Evropská komise ve středu představila mobilní aplikaci(nové okno) navrženou tak, aby lidem umožnila prokázat svůj věk online bez sdílení osobních údajů s platformami. Představitelé EU uvedli, že aplikace je připravena, splňuje nejvyšší standardy ochrany soukromí a jako důkaz transparentnosti poukázali na její otevřený zdrojový kód.
Během několika hodin však začali bezpečnostní experti otevřený zdrojový kód zkoumat. Do čtvrtka se bezpečnostnímu konzultantovi Paulu Mooreovi podařilo obejít ochranu aplikace za méně než dvě minuty(nové okno).
Ostatní jeho zjištění potvrdili. Ovládací prvky pro omezení rychlosti aplikace byly uloženy v upravitelném souboru, biometrické ověření bylo možné vypnout jednoduchou změnou konfigurace a citlivé přihlašovací údaje byly přístupné bez zabezpečené hardwarové ochrany.
Komise tato zjištění zlehčovala a označila vydanou verzi za demo. Moore i francouzský kryptograf Olivier Blazy to odmítli a sdělili serveru Politico(nové okno), že v době, kdy tyto chyby našli, testovali nejnovější verzi kódu.
Později Komise uvedla, že problém byl vyřešen, nicméně incident stále ukazuje, jak jsou tyto systémy pro ověřování věku zranitelné.
Co aplikace EU pro ověřování věku dělá a co se pokazilo
Aplikace EU pro ověřování věku umožňuje lidem ověřit svůj věk pomocí pasu, občanského průkazu nebo důvěryhodného poskytovatele, jako je banka. Platformy pak mohou aplikaci požádat o ověření, zda je osoba starší určitého věku, aniž by přistupovaly k základním osobním údajům, což je také známé jako důkaz s nulovou znalostí.
Samotná implementace však tento záměr podkopala. Aplikace EU pro ověřování věku měla uložený šifrovaný PIN v upravitelném konfiguračním souboru v zařízení, odděleně od trezoru identity, který uchovává citlivé údaje. Smazáním několika hodnot a restartováním aplikace může útočník nastavit nový PIN a zároveň znovu použít přihlašovací údaje z předchozího profilu.
Ovládací prvky pro omezení rychlosti, které zabraňují opakovanému hádání, byly uloženy jako jednoduché počítadlo ve stejném souboru, které lze vyresetovat na nulu a vymazat tak veškeré záznamy o neúspěšných pokusech. Biometrické ověření bylo ovládáno jediným logickým příznakem; jeho přepnutím z „true“ na „false“ bylo možné kontrolu zcela přeskočit.
Vytvořeno k ověřování věku, ale ne bezpečně
Poté, co výzkumníci využili kód k odhalení jeho nedostatků, představitelé aplikaci překlasifikovali na demo verzi.
Několik vývojářů poznamenalo, že citlivé údaje měly být uloženy v zabezpečené enklávě – hardwarové ochraně dostupné v moderních chytrých telefonech, která tyto útoky výrazně ztěžuje.
Tyto zranitelnosti však odhalují problém, který přesahuje rámec této konkrétní aplikace. Ověřování věku není bezpečné již ze své podstaty, protože vyžaduje propojení skutečné identity s online aktivitou. Toto spojení musí být někde uloženo, byť jen krátce, a kdekoli se nachází, stává se terčem pro hackery, vlády a kohokoli, kdo získá neoprávněný přístup k podkladovým datům. Čím centralizovanější a opakovaně použitelnější toto propojení je, tím větší je i samotný cíl.
Zákon EU o ověřování věku má být jednotným standardem chránícím soukromí, který nahradí právní změť vznikající v členských státech, ale důvěra Komise v připravenost aplikace se ukázala jako předčasná. Více než 400 výzkumníků v oblasti soukromí a bezpečnosti napsalo v březnu Komisi(nové okno) dopis, v němž žádají o moratorium na nasazení, dokud se vědecké poznatky o technologii ověřování věku neustálí.
