Un chercheur en sécurité a compromis l'application de vérification d'âge de l'Union européenne pour la troisième fois depuis avril, et cette fois l'avertissement lié à cette découverte est plus inquiétant que les deux précédents. Selon un article de TechRadar, l'expert à l'origine de ces tests répétés explique que les problèmes de l'application ne se limitent plus à prouver l'âge d'une personne. « La prochaine étape consistera à prouver qui vous êtes », a averti le chercheur, une phrase qui fait passer l'ensemble du débat sur le piratage de l'application de vérification d'âge de l'UE d'une simple histoire de bug gênant à une véritable préoccupation en matière de sécurité des identités.

Ce que le chercheur a cassé, trois fois de suite

L'application de vérification d'âge de l'UE a été conçue pour permettre aux utilisateurs de confirmer qu'ils atteignent un seuil d'âge minimum sans transmettre de données personnelles superflues à chaque site web ou plateforme qui le demande. C'était du moins l'argument avancé. Depuis son lancement, le même chercheur en sécurité a trouvé des moyens de contourner cette promesse à trois reprises. À chaque fois, les failles ont érodé l'affirmation centrale selon laquelle l'application constitue une alternative respectueuse de la vie privée au téléchargement direct d'un scan de passeport ou d'une photo de permis de conduire sur un site web.

Les détails de chaque faille importent moins que le schéma qu'elles dessinent. Une application conçue et commercialisée comme une couche de vérification fiable et fluide pour des centaines de millions de citoyens de l'UE a désormais échoué à trois reprises à des examens indépendants en l'espace de quelques mois. Il ne s'agit pas d'un simple bug d'implémentation isolé, mais d'un historique préoccupant.

Pourquoi les applications de vérification d'âge sont une cible identitaire plus importante qu'il n'y paraît

Il est tentant de considérer un contrôle d'âge comme un logiciel à faible enjeu. Vous ne prouvez pas votre solde bancaire ni vos antécédents médicaux, mais simplement si vous avez plus de 18 ans. Mais cette vision omet la manière dont ces systèmes sont réellement construits. Pour vérifier l'âge de manière fiable, une application doit généralement s'appuyer sur une forme de document d'identité officiel ou une source de données gouvernementale. Cela signifie que l'infrastructure derrière un portail d'âge a souvent un accès direct au type même de données d'identité que les attaquants convoitent le plus.

C'est le cœur de l'avertissement du chercheur. Si la vérification de l'âge est le cheval de Troie qui habitue les citoyens à installer une application liée au gouvernement sur leur téléphone, la prochaine étape logique pour les régulateurs et les plateformes sera une vérification d'identité élargie pour d'autres services. Si la couche de contrôle de l'âge peut être manipulée ou contournée aujourd'hui, il y a peu de raisons de supposer que la couche d'identité qui suivra sera intrinsèquement plus sûre. Un système qui échoue à la tâche la plus simple n'inspire pas confiance pour la plus difficile.

Cette préoccupation n'est pas propre à l'UE. Une tension similaire se manifeste partout où les gouvernements imposent des contrôles d'âge ou d'identité obligatoires, qu'il s'agisse de propositions comme le projet de loi C-34 du Canada exigeant une vérification d'identité pour les réseaux sociaux, ou de l'ensemble disparate de lois d'État sur la vérification d'âge actuellement bloquées dans un vide juridique aux États-Unis. Chacune de ces initiatives demande aux utilisateurs de croire qu'une couche de vérification construite rapidement, sous pression politique, résistera aux attaquants réels.

Les promesses de confidentialité de l'UE face aux failles de sécurité réelles de cette application

Lorsque l'application a été présentée, les responsables l'ont décrite comme une solution techniquement solide permettant aux utilisateurs de vérifier leur âge sans exposer leurs documents d'identité à des tiers. Les piratages répétés compliquent considérablement ce discours. Les défenseurs de la vie privée soulèvent depuis longtemps des préoccupations structurelles quant à la solidité des promesses de vérification d'âge lorsqu'elles sont examinées de près. Comme le détaille la démonstration d'un conseiller de l'EDRi expliquant pourquoi les promesses de confidentialité de la vérification d'âge ne tiennent pas, l'écart entre ce que ces systèmes promettent et ce qu'ils peuvent réellement garantir est un thème récurrent bien avant ce dernier piratage.

Ce scepticisme s'est traduit en action politique. Des citoyens de l'UE, soutenus par le Parti pirate, ont lancé une initiative formelle pour rendre les protections de la vie privée dans la vérification d'âge juridiquement contraignantes plutôt que de simples vœux pieux, une démarche couverte par le rapport sur des citoyens de l'UE qui poussent pour rendre la vérification d'âge contraignante en matière de confidentialité. L'existence de cette campagne souligne un point simple : à l'heure actuelle, les garanties de confidentialité attachées à cette application relèvent d'engagements politiques, et non de faits techniques exécutoires, et trois piratages distincts en quelques mois rendent cette distinction difficile à ignorer.

Ce que cela signifie pour vous

Si vous êtes un résident de l'UE qui a installé ou envisage d'installer l'application de vérification d'âge, rien de tout cela ne signifie que vos données ont été exposées de manière certaine. Cela signifie en revanche que les garanties de sécurité de l'application n'ont pas résisté de manière constante aux tests externes, et cela mérite d'être pris en compte dans la confiance que vous lui accordez pour l'instant.

Concrètement, cela implique de rester prudent quant aux informations personnelles que vous liez à l'application au-delà du strict nécessaire, de maintenir l'application et le logiciel de votre appareil à jour, et de prêter attention aux communications officielles de l'UE concernant les correctifs liés à chaque faille divulguée. Cela signifie également soutenir la demande de règles de confidentialité contraignantes et exécutoires, plutôt que de supposer que des engagements volontaires suffisent, car c'est souvent cette pression qui transforme une conception prometteuse en un outil véritablement digne de confiance.

La leçon plus large dépasse cette seule application. Alors que de plus en plus de gouvernements expérimentent la vérification obligatoire de l'âge et de l'identité, l'expérience de l'UE devient une étude de cas utile sur ce qui peut mal tourner lorsque la rapidité de mise sur le marché dépasse les tests de sécurité.

Mesures à prendre :

  • Limitez les données personnelles que vous liez à toute application de vérification d'âge au strict minimum légal requis.
  • Surveillez les annonces de correctifs officiels et mettez à jour l'application dès la publication des correctifs.
  • Suivez les recherches indépendantes en sécurité plutôt que de vous fier uniquement aux déclarations officielles « techniquement prêtes ».
  • Soutenez les appels à des protections de la vie privée juridiquement contraignantes dans les systèmes de vérification d'âge, pas seulement à des promesses volontaires.
  • Traitez toute application manipulant des données d'identité ou d'âge avec la même prudence que vous appliqueriez à des applications financières ou médicales.