当阿尔比恩学院宣布将在6月份重新开放时，它表示将采取一些健康措施来帮助减少COVID-19的传播，包括减少授课规模，以及对教职员工和学生进行病毒检测。但正如TechCrunch在一项新的调查中所报道的那样，它还引入了一个强制性的联系人追踪应用程序，存在一些隐私问题。这份报告强调了这些应用程序所面临的问题以及引入这些应用程序的机构，作为一个案例值得一读。

这款名为Aura的应用程序旨在当学生检测出病毒呈阳性时向学校发出警报，并让学生知道何时可能接触到其他感染病毒的人。但Aura并没有像苹果和谷歌的系统那样依靠本地蓝牙接近信号来判断何时发生了联系，而是使用位置数据，这种做法被批评造成了隐私问题。这种做法不仅不利于一般的隐私，还意味着学院可以密切关注学生的去向，并对他们的行动进行限制：

In addition to having to install the app, students were told they are not allowed to leave campus for the duration of the semester without permission over fears that contact with the wider community might bring the virus back to campus.

If a student leaves campus without permission, the app will alert the school, and the student’s ID card will be locked and access to campus buildings will be revoked, according to an email to students, seen by TechCrunch.

调查还发现了其他无意的隐私疏忽。在应用程序的代码中找到了应用程序后端服务器的密钥，允许一名研究人员访问存储在应用程序数据库和云存储中的患者数据。TechCrunch还发现该应用程序生成的二维码存在问题，该二维码用于确认是否有人检测出病毒呈阴性。

Our network ****ysis tool showed that the QR code was not generated on the device but on a hidden part of Aura’s website. The web address that generated the QR code included the Aura user’s account number, which isn’t visible from the app. If we increased or decreased the account number in the web address by a single digit, it generated a QR code for that user’s Aura account.

In other words, because we could see another user’s QR code, we could also see the student’s full name, their COVID-19 test result status and what date the student was certified or denied.

尽管这些最严重的问题已经被该应用的开发者解决了，TechCrunch援引一位安全研究员的话说，他们指出该应用是一个“匆忙的工作”。这一事件引发了对全球其他机构推出的联系人追踪软件的严重质疑，TechCrunch的调查揭示了它可能导致的问题。