Исследователь в области безопасности в третий раз с апреля взломал приложение Европейского союза для проверки возраста, и на этот раз предупреждение, сопровождающее находку, вызывает больше тревоги, чем два предыдущих. Согласно сообщению TechRadar, эксперт, стоящий за повторными тестами, говорит, что проблемы приложения больше не сводятся лишь к подтверждению возраста. «Следующим шагом станет подтверждение того, кто вы», — предупредил исследователь, и эта фраза переводит всю дискуссию о взломе приложения для проверки возраста ЕС из разряда неловкой истории с ошибкой в плоскость настоящей озабоченности по поводу безопасности идентификационных данных.

Что исследователь сломал трижды подряд

Приложение ЕС для проверки возраста было создано, чтобы позволить людям подтвердить, что они достигли минимального возрастного порога, не передавая лишние личные данные каждому запрашивающему сайту или платформе. По крайней мере, так заявлялось. С момента запуска один и тот же исследователь в области безопасности трижды находил способы подорвать это обещание. Каждый раз недостатки подтачивали основное утверждение о том, что приложение является альтернативой, сохраняющей конфиденциальность, по сравнению с прямой загрузкой скана паспорта или фотографии водительских прав на веб-сайт.

Детали каждого отдельного недостатка менее важны, чем формируемая ими закономерность. Приложение, спроектированное и разрекламированное как надёжный, простой в использовании уровень верификации для сотен миллионов граждан ЕС, за несколько месяцев трижды провалило независимую проверку. Это не разовая ошибка реализации. Это уже история.

Почему приложения для проверки возраста — более крупная мишень для идентификационных данных, чем кажется

Заманчиво считать проверку возраста программным обеспечением с низкими ставками. Вы подтверждаете не банковский баланс или историю болезни, а лишь то, что вам больше 18 лет. Но такая точка зрения упускает, как эти системы на самом деле устроены. Чтобы надёжно проверить возраст, приложению обычно необходимо опираться на какой-либо официальный документ, удостоверяющий личность, или государственный источник данных. Это означает, что инфраструктура, стоящая за возрастным шлюзом, часто имеет прямой доступ именно к тем идентификационным данным, которые наиболее привлекательны для злоумышленников.

В этом суть предупреждения исследователя. Если проверка возраста станет тем клином, который приучит граждан спокойно устанавливать на свои телефоны приложение, связанное с государством, следующим логическим шагом для регуляторов и платформ будет более широкая проверка личности для других сервисов. Если сегодня уровень проверки возраста можно обмануть или обойти, едва ли есть основания полагать, что следующий за ним уровень идентификации будет изначально более безопасным. Система, не справляющаяся с более простой задачей, не внушает доверия к решению более сложной.

Эта проблема не уникальна для ЕС. Подобное напряжение возникает везде, где правительства настаивают на обязательной проверке возраста или личности: от предложений, таких как канадский законопроект C-34, требующий проверки документов для социальных сетей, до лоскутного одеяла законов штатов о проверке возраста, застрявших в правовом подвешенном состоянии в США. Каждое из этих усилий просит пользователей поверить, что слой верификации, выстроенный наспех под политическим давлением, устоит против реальных атакующих.

Обещания ЕС о конфиденциальности против реальных пробелов в безопасности этого приложения

Когда приложение было представлено, чиновники описывали его как технически надёжное решение, позволяющее пользователям подтверждать возраст без раскрытия документов третьим лицам. Неоднократные взломы значительно усложняют эту картину. Защитники конфиденциальности уже высказывали структурные опасения по поводу того, выдерживают ли заявления о проверке возраста проверку. Как подробно описано в разборе советника EDRi о том, почему заявления о конфиденциальности при проверке возраста не сходятся, разрыв между тем, что обещают эти системы, и тем, что они могут гарантировать на самом деле, был повторяющейся темой задолго до этого последнего взлома.

Этот скептицизм перешёл в политические действия. Граждане ЕС при поддержке Пиратской партии выдвинули официальную инициативу, чтобы сделать защиту конфиденциальности при проверке возраста юридически обязательной, а не декларативной, о чём рассказывается в репортаже о стремлении граждан ЕС сделать проверку возраста с соблюдением конфиденциальности обязательной. Существование этой кампании подчёркивает простой момент: на данный момент гарантии конфиденциальности, связанные с этим приложением, — это политические обязательства, а не принудительно исполнимые технические факты, и три отдельных взлома за несколько месяцев делают эту разницу трудноигнорируемой.

Что это значит для вас

Если вы житель ЕС, который установил или рассматривает возможность установки приложения для проверки возраста, всё это не означает, что ваши данные были точно скомпрометированы. Это означает, что заверения в безопасности, стоящие за приложением, не выдержали последовательной внешней проверки, и это стоит учитывать, решая, насколько вы пока можете на него полагаться.

На практике это означает осторожность в отношении того, какие личные данные вы привязываете к приложению сверх строго необходимого, поддержание приложения и программного обеспечения устройства в актуальном состоянии и внимание к официальным сообщениям ЕС об исправлениях или обновлениях, связанных с каждой раскрытой уязвимостью. Это также означает поддержку стремления к обязательным, принудительно исполнимым правилам конфиденциальности, а не веру в достаточность добровольных обязательств, поскольку именно такое давление часто превращает многообещающий дизайн в действительно заслуживающий доверия.

Более широкий урок выходит за рамки одного этого приложения. По мере того как всё больше правительств экспериментируют с обязательной проверкой возраста и личности, опыт ЕС становится полезным примером того, что может пойти не так, когда скорость запуска опережает тестирование безопасности.

Практические выводы:

  • Ограничьте личные данные, привязываемые к любому приложению для проверки возраста, предельно допустимым минимумом, установленным законом.
  • Следите за официальными объявлениями об исправлениях и своевременно обновляйте приложение после выхода обновлений.
  • Следите за независимыми исследованиями в области безопасности, а не полагайтесь исключительно на официальные заявления о «технической готовности».
  • Поддерживайте призывы к юридически обязательной защите конфиденциальности в системах проверки возраста, а не только к добровольным обещаниям.
  • Относитесь к любому приложению, имеющему дело с идентификационными или возрастными данными, с той же осторожностью, что и к финансовым или медицинским приложениям.