تمكن باحث أمني من اختراق تطبيق الاتحاد الأوروبي للتحقق من العمر للمرة الثالثة منذ أبريل، وهذه المرة التحذير المرفق بالاكتشاف أكثر إثارة للقلق من السابقتين. وفقًا لتقرير نشره موقع TechRadar، يقول الخبير الذي أجرى الاختبارات المتكررة إن مشكلات التطبيق لم تعد تقتصر على إثبات عمر الشخص. وحذّر الباحث قائلاً: "الخطوة التالية ستكون إثبات هويتك"، وهو تصريح يعيد صياغة الجدل الدائر حول اختراق تطبيق الاتحاد الأوروبي للتحقق من العمر برمّته، محولًا إياه من قصة خطأ تقني محرج إلى قضية حقيقية تمس أمن الهوية.

ما الذي اخترقه الباحث، ثلاث مرات متتالية

صُمم تطبيق الاتحاد الأوروبي للتحقق من العمر ليتيح للأشخاص تأكيد بلوغهم الحد الأدنى من العمر دون تسليم بيانات شخصية غير ضرورية لكل موقع إلكتروني أو منصة تطلب ذلك. كان هذا هو الوعد، على الأقل. منذ إطلاقه، وجد الباحث الأمني نفسه طرقًا لتقويض هذا الوعد في ثلاث مناسبات منفصلة. وفي كل مرة، كانت الثغرات تنتقص من الادعاء الأساسي بأن التطبيق بديل يحافظ على الخصوصية مقارنة برفع صورة جواز سفر أو رخصة قيادة مباشرة إلى موقع إلكتروني.

تفاصيل كل ثغرة منفردة أقل أهمية من النمط الذي تشكله. تطبيق صُمم وسُوّق ليكون طبقة تحقق جديرة بالثقة وسهلة الاستخدام لمئات الملايين من مواطني الاتحاد الأوروبي فشل الآن أمام تدقيق مستقل ثلاث مرات منفصلة في غضون أشهر. هذا ليس خطأ برمجيًا عابرًا في التنفيذ، بل سجل حافل بالإخفاقات.

لماذا تُعد تطبيقات التحقق من العمر هدفًا أكبر للهوية مما تبدو عليه

من المغري التفكير في التحقق من العمر على أنه برنامج منخفض المخاطر. فأنت لا تثبت رصيدك البنكي أو تاريخك الطبي، بل فقط ما إذا كنت فوق سن 18 عامًا. لكن هذا التصور يغفل عن كيفية بناء هذه الأنظمة فعليًا. للتحقق من العمر بشكل موثوق، يحتاج التطبيق عادةً إلى الاستناد إلى شكل من أشكال وثيقة الهوية الرسمية أو مصدر بيانات مدعوم من الحكومة. وهذا يعني أن البنية التحتية وراء بوابة العمر غالبًا ما يكون لها خط مباشر إلى نوع بيانات الهوية الذي يرغب المهاجمون في الحصول عليه بشدة.

هذا هو جوهر تحذير الباحث. إذا كان التحقق من العمر هو الإسفين الذي يدفع المواطنين للشعور بالارتياح لتثبيت تطبيق مرتبط بالحكومة على هواتفهم، فإن الخطوة المنطقية التالية للمنظمين والمنصات هي التحقق الأوسع من الهوية لخدمات أخرى. وإذا كان من الممكن التلاعب بطبقة التحقق من العمر أو تجاوزها اليوم، فليس هناك ما يدعو للافتراض أن طبقة الهوية التي ستليها ستكون أكثر أمانًا بطبيعتها. فالنظام الذي يفشل في المهمة الأبسط لا يبعث على الثقة في المهمة الأصعب.

لا يقتصر هذا القلق على الاتحاد الأوروبي. فهناك توتر مماثل يتكشف أينما تدفع الحكومات نحو فرض فحوصات إلزامية للعمر أو الهوية، بدءًا من مقترحات مثل مشروع القانون الكندي C-34 الذي يطالب بفحوصات هوية لوسائل التواصل الاجتماعي، وصولاً إلى خليط قوانين التحقق من العمر في الولايات المتحدة العالقة حاليًا في مأزق قانوني. كل مسعى من هذه المساعي يطلب من المستخدمين الثقة بأن طبقة تحقق بُنيت بسرعة، تحت ضغط سياسي، ستصمد أمام مهاجمين حقيقيين.

وعود الاتحاد الأوروبي بالخصوصية مقابل الثغرات الأمنية الفعلية لهذا التطبيق

عندما قُدّم التطبيق، صوره المسؤولون على أنه حل سليم تقنيًا يتيح للمستخدمين التحقق من العمر دون كشف وثائق الهوية لأطراف ثالثة. وتعقّد عمليات الاختراق المتكررة هذه الرواية بشكل كبير. كان المدافعون عن الخصوصية يثيرون بالفعل مخاوف هيكلية بشأن كيفية صمود ادعاءات التحقق من العمر تحت الفحص. وكما هو مفصل في تحليل مستشار EDRi لأسباب عدم تماسك ادعاءات خصوصية التحقق من العمر، فإن الفجوة بين ما تعد به هذه الأنظمة وما يمكنها ضمانه فعليًا كانت موضوعًا متكررًا قبل هذا الاختراق الأخير بوقت طويل.

وقد تُرجم هذا التشكك إلى عمل سياسي. فقد دفع مواطنو الاتحاد الأوروبي، بدعم من حزب القراصنة، بمبادرة رسمية لجعل حماية الخصوصية في التحقق من العمر ملزمة قانونيًا بدلاً من كونها طموحة، وهي خطوة تمت تغطيتها في التقرير حول دفع مواطني الاتحاد الأوروبي لجعل خصوصية التحقق من العمر ملزمة. وجود هذه الحملة يؤكد نقطة بسيطة: في الوقت الحالي، ضمانات الخصوصية المرتبطة بهذا التطبيق هي التزامات سياسية، وليست حقائق تقنية قابلة للتنفيذ، وثلاث عمليات اختراق منفصلة في غضون أشهر تجعل هذا التمييز صعب التجاهل.

ما الذي يعنيه هذا بالنسبة لك

إذا كنت مقيمًا في الاتحاد الأوروبي وقمت بتثبيت تطبيق التحقق من العمر أو تفكر في تثبيته، فهذا لا يعني أن بياناتك قد تعرضت للخطر بالتأكيد. لكنه يعني أن ضمانات الأمان الكامنة وراء التطبيق لم تصمد باستمرار تحت الاختبارات الخارجية، وهذا أمر يستحق أن تضعه في الاعتبار عند تحديد مدى اعتمادك عليه في الوقت الحالي.

عمليًا، يعني هذا توخي الحذر بشأن المعلومات الشخصية التي تربطها بالتطبيق بما يتجاوز الحد الأدنى المطلوب قانونيًا، والحفاظ على تحديث التطبيق وبرامج جهازك، ومتابعة البيانات الرسمية الصادرة عن الاتحاد الأوروبي بشأن التصحيحات أو الإصلاحات المرتبطة بكل ثغرة مكشوف عنها. ويعني أيضًا دعم الدفع نحو قواعد خصوصية ملزمة وقابلة للتنفيذ بدلاً من افتراض أن الالتزامات الطوعية كافية، لأن هذا الضغط غالبًا ما يكون ما يحول التصميم الواعد إلى تصميم جدير بالثقة حقًا.

الدرس الأوسع يتجاوز هذا التطبيق الواحد. فمع قيام المزيد من الحكومات بتجربة التحقق الإلزامي من العمر والهوية، أصبحت تجربة الاتحاد الأوروبي دراسة حالة مفيدة لما يمكن أن يسوء عندما تتفوق سرعة الإطلاق على اختبارات الأمان.

خلاصات قابلة للتنفيذ:

  • قلل البيانات الشخصية التي ترفقها بأي تطبيق للتحقق من العمر إلى الحد الأدنى القانوني المطلوب فقط.
  • ترقب إعلانات التصحيحات الرسمية وقم بتحديث التطبيق فور إصدار الإصلاحات.
  • تابع أبحاث الأمن المستقلة بدلاً من الاعتماد فقط على الادعاءات الرسمية بأن التطبيق "جاهز تقنيًا".
  • ادعم الدعوات المطالبة بحماية خصوصية ملزمة قانونيًا في أنظمة التحقق من العمر، وليس فقط وعودًا طوعية.
  • تعامل مع أي تطبيق يلامس بيانات الهوية أو العمر بنفس الحذر الذي تطبقه على التطبيقات المالية أو الطبية.