свои фотографии дома, а программа передает его координаты. Это позволяет удостовериться, что человек находится дома и не создает рисков для распространения инфекции.

По статистике один заболевший может заразить до 16 человек. Именно поэтому своевременная изоляция инфицированного и сведение на нет его контактов настолько важны.

Помимо контролирующей функции, приложение также выполняет и карательную: нарушителей самоизоляции привлекают к штрафам и принудительной госпитализации.

📝 Данные, передаваемые пользователем, и их защита

Селфи и персональная информация от самоизолирующихся не передаются в открытый доступ и открыты для узкого круга специалистов из московского правительства. Перечень персональных данных, которые направляются сервису, определены согласием на получение надомной медицинской помощи и персональных данных. В их числе следующие сведения:

• ФИО;
• адрес лечения;
• номер телефона;
• согласие на фотосъемку и предъявление паспорта.

Все данные хранятся на серверах Департамента информационных технологий (ДИТ) в защищенной форме. Обработка персональных данных происходит в соответствии с законом 152-ФЗ «О персональных данных».

👉 Категории лиц, которым нужно установить сервис

Приложение «Социальный мониторинг» позволяет гражданам с легким течением заболевания оставаться в комфортных домашних условиях и избежать постоянных визитов правоохранителей для проверки их местонахождения.

Устанавливать приложение «Социальный мониторинг» должны следующие категории граждан:

• пациенты с диагностированной коронавирусной инфекцией, состояние здоровья которых позволяет лечиться в домашних условиях;
• родственники заболевших, проживающих с ними в одной квартире;
• те, у кого есть подозрения на коронавирус.

К числу «подозрительных» на наличие коронавируса сегодня включают всех граждан с симптомами ОРВИ.

⚡ Кто предписывает устанавливать

Приложение «Социальный мониторинг» устанавливается пользователем на основании предписания врача, диагностировавшего коронавирус или ОРВИ.

Гражданину дают право подписать согласие на получение медицинской помощи и самоизоляцию либо отказаться от подписи и отправится на госпитализацию.

💡 В каких регионах используется

Приложение «Социальный мониторинг» действует на территории Москвы, где самая сложная ситуация с заболеваемостью коронавирусом. В российских регионах оно не внедрялось.

В мире также есть аналоги данного приложения: например, в Китае приложение Close Contact Detector позволяет удостовериться, что человек не находился в тесном контакте с зараженными. Информация из приложения открыта для третьих лиц.

В Польше действует приложение «Домашний карантин»: граждане его могут установить, как альтернативу регулярным проверкам их местонахождения полицией.

👇 Принцип работы

Приложение «Социальный мониторинг» действует на основе двух технологий: системы геолокации и распознавания лиц. В совокупности они позволяют определить, действительно ли человек находится на карантине в указанном месте по GPS-координатам.

Для отслеживания факта, что человек действительно остается дома, а не просто оставил телефон на столе и ушел гулять, приложение отправляет запросы на получение селфи в случайное время (через пуш-уведомления).

Селфи нужно отправить в течение часа после запроса приложения. Раньше такое требование могло поступить и ночью, но после многочисленных жалоб от граждан селфи могут запрашивать только в период с 9 утра до 22 вечера.

Как установить

Для установки приложения «Социальный мониторинг» оно бесплатно скачивается  в AppStore или Google Play. Затем гражданину необходимо пройти регистрацию в телефоне:

• прикрепить фото;
• указать номер телефона;
• местоположение (соответствующее адресу, указанному при принятии решения о надомном лечении);
• поделиться геолокацией.

✨ Обязательно ли устанавливать и когда это нужно сделать

Власти Москвы подчеркивают, что установка «Социального мониторинга» – это обязательная мера на период действия режима повышенной готовности. Но у тех, кто против установки, есть альтернатива: поехать в специализированное медицинское учреждение для прохождения лечения.

Приложение необходимо установить в течение 24 часов после получения предписания от врача, иначе пользователю грозят санкции. Штраф в размере 4000 р. выписывают лицам, которые расписались в документах и дали согласие на самоизоляцию, но затем не установили приложение в течение суток.

Мнение правоохранительных организаций по вопросу обязательной установки приложения расходится с позицией московских властей. Правоохранители заявляют, что граждане действительно обязаны соблюдать самоизоляцию. Но устанавливать какое-либо приложение могут по желанию и привлечение к ответственности за отсутствие программы на смартфоне – противозаконно.

⭐ Что делать, если нет смартфона

В практике работы сервиса был случай, когда лежачей больной с коронавирусом выписали два штрафа на 4000 р. за то, что она не смогла установить на свой телефон приложение. Значит ли это, что для граждан без смартфона ситуация безвыходная и им предстоит оплачивать штрафы?

Если у гражданина нет смартфона либо его телефон не поддерживает приложение, то такому гражданину городские власти предоставят смартфон на период лечения. После окончания самоизоляции аппарат предстоит вернуть.

Кстати, штрафы лежачему инвалиду после проверки аннулировали.

❌ Когда можно удалить

После истечения срока обязательного карантина или полного выздоровления приложение беспрепятственно удаляется. На возможность удаления программы с телефона указывают пояснения мэрии.

Дату удаления приложения можно уточнить в предписании о соблюдении карантина.

❗ Ответственность за нарушение режима и отправки необходимых сведений

Если гражданина заподозрят в нарушении режима самоизоляции, то ему грозит штраф. Ответственность предусмотрена в Административном кодексе Москвы. Штрафные санкции, согласно ч. 2 ст. 3.18.1, составляют 4000 р.

Наказание грозит в следующих случаях:

1. Гражданин не отправил селфи в установленные сроки.
2. Он отправил фото другого человека и не прошел идентификацию в системе распознавания лиц.

Избежать ответственности можно, если лицу срочно потребовалась медицинская помощь: госпитализация или компьютерная томография (КТ). Сообщать об обращении к специалистам не нужно: к городским службам такие данные поступят по каналам межведомственного обмена.

Неболеющему родственнику лица с ОРВИ (не с подтвержденным коронавирусом, а с признаками инфекционного заболевания) разрешено ненадолго покидать квартиру: выгулять собаку, сходить в ближайший магазин или аптеку. Но если он сильно отдалится от дома, что зафиксирует смартфон, то получит штраф.

Согласно позиции Верховного суда, привлекать граждан к ответственности за нарушение местных законов о самоизоляции нужно на основании ст. 20.6.1 федерального Кодекса об административных правонарушениях (КоАП), а не местного КоАП Москвы.

Кодексы отличаются порядком применения ответственности:

1. Согласно федеральному КоАП, при первичном нарушении граждане могут отделаться предупреждением за нарушение самоизоляции. Повторное нарушение грозит штрафом в 1000 р. (вплоть до 30000 р.). Московский кодекс предусматривает только одну санкцию – штраф в 4000 р.
2. По федеральному КоАП штрафы выписывают суды, а не местные чиновники.

Применение федерального КоАП будет более выгодным, так как в его рамках можно получить не реальный денежный штраф, а только предупреждение. Также к рассмотрению вопроса будут привлекаться суды, что сделает решения о привлечении к ответственности более обоснованными.

🔔 Что делать в случае, если режим не был нарушен, а штраф все же пришел

За время действия приложения пользователи неоднократно жаловались на некорректно выписанные штрафы в их адрес. Например, люди не покидали своего дома и регулярно отправляли селфи, но все равно получали уведомления о штрафах.

По отзывам пользователей, среди распространенных причин необоснованного привлечения к административной ответственности можно выделить такие:

1. Пользователь уведомил власти об отсутствии телефона для работы с приложением, но аппарат так и не привезли, а штраф назначили.
2. Штраф выписали за то, что человек не сделал селфи в ночное время.
3. Штраф выписали по причине некорректной работы приложения «Социальный мониторинг»: не загружалось селфи, не отправлялось фото и пр.
4. Лицо не подписывало согласий на лечение на дому, у него нет симптомов ОРВИ, не диагностирован коронавирус и не было контактов с зараженными, но ему выписали штраф.
5. Гражданина привлекли к ответственности за то, что он покинул пределы дома, хотя причиной стала потребность в медицинской помощи.
6. Постановление об административной ответственности содержит некорректные данные гражданина.

Совокупная сумма штрафов в период пользования приложением на одного человека могла превышать 70000 р.

Некоторое время граждане были лишены возможности обжаловать факт привлечения к административной ответственности, так как работа судебной системы была фактически парализована. Сегодня можно пожаловаться на незаконные штрафы дистанционно. Но даже если гражданин не успел пожаловаться на выписанные санкции из-за коронавирусных ограничений, то сроки для передачи заявления можно восстановить.

О том, что лицо привлекли к административной ответственности за нарушение режима самоизоляции, можно узнать из информации на портале Госуслуги или mos.ru. Обжалование незаконных штрафов допускается в судебном порядке или онлайн на специальном ресурсе от Правительства Москвы.

Дистанционная передача жалоб позволяет гражданам без нарушения самоизоляции отстаивать свои права.

В онлайн-жалобе необходимо кратко обрисовать ситуацию и аргументировать свою позицию: почему гражданин считает штрафы противозаконными и почему их необходимо аннулировать. К тексту прилагаются подтверждающие документы (их комплект будет зависеть от специфики ситуации):

• паспорт;
• постановление врача или согласие на надомное лечение;
• постановление о вынесении штрафа, скрин начисления по уникальному идентификатору начисления (УИН), дата и номер постановления;
• скрины технических сбоев и некорректной работы приложения;
• копия обращения в ДИТ (если имело место);
• прочие документы, имеющие значение для изложенных обстоятельств (справка из больницы, запись на прием к врачу и пр.).

Московские власти пообещали аннулировать все противоправные штрафы. В частности, уже было отменено около 500 «ночных штрафов» (за отсутствие селфи в период с 10 вечера).

Если гражданин добросовестно соблюдал режим самоизоляции, но получил штраф по причине сбоя в работе приложения или по иным причинам, его можно обжаловать через суд. Порядок обжалования, сроки и наименование суда для подачи жалобы указываются в постановлении о привлечении к административной ответственности.

В тексте жалобы для защиты своей позиции можно указать на следующие обстоятельства:

1. Доказательства совершенного правонарушения получены при нарушении конституционного права не свидетельствовать против себя.
2. Постановление было вынесено лицом, не наделенным на это полномочиями.
3. Некорректно прописана статья КоАП, которая применяется в данном случае.

По состоянию на конец мая в Мосгорсуд поступило 1820 жалоб на выписанные штрафы в приложении «Социальный мониторинг».

👍 Плюсы и минусы сервиса. Нарушаются ли гражданские права?

Преимуществами реализации проекта «Социальный мониторинг» являются:

1. Благодаря приложению, у граждан появляется возможность оставаться дома в комфортных условиях, а не лежать в коронавирусном госпитале.
2. Приложение позволяет контролировать рост заболеваемости. Дополнительный контроль за носителями вируса достаточно важен, так как позволяет остановить распространение инфекции. Практика показывает, что надеяться в данном вопросе только на самосознательность граждан не стоит. Без штрафных санкций и контроля не все добросовестно исполняют требования самоизоляции.

Хотя идея приложения достаточно хорошая, на практике его реализация столкнулась с рядом недостатков. Минусами работы приложения являются:

• необоснованные штрафы;
• некорректная работа приложения;
• незащищенность персональных данных граждан.

Многие граждане испытывают серьезный психологический дискомфорт, опасаясь пропустить отправку селфи, и целый день проводят на «телефоне».

Что касается правомерности внедрения подобного приложения, то это вопрос спорный:

1. С одной стороны, Правительство вправе ограничивать свободы граждан при распространении эпидемии, если оно руководствуется соображениями жизни и здоровья людей.
2. С другой стороны, юристы сомневаются в том, что граждан наказывают за отсутствие селфи на законных основаниях. В КоАП подчеркивается, что гражданина привлекают к административной ответственности только после его фиксации камерой, работающей в автоматическом режиме. Отсутствие селфи не является фиксацией нарушения и не является доказательством нарушения самоизоляции.

Также неоднозначна позиция по вопросу обязательной установки приложения. С учетом конституционных норм человек может как согласиться на работу с приложением, так и отказаться от него. Таким правом наделяет его ст. 51 Конституции. Здесь сказано, что человек не обязан свидетельствовать против себя. Отправку селфи можно рассматривать, как такое свидетельство, потому что оно может быть только добровольным.

❓ Часто задаваемые вопросы

Приложение «Социальный мониторинг»: анализ траффика

Началось все с прилета в Москву. Как и положено, я сдал необходимый ПЦР тест на ковид, дождался отрицательного результата, залил его на Госуслуги и… решил, что на этом мои московские приключения закончились. Но все оказалось не так просто. Ко мне внезапно пришел врач. И вручил постановление, что 2 недели я обязан сидеть дома в карантине, так как в самолете со мной летел один зараженный. Про приложение «Социальный мониторинг» я много слышал и даже читал статью на Хабре, где люди покопались в его бета-версии. Ну а какой же исследователь не соблазнится покопаться в таком интересном приложении?

Скажу сразу, моей целью не было обмануть систему или сбежать из карантина. Свои 2 недели я честно просидел дома. Ну хорошо, пару раз выходил в ближайший магазин за пивом. Целью было посмотреть, что о нас знает эта система и насколько правдивы некоторые высказывания ее авторов. Сначала я занялся сбором предварительной информации. Выяснил примерно следующее:

1. Приложение написано на основе программы трекера мусоровозов. Чему я не нашел вменяемых подтверждений, да и копание во внутренностях программы тоже ничего подобного не подтвердило.
2. Бета версия была никак не защищена, ее декомпилировали и выложили на github. Впрочем, с гитхаба ее убрали по требованию правообладателя.
3. Бета версия передавала фотки на сервер в Эстонии для использования сервиса распознавания лиц.
4. Дальше я прочитал высказывание главы ДИТ Эдуарда Лысенко, который сказал следующее: «Руководитель ДИТ Москвы категорически опроверг информацию, что приложение передаёт фотографии на сторонний сервер: «На самом деле, ничего никуда не передаётся, — заявил он. — Во-первых, не передаются никакие фотографии в принципе. Во-вторых, тот код биометрический, который появляется, он попадает исключительно на сервера ДИТа.» Здесь мне уже стало интересно, как это фотки не передаются в принципе. Неужели они преобразуются в биометрический код прямо на смартфоне?
5. Новая версия программы сильно обфусцирована и теперь практически невозможно ее анализировать.

Дальше собрал слухи от друзей-знакомых:

1. На самом деле передается не одна фотка, а серия фоток. Это сделано для того, чтобы было невозможно сфоткать свою бумажную фотку. Или даже видео передается.
2. Если приложение перестало запрашивать фотки, карантин закончился.

«Живое» приложение я честно поставил на айфон и не планировал в него вообще лезть. Айфона, на который можно поставить jailbreak у меня с собой не было, но зато был рутованный Андроид. С него я и начал. К слову, на рутованном Андроиде приложение не запускается. Обфускация Java кода выглядит забавно. Переименованы все переменные и названия функций. Но, пройдя по цепочке, мы попадаем на вполне читабельный кусок кода. Примерно, как ходить по листингу дизассемблера, только в конце сюрприз. Я бы потратил минимум пару дней, копаясь в этом коде, но внезапно придумалось более простое решение. А что, если… они доверяют ОС проверку SSL сертификатов? По работе мне иногда приходится реверсить протоколы Apple, Google, Whatsapp и многие другие. Почти во всех системах корневые сертификаты прошиты внутри программы, что сильно затрудняет анализ траффика.

Ставлю на Макбук mitmproxy, очень удобный анализатор траффика с минимумом настроек. Скачиваю их корневой сертификат, добавляю на айфон профиль – и вот оно! Весь траффик программы мы видим, как на ладони.

Регистрация приложения

Установить и зарегистрировать приложение нужно в течение суток от начала карантина. По этому поводу приходит SMS-ка. Раньше это делать бессмысленно, просто телефон не найдется в базе. Вот так выглядит запрос на регистрацию:

<b>2020-09-12 17:48:03 POST https://sm-a-a90ae4b5a.mos.ru/api/covid/device/password HTTP/2.0                             
                         ← 200 application/json 82b 156ms
{
    "deviceId": "2FFA9DB6-4900-4973-B1AE-BA5874BEXXXX",
    "phone": "7925xxxyyzz"
}</b>

В ответ мы всегда получаем “200 OK” и ничего более. Если телефон есть в базе, придет SMS-ка с кодом, который нужно ввести в приложение. Если телефона в базе нет, просто ничего не придет. В deviceId передается UDID айфона. К этому идентификатору все привязано. Если сломается айфон и мы поднимем новый из бекапа, приложение работать не будет. И будет штраф, с которым непонятно, как разбираться. Здесь и далее приватные данные будут полностью или частично заменяться на “XXYYZZ”.

Передача координат

Дальше я набрался смелости и подключил через mitmproxy «живой» телефон. Каждые минут 5-10, а также при запуске приложения, делается вот такой запрос:

2020-09-12 17:56:32 POST https://sm-a-a90ae4b5a.mos.ru/api/covid/device/60B1A8A1-2AD9-447C-BB25-91YYYYY19C6E/message  
                         HTTP/2.0                                                                                     
                         ← 200 application/json 83b 84ms
                         
[
    {
        "accuracy": 65,
        "battery_level": 68,
        "charge": false,
        "datetime": "2020-09-12T14:56:32Z",
        "device_model": "iPhone 11 Pro",
        "indoorNavigation": {
            "bluetoothDevices": [],
            "wifiDevices": [
                {
                    "name": "wifi-XXX",
                    "rssi": 0
                }
            ]
        },
        "install_datetime": "2020-09-08T07:57:11Z",
        "lat": 55.XXZZZ732239728,
        "locationDatetime": "2020-09-12T14:56:31Z",
        "locationStatus": {
            "gps": true,
            "isPermissionGranted": true,
            "network": true,
            "passive": true
        },
        "lon": 37.YYZZZ270607305,
        "os_version": "iOS 13.7.0",
        "version_ext": "1.7 (127)"
    }
]

Здесь мы опять же видим deviceId, он другой, первый запрос я делал с айпада.

accuracy – точность определения координат, не знаю, в каких единицах
battery_level – уровень заряда батарейки. Интересно, зачем он ДИТ-у?
charge – стоит ли телефон на зарядке. Тоже непонятно, зачем передается.
datetime – текущая дата и время. Возможно используется, чтобы нельзя было «подкрутить» время на устройстве.
device_model – модель телефона. Ну мне не жалко, если об этом узнает ДИТ.
indoorNavigation – довольно интересно. Здесь список известных wifi сетей, по которым можно определить координату. Но при этом не передается BSSID, что делает эту информацию абсолютно бесполезной. По имени сети координаты не определить.
install_datetime – может использоваться для защиты от эмуляции этих запросов. Хотя эту информацию можно при желании получить и довольно несложно.
lat, lon – собственно, координаты
location_status – включен ли GPS и разрешено ли программе пользоваться им в фоне. А если нет, будет штраф.
os_version – версия iOS
version_ext – не разбирался, возможно, версия самого приложения

Передача селфи

Начинается самое интересное. Сниффим траффик в момент передачи сделанного селфи. Итак, где же наши биометрические хеши и видео? А вот что происходит на самом деле:

<b>2020-09-12 18:00:15 POST https://sm-a-a90ae4b5a.mos.ru/api/covid/device/60B1A8A1-2AD9-447C-BB25-91YYYYY9C6E/photo    
                         HTTP/2.0                                                                                     
                         ← 200 application/json 39b 301ms
                Request                                 Response                                  Detail
:authority:       sm-a-a90ae4b5a.mos.ru                                                                               
content-type:     multipart/form-data; boundary=alamofire.boundary.04b478f466f0605d                                   
accept:           */*                                                                                                 
shard:            6                                                                                                   
authorization:    Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJleHAiOjE1OTk1NjYzMjl9.iq-noX2tu13tr4ut7sBWpgWl77sELkT
                  kXCdODK9yvL8                                                                                        
֞ostype:           iOS                                                                                                 
accept-language:  en-RU;q=1.0, ru-RU;q=0.9, cs-RU;q=0.8                                                               
accept-encoding:  br;q=1.0, gzip;q=0.9, deflate;q=0.8                                                                 
versionext:       1.7 (127)                                                                                           
content-length:   378238                                                                                              
֘user-agent:                                                                                                           
cookie:           session-cookie=163402e73a984c296450ad1fdcb1815835321af39172a2bef8658e48071941dc73acdb9d1d976170d2ef9
                  70da45f5c87                                                                                         
Multipart form                                                                                                  [m:auto]
҅Form data:

photo: ����..JFIF.....�.�..��.�Exif..MM.*.............................J...........R.(..........�i.........Z.......�.....</b>

Ну все понятно, да? Эта часть защищена чуть сильнее, в запросе еще фигурирует Bearer токен, по которому организована авторизация. Момент получения токена я не отсниффил, возможно, токен приходит при запросе на селфи. Уходит ровно одна фотка. Где же ваш биометрический хеш, господин Лысенко?

Запрос статуса и снятие карантина

Кроме передачи координат приложение еще регулярно делает запрос статуса. Кстати, возможно, что при запросе статуса и приходит запрос сделать селфи. Когда приложение перестало у меня запрашивать селфи, я ради интереса отсниффил запрос статуса:

<b>2020-09-18 13:28:13 GET https://sm-a-a90ae4b5a.mos.ru/api/covid/device/60B1A8A1-2AD9-447C-BB25-91XXXXX19C6E/status    
                        HTTP/2.0                                                                                      
                        ← 200 application/json 317b 181ms

{
    "code": 0,
    "io": "АНДРЕЙ ЕВГЕНЬЕВИЧ М.",
    "last_android_version": "1.1.1",
    "last_ios_version": "1.0",
    "message": "Все отлично! Уведомление о необходимости отправить фотографию придет в СМС-сообщении",
    "quarantine": null,
    "status": "active"
}</b>

Самое интересное в ответе сервера – это “quarantine: null”. Это означает, что карантин закончился. Но приложение вам об этом не говорит. Более того, в message они все еще обещают запрашивать селфи. И статус все равно активный. И координаты… ну конечно же приложение продолжает слать координаты устройства на сервер ДИТ! Поэтому удаляйте приложение сразу же по окончании карантина.

Что можно сделать

Из написанного очевидно, что можно написать скрипт, который будет эмулировать работу приложения и отсылать все нужные данные. Написание затрудняется тем, что в процессе тестирования можно легко схватить штраф. В первую очередь, нужно до конца отсниффить весь процесс регистрации, в том числе, в момент получения SMS-ки с кодом. Разобраться с Bearer аутентификацией и другими мелочами. Вполне возможно, что анализируют EXIF записи фоток. В которых есть точное время, а также могут быть координаты. Поэтому решением будет наделать много разных фоток заранее, а EXIF править уже на ходу перед отсылкой.

Ну и в заключении хочу сказать, что ни в коем случае не призываю кого-либо нарушать карантин, особенно при положительном тесте на коронавирус. Это лишь анализ системы и небольшой камушек в огород ДИТ, которые любят делать странные публичные заявления. Не болейте!