बुधवार को यूरोपीय आयोग ने एक मोबाइल ऐप पेश किया(नई विंडो), जिसे लोग ऑनलाइन अपनी उम्र साबित कर सकें, बिना प्लैटफॉर्म के साथ पर्सनल डाटा शेयर किए। EU के अधिकारियों ने कहा कि ऐप तैयार था, सबसे ऊंची निजता के मानकों को पूरा करता था, और पारदर्शिता के सबूत के तौर पे इसके ओपन-सोर्स कोड की तरफ इशारा किया।
लेकिन कुछ ही घंटों में, सिक्योरिटी रिसर्चर्स ने ओपन-सोर्स कोड को तोड़फोड़ करना शुरू कर दिया। गुरुवार तक, सिक्योरिटी कंसल्टेंट Paul Moore ने दो मिनट से भी कम समय में ऐप की सुरक्षा को बायपास कर दिया था(नई विंडो)।
दूसरों ने उनकी खोजों की सच्ची पुष्टि की। ऐप के रेट-लिमिटिंग कंट्रोल एक एडिट करने लायक फ़ाइल में स्टोर किए गए थे, बायोमेट्रिक सत्यापन को एक सिंपल संरचना बदलाव से बंद किया जा सकता था, और सेंसिटिव प्रमाण सिक्योर हार्डवेयर प्रोटेक्शन के बिना एक्सेस किए जा सकते थे।
Commission ने इन खोजों को कम करके आंका और रिलीज़ को एक डेमो वर्ज़न बताया। Moore और फ्रेंच क्रिप्टोग्राफर Olivier Blazy दोनों ने इसका विरोध किया और Politico(नई विंडो) को बताया कि वे कोड के सबसे नए वर्ज़न को टेस्ट कर रहे थे जब उन्हें ये कमियां मिलीं।
बाद में, Commission ने कहा कि समस्या ठीक कर दी गई है, लेकिन ये घटना अब भी दिखाती है कि ये उम्र सत्यापन सिस्टम कितने कमज़ोर हैं।
EU का उम्र सत्यापन ऐप क्या करता है और क्या गड़बड़ हुई
EU का उम्र सत्यापन ऐप लोगों को पासपोर्ट, नेशनल ID, या बैंक जैसे किसी विश्वसनीय प्रोवाइडर की मदद से अपनी उम्र सत्यापित करने देता है। फिर प्लैटफॉर्म ऐप से पूछ सकते हैं कि कोई किसी खास उम्र से ऊपर है या नहीं, बिना अंदरूनी पर्सनल डाटा को एक्सेस किए, जिसे ज़ीरो-नॉलेज प्रूफ भी कहा जाता है।
इम्प्लीमेंटेशन ने उस डिज़ाइन को कमज़ोर कर दिया। EU का उम्र सत्यापन ऐप एक एन्क्रिप्ट किया PIN डिवाइस पे एक एडिट करने लायक संरचना फ़ाइल में स्टोर करता था, जो सेंसिटिव डाटा रखने वाली पहचान तिजोरी से अलग थी। कुछ वैल्यू मिटा दें और ऐप को वापिस शुरु करें, तो हमलावर पिछले प्रोफ़ाइल के प्रमाण दोबारा इस्तेमाल करते हुए एक नया PIN सेट कर सकता है।
बार-बार अंदाज़ा लगाने को रोकने वाले रेट-लिमिटिंग कंट्रोल उसी फ़ाइल में एक सिंपल काउंटर की तरह स्टोर किए गए थे, और उसे ज़ीरो पे रीसेट किया जा सकता था, जिससे असफल कोशिशों का कोई रिकॉर्ड मिटा दिया जाता था। बायोमेट्रिक सत्यापन एक सिंगल बूलियन फ़्लैग से कंट्रोल होता था; इसे true से false करने पे पूरी जांच छोड़ दी जाती थी।
उम्र जांचने के लिए बनाया गया, लेकिन सुरक्षित तरीके से नहीं
रिसर्चर्स ने कोड का इस्तेमाल करके इसकी कमियां सामने लाने के बाद, अधिकारियों ने ऐप को एक डेमो वर्ज़न की तरह पेश किया।
कई डेवलपर्स ने बताया कि सेंसिटिव डाटा को एक सिक्योर एनक्लेव में स्टोर किया जाना चाहिए था, जो मॉडर्न स्मार्टफोन्स पे उपलब्ध हार्डवेयर-लेवल सुरक्षा है और जो इन हमलों को बहुत मुश्किल बनाती है।
लेकिन ये कमज़ोरियां एक ऐसी समस्या सामने लाती हैं जो इस खास ऐप से आगे जाती है। उम्र सत्यापन डिज़ाइन के हिसाब से सुरक्षित नहीं है, क्योंकि इसमें एक असली पहचान को किसी ऑनलाइन काम से जोड़ना ज़रूरी होता है। उस लिंक को कहीं न कहीं स्टोर किया जाना पड़ता है, चाहे कुछ देर के लिए ही सही, और जहां भी वो रहता है, वो हैकर्स, सरकारों और अंदरूनी डाटा को बिना अनुमति एक्सेस करने वाले किसी भी शख्स के लिए एक निशाना बन जाता है। वो लिंक जितना ज़्यादा सेंट्रलाइज़्ड और दोबारा इस्तेमाल करने लायक होगा, निशाना उतना बड़ा होता जाएगा।
EU का उम्र सत्यापन कानून एक सिंगल, निजता की रखवाली करने वाला स्टैंडर्ड होना चाहिए था, जो मेंबर स्टेट्स में बन रहे अलग-अलग कानूनी ढांचे की जगह ले, लेकिन ऐप के तैयार होने को लेकर Commission का भरोसा जल्दबाज़ी साबित हुआ। 400 से ज़्यादा निजता और सिक्योरिटी रिसर्चर्स ने मार्च में Commission को लिखा(नई विंडो) और उम्र-सत्यापन टेक्नोलॉजी पे विज्ञान के बहते हुए स्थिर होने तक डिप्लॉयमेंट पे रोक लगाने की मांग की।
