Badacz bezpieczeństwa po raz trzeci od kwietnia złamał unijną aplikację do weryfikacji wieku i tym razem ostrzeżenie dołączone do tego odkrycia jest bardziej niepokojące niż dwa poprzednie. Według doniesień TechRadar ekspert stojący za tymi testami twierdzi, że problemy aplikacji nie dotyczą już tylko potwierdzania wieku. „Następnym krokiem będzie udowodnienie, kim jesteś” – ostrzegł badacz, co przekształca całą debatę wokół włamania do unijnej aplikacji do weryfikacji wieku z niewygodnej historii o błędzie w realny problem związany z bezpieczeństwem tożsamości.

Co badacz złamał, trzy razy z rzędu

Unijna aplikacja do weryfikacji wieku została stworzona, aby umożliwić ludziom potwierdzenie, że spełniają minimalny próg wiekowy, bez przekazywania zbędnych danych osobowych każdej witrynie czy platformie, która o to pyta. Taki był przynajmniej zamysł. Od momentu uruchomienia ten sam badacz bezpieczeństwa trzykrotnie znalazł sposób na podważenie tej obietnicy. Za każdym razem usterki te podważały główne twierdzenie, że aplikacja jest chroniącą prywatność alternatywą dla przesyłania skanu paszportu lub zdjęcia prawa jazdy bezpośrednio do serwisu.

Szczegóły poszczególnych luk mają mniejsze znaczenie niż wzór, jaki tworzą. Aplikacja zaprojektowana i sprzedawana jako godna zaufania, niskotarciowa warstwa weryfikacyjna dla setek milionów obywateli UE nie przeszła niezależnych testów już trzy razy w ciągu kilku miesięcy. To nie jest jednorazowy błąd implementacyjny. To powtarzalny schemat.

Dlaczego aplikacje do weryfikacji wieku są większym celem dla tożsamości, niż się wydaje

Łatwo pomyśleć, że kontrola wieku to mało istotne oprogramowanie. Nie potwierdzasz stanu konta ani historii medycznej, tylko to, czy masz ukończone 18 lat. Takie spojrzenie pomija jednak sposób, w jaki te systemy są faktycznie zbudowane. Aby wiarygodnie zweryfikować wiek, aplikacja zazwyczaj musi oprzeć się na jakiejś formie oficjalnego dokumentu tożsamości lub państwowego źródła danych. Oznacza to, że infrastruktura stojąca za bramką wiekową często ma bezpośrednie połączenie z dokładnie takimi danymi tożsamości, jakich najbardziej pożądają napastnicy.

To jest sedno ostrzeżenia badacza. Jeśli weryfikacja wieku jest klinem, który skłania obywateli do wygodnego instalowania powiązanej z rządem aplikacji na swoich telefonach, kolejnym logicznym krokiem dla regulatorów i platform jest szersza weryfikacja tożsamości dla innych usług. Jeśli dzisiejszą warstwę kontroli wieku można zmanipulować lub ominąć, trudno zakładać, że następna warstwa tożsamości będzie z natury bezpieczniejsza. System, który zawodzi przy prostszym zadaniu, nie budzi zaufania do trudniejszego.

Ten problem nie dotyczy wyłącznie UE. Podobne napięcie ujawnia się wszędzie tam, gdzie rządy forsują obowiązkowe kontrole wieku lub tożsamości – od propozycji takich jak kanadyjska ustawa Bill C-34, wymagająca kontroli tożsamości w mediach społecznościowych, po mozaikę stanowych przepisów o weryfikacji wieku, które utknęły obecnie w prawnej próżni w Stanach Zjednoczonych. Każdy z tych wysiłków wymaga od użytkowników zaufania, że warstwa weryfikacyjna zbudowana szybko, pod presją polityczną, wytrzyma ataki w realnym świecie.

Unijne obietnice prywatności a rzeczywiste luki bezpieczeństwa tej aplikacji

Gdy aplikacja była wprowadzana, urzędnicy przedstawiali ją jako solidne technicznie rozwiązanie, które pozwoli użytkownikom zweryfikować wiek bez ujawniania dokumentów tożsamości stronom trzecim. Powtarzające się włamania mocno komplikują tę narrację. Obrońcy prywatności już wcześniej zgłaszali strukturalne wątpliwości co do tego, jak twierdzenia dotyczące weryfikacji wieku wytrzymują weryfikację. Jak szczegółowo opisano w analizie doradcy EDRi, dlaczego deklaracje o prywatności przy weryfikacji wieku nie mają pokrycia, rozbieżność między tym, co te systemy obiecują, a tym, co faktycznie mogą zagwarantować, była powtarzającym się tematem na długo przed tym ostatnim włamaniem.

Ten sceptycyzm przełożył się na działania polityczne. Obywatele UE, wspierani przez Partię Piratów, forsują formalną inicjatywę, aby ochrona prywatności w weryfikacji wieku stała się prawnie wiążąca, a nie tylko postulowana – o czym piszemy w relacji o obywatelach UE dążących do tego, by prywatność w weryfikacji wieku była wiążąca. Istnienie tej kampanii podkreśla prosty fakt: obecnie gwarancje prywatności dołączone do tej aplikacji to zobowiązania polityczne, a nie egzekwowalne fakty techniczne, a trzy osobne włamania w ciągu kilku miesięcy sprawiają, że to rozróżnienie trudno zignorować.

Co to oznacza dla Ciebie

Jeśli jesteś mieszkańcem UE, który zainstalował lub rozważa zainstalowanie aplikacji do weryfikacji wieku, nie oznacza to, że Twoje dane na pewno zostały ujawnione. Oznacza to, że zapewnienia bezpieczeństwa stojące za aplikacją nie utrzymały się konsekwentnie podczas zewnętrznych testów i warto wziąć to pod uwagę, decydując, jak bardzo na niej polegać na razie.

W praktyce oznacza to ostrożność w kwestii tego, jakie dane osobowe łączysz z aplikacją poza absolutnie wymaganym minimum, dbanie o aktualizacje aplikacji i oprogramowania urządzenia oraz śledzenie oficjalnych komunikatów UE dotyczących poprawek lub łatek związanych z każdą ujawnioną luką. Oznacza to także wspieranie dążeń do wiążących, egzekwowalnych zasad prywatności, zamiast zakładać, że dobrowolne zobowiązania wystarczą, ponieważ ta presja często właśnie sprawia, że obiecujący projekt staje się naprawdę godny zaufania.

Szersza lekcja wykracza poza tę jedną aplikację. W miarę jak kolejne rządy eksperymentują z obowiązkową weryfikacją wieku i tożsamości, doświadczenie UE staje się użytecznym studium przypadku tego, co może pójść źle, gdy tempo wdrażania wyprzedza testy bezpieczeństwa.

Praktyczne wskazówki:

  • Ogranicz dane osobowe przekazywane jakiejkolwiek aplikacji do weryfikacji wieku tylko do prawnego minimum.
  • Obserwuj oficjalne ogłoszenia o łatkach i aktualizuj aplikację natychmiast po wydaniu poprawek.
  • Śledź niezależne badania bezpieczeństwa, zamiast polegać wyłącznie na oficjalnych zapewnieniach o „gotowości technicznej”.
  • Wspieraj postulaty prawnie wiążącej ochrony prywatności w systemach weryfikacji wieku, a nie tylko dobrowolnych obietnic.
  • Traktuj każdą aplikację, która ma styczność z danymi tożsamości czy wieku, z taką samą ostrożnością, jak aplikacje finansowe czy medyczne.