Ένας ερευνητής ασφαλείας έχει παραβιάσει την εφαρμογή επαλήθευσης ηλικίας της Ευρωπαϊκής Ένωσης για τρίτη φορά από τον Απρίλιο, και αυτή τη φορά η προειδοποίηση που συνοδεύει το εύρημα είναι πιο ανησυχητική από τις δύο προηγούμενες. Σύμφωνα με δημοσίευμα του TechRadar, ο ειδικός πίσω από τις επαναλαμβανόμενες δοκιμές λέει ότι τα προβλήματα της εφαρμογής δεν αφορούν πλέον μόνο την απόδειξη της ηλικίας κάποιου. «Το επόμενο βήμα θα είναι να αποδείξετε ποιος είστε», προειδοποίησε ο ερευνητής, μια φράση που αναπλαισιώνει ολόκληρη τη συζήτηση γύρω από την παραβίαση της εφαρμογής επαλήθευσης ηλικίας της ΕΕ, μετατρέποντάς την από μια άβολη ιστορία σφάλματος σε μια γνήσια ανησυχία για την ασφάλεια της ταυτότητας.

Τι παραβίασε ο ερευνητής, τρεις φορές

Η εφαρμογή επαλήθευσης ηλικίας της ΕΕ δημιουργήθηκε για να επιτρέπει στους ανθρώπους να επιβεβαιώνουν ότι πληρούν ένα ελάχιστο όριο ηλικίας χωρίς να παραδίδουν περιττά προσωπικά δεδομένα σε κάθε ιστότοπο ή πλατφόρμα που τα ζητά. Αυτό ήταν το σκεπτικό, τουλάχιστον. Από την κυκλοφορία της, ο ίδιος ερευνητής ασφαλείας έχει βρει τρόπους να υπονομεύσει αυτή την υπόσχεση σε τρεις ξεχωριστές περιπτώσεις. Κάθε φορά, οι ατέλειες έχουν διαβρώσει τον βασικό ισχυρισμό ότι η εφαρμογή αποτελεί μια εναλλακτική λύση που διαφυλάσσει την ιδιωτικότητα, αντί της απευθείας μεταφόρτωσης μιας σάρωσης διαβατηρίου ή μιας φωτογραφίας άδειας οδήγησης σε έναν ιστότοπο.

Οι λεπτομέρειες κάθε μεμονωμένης ατέλειας έχουν μικρότερη σημασία από το μοτίβο που σχηματίζουν. Μια εφαρμογή σχεδιασμένη και προωθούμενη ως ένα αξιόπιστο στρώμα επαλήθευσης χαμηλής τριβής για εκατοντάδες εκατομμύρια πολίτες της ΕΕ έχει πλέον αποτύχει σε ανεξάρτητο έλεγχο τρεις ξεχωριστές φορές μέσα σε λίγους μήνες. Δεν πρόκειται για ένα μεμονωμένο σφάλμα υλοποίησης. Είναι ένα ιστορικό επιδόσεων.

Γιατί οι εφαρμογές επαλήθευσης ηλικίας αποτελούν μεγαλύτερο στόχο ταυτότητας απ' ό,τι φαίνονται

Είναι δελεαστικό να θεωρούμε έναν έλεγχο ηλικίας ως ένα λογισμικό χαμηλής σημασίας. Δεν αποδεικνύετε το υπόλοιπο του τραπεζικού σας λογαριασμού ή το ιατρικό σας ιστορικό, απλώς το αν είστε άνω των 18. Αλλά αυτή η θεώρηση παραβλέπει το πώς πραγματικά κατασκευάζονται αυτά τα συστήματα. Για να επαληθεύσει αξιόπιστα την ηλικία, μια εφαρμογή συνήθως πρέπει να βασιστεί σε κάποιο επίσημο έγγραφο ταυτότητας ή σε μια κρατικά υποστηριζόμενη πηγή δεδομένων. Αυτό σημαίνει ότι η υποδομή πίσω από έναν φραγμό ηλικίας συχνά έχει απευθείας σύνδεση με ακριβώς το είδος των δεδομένων ταυτότητας που οι επιτιθέμενοι επιθυμούν περισσότερο.

Αυτός είναι ο πυρήνας της προειδοποίησης του ερευνητή. Εάν η επαλήθευση ηλικίας είναι το εισαγωγικό ζήτημα που κάνει τους πολίτες να αισθάνονται άνετα να εγκαθιστούν μια κυβερνητικά συνδεδεμένη εφαρμογή στα τηλέφωνά τους, το επόμενο λογικό βήμα για ρυθμιστικές αρχές και πλατφόρμες είναι η ευρύτερη επαλήθευση ταυτότητας για άλλες υπηρεσίες. Εάν το στρώμα ελέγχου ηλικίας μπορεί να παρακαμφθεί ή να παραβιαστεί σήμερα, υπάρχουν λίγοι λόγοι να υποθέσουμε ότι το στρώμα ταυτότητας που θα ακολουθήσει θα είναι εγγενώς πιο ασφαλές. Ένα σύστημα που αποτυγχάνει στην απλούστερη εργασία δεν εμπνέει εμπιστοσύνη για τη δυσκολότερη.

Αυτή η ανησυχία δεν είναι μοναδική στην ΕΕ. Παρόμοια ένταση εκτυλίσσεται όπου οι κυβερνήσεις προωθούν υποχρεωτικούς ελέγχους ηλικίας ή ταυτότητας, από προτάσεις όπως το νομοσχέδιο C-34 του Καναδά που απαιτεί ελέγχους ταυτότητας για τα μέσα κοινωνικής δικτύωσης, μέχρι το συνονθύλευμα κρατικών νόμων επαλήθευσης ηλικίας που βρίσκονται επί του παρόντος σε νομικό κενό στις Ηνωμένες Πολιτείες. Καθεμία από αυτές τις προσπάθειες ζητά από τους χρήστες να εμπιστευτούν ότι ένα στρώμα επαλήθευσης που δημιουργήθηκε γρήγορα, υπό πολιτική πίεση, θα αντέξει απέναντι σε πραγματικούς επιτιθέμενους.

Οι υποσχέσεις απορρήτου της ΕΕ έναντι των κενών ασφαλείας της εφαρμογής στον πραγματικό κόσμο

Όταν παρουσιάστηκε η εφαρμογή, αξιωματούχοι την παρουσίασαν ως μια τεχνικά ορθή λύση που θα επέτρεπε στους χρήστες να επαληθεύουν την ηλικία τους χωρίς να εκθέτουν έγγραφα ταυτότητας σε τρίτους. Οι επαναλαμβανόμενες παραβιάσεις περιπλέκουν σημαντικά αυτή την αφήγηση. Οι υποστηρικτές της ιδιωτικότητας έχουν ήδη εκφράσει δομικές ανησυχίες για το πώς οι ισχυρισμοί επαλήθευσης ηλικίας αντέχουν υπό εξέταση. Όπως περιγράφεται λεπτομερώς στην ανάλυση του συμβούλου του EDRi για το γιατί οι ισχυρισμοί απορρήτου της επαλήθευσης ηλικίας δεν ευσταθούν, το χάσμα μεταξύ αυτού που υπόσχονται αυτά τα συστήματα και αυτού που μπορούν πραγματικά να εγγυηθούν αποτελεί επαναλαμβανόμενο θέμα πολύ πριν από αυτή την τελευταία παραβίαση.

Αυτός ο σκεπτικισμός έχει μεταφραστεί σε πολιτική δράση. Πολίτες της ΕΕ, με την υποστήριξη του Κόμματος των Πειρατών, έχουν προωθήσει μια επίσημη πρωτοβουλία για να καταστήσουν τις προστασίες απορρήτου στην επαλήθευση ηλικίας νομικά δεσμευτικές και όχι απλώς επιθυμητές, μια κίνηση που καλύφθηκε στην αναφορά σχετικά με τους πολίτες της ΕΕ που πιέζουν για να καταστεί δεσμευτική η επαλήθευση ηλικίας για την ιδιωτικότητα. Η ύπαρξη αυτής της εκστρατείας υπογραμμίζει ένα απλό σημείο: αυτή τη στιγμή, οι εγγυήσεις απορρήτου που συνοδεύουν αυτή την εφαρμογή είναι πολιτικές δεσμεύσεις, όχι εκτελέσιμα τεχνικά γεγονότα, και τρεις ξεχωριστές παραβιάσεις μέσα σε λίγους μήνες καθιστούν αυτή τη διάκριση δύσκολο να αγνοηθεί.

Τι σημαίνει αυτό για εσάς

Εάν είστε κάτοικος της ΕΕ που έχετε εγκαταστήσει ή σκέφτεστε να εγκαταστήσετε την εφαρμογή επαλήθευσης ηλικίας, τίποτα από αυτά δεν σημαίνει ότι τα δεδομένα σας έχουν οπωσδήποτε εκτεθεί. Σημαίνει ότι οι διαβεβαιώσεις ασφαλείας πίσω από την εφαρμογή δεν έχουν αντέξει με συνέπεια σε εξωτερικές δοκιμές, και αυτό αξίζει να το λάβετε υπόψη στο κατά πόσο βασίζεστε σε αυτήν προς το παρόν.

Πρακτικά, αυτό σημαίνει να είστε προσεκτικοί σχετικά με το ποια προσωπικά στοιχεία συνδέετε με την εφαρμογή πέρα από τα απολύτως απαραίτητα, να διατηρείτε ενημερωμένη την εφαρμογή και το λογισμικό της συσκευής σας και να παρακολουθείτε τις επίσημες ανακοινώσεις της ΕΕ σχετικά με επιδιορθώσεις ή διορθώσεις που συνδέονται με κάθε γνωστοποιημένη ατέλεια. Σημαίνει επίσης να υποστηρίξετε την ώθηση για δεσμευτικούς, εκτελέσιμους κανόνες απορρήτου αντί να υποθέτετε ότι οι εθελοντικές δεσμεύσεις είναι αρκετές, καθώς αυτή η πίεση είναι συχνά εκείνη που μετατρέπει έναν υποσχόμενο σχεδιασμό σε πραγματικά αξιόπιστο.

Το ευρύτερο μάθημα εκτείνεται πέρα από αυτή τη μία εφαρμογή. Καθώς περισσότερες κυβερνήσεις πειραματίζονται με υποχρεωτική επαλήθευση ηλικίας και ταυτότητας, η εμπειρία της ΕΕ γίνεται μια χρήσιμη μελέτη περίπτωσης για το τι μπορεί να πάει στραβά όταν η ταχύτητα διάθεσης ξεπερνά τους ελέγχους ασφαλείας.

Χρηστικά συμπεράσματα:

  • Περιορίστε τα προσωπικά δεδομένα που επισυνάπτετε σε οποιαδήποτε εφαρμογή επαλήθευσης ηλικίας πέρα από το ελάχιστο που απαιτείται νομικά.
  • Παρακολουθείτε για επίσημες ανακοινώσεις διορθώσεων και ενημερώστε άμεσα την εφαρμογή όταν κυκλοφορούν διορθώσεις.
  • Ακολουθήστε ανεξάρτητες έρευνες ασφαλείας αντί να βασίζεστε αποκλειστικά σε επίσημους ισχυρισμούς «τεχνικής ετοιμότητας».
  • Υποστηρίξτε εκκλήσεις για νομικά δεσμευτικές προστασίες απορρήτου στα συστήματα επαλήθευσης ηλικίας, όχι μόνο εθελοντικές υποσχέσεις.
  • Αντιμετωπίστε οποιαδήποτε εφαρμογή αγγίζει δεδομένα ταυτότητας ή ηλικίας με την ίδια προσοχή που θα εφαρμόζατε σε εφαρμογές οικονομικών ή ιατρικών δεδομένων.