Pada hari Rabu, Komisi Eropa meluncurkan aplikasi seluler(jendela baru) yang dirancang untuk memungkinkan orang membuktikan usia mereka secara daring tanpa membagikan data pribadi dengan platform. Pejabat UE mengatakan bahwa aplikasi tersebut sudah siap, memenuhi standar privasi tertinggi, dan menunjukkan kode sumber terbuka miliknya sebagai bukti transparansi.
Namun, dalam hitungan jam, para peneliti keamanan mulai membedah kode sumber terbuka tersebut. Pada hari Kamis, konsultan keamanan Paul Moore telah melewati perlindungan aplikasi tersebut dalam waktu kurang dari dua menit(jendela baru).
Pihak lain mengonfirmasi temuannya. Kontrol pembatasan laju aplikasi tersebut tersimpan dalam file yang dapat diedit, autentikasi biometrik dapat dimatikan dengan perubahan konfigurasi sederhana, dan kredensial sensitif dapat diakses tanpa perlindungan perangkat keras yang aman.
Komisi tersebut meremehkan temuan ini, dengan menyebut rilis tersebut sebagai versi demo. Moore dan kriptografer Prancis Olivier Blazy membantah hal ini, memberi tahu Politico(jendela baru) bahwa mereka sedang menguji versi terbaru dari kode tersebut saat menemukan celah keamanan.
Belakangan, Komisi menyatakan bahwa isu tersebut telah diperbaiki, tetapi insiden tersebut tetap menampilkan betapa rentannya sistem verifikasi usia ini.
Apa yang dilakukan aplikasi verifikasi usia UE dan apa yang salah
Aplikasi verifikasi usia UE memungkinkan orang memverifikasi usia mereka menggunakan paspor, kartu identitas nasional, atau penyedia tepercaya seperti bank. Platform kemudian dapat meminta aplikasi untuk memeriksa apakah seseorang telah melewati usia tertentu tanpa mengakses data pribadi yang mendasarinya, yang juga dikenal sebagai zero-knowledge proof.
Implementasi tersebut melemahkan desain tersebut. Aplikasi verifikasi usia UE memiliki PIN terenkripsi yang tersimpan dalam file konfigurasi yang dapat diedit pada perangkat, terpisah dari brankas identitas yang menyimpan data sensitif. Dengan menghapus beberapa nilai dan memulai ulang aplikasi, penyerang dapat menyetel PIN baru sambil menggunakan kembali kredensial dari profil sebelumnya.
Kontrol pembatasan laju yang mencegah tebakan berulang tersimpan sebagai penghitung sederhana di file yang sama, yang dapat diatur ulang ke nol, menghapus semua catatan percobaan yang gagal. Autentikasi biometrik dikendalikan oleh satu flag boolean; mengubahnya dari true menjadi false melewati pemeriksaan tersebut sepenuhnya.
Dibuat untuk memeriksa usia, tetapi tidak dengan aman
Setelah para peneliti menggunakan kode tersebut untuk mengungkap kelemahannya, para pejabat mengubah status aplikasi tersebut menjadi versi demo.
Beberapa pengembang mencatat bahwa data sensitif seharusnya tersimpan di enclave aman, perlindungan tingkat perangkat keras yang tersedia pada ponsel pintar modern yang membuat serangan ini jauh lebih sulit.
Namun kelemahan tersebut mengungkap masalah yang melampaui aplikasi khusus ini. Verifikasi usia tidak aman secara desain, karena memerlukan penautan identitas nyata ke tindakan daring. Tautan tersebut harus tersimpan di suatu tempat, meskipun singkat, dan di mana pun tautan itu berada, ia menjadi target bagi peretas, pemerintah, dan siapa saja yang memperoleh akses tidak sah ke data yang mendasarinya. Semakin tersentralisasi dan dapat digunakan kembali tautan tersebut, semakin besar targetnya.
Undang-undang verifikasi usia UE dimaksudkan untuk menjadi standar tunggal yang menjaga privasi untuk menggantikan tambal sulam hukum yang terbentuk di berbagai Negara Anggota, tetapi keyakinan Komisi bahwa aplikasi tersebut siap ternyata terlalu dini. Lebih dari 400 peneliti privasi dan keamanan menyurati Komisi pada bulan Maret(jendela baru) untuk meminta moratorium penerapan hingga sains tentang teknologi verifikasi usia mencapai mufakat.
