นักวิจัยแฮ็กแอปยืนยันอายุของ EU เป็นครั้งที่สาม

นักวิจัยด้านความปลอดภัยได้เจาะระบบแอปยืนยันอายุของสหภาพยุโรปเป็นครั้งที่สามนับตั้งแต่เดือนเมษายน และครั้งนี้คำเตือนที่แนบมากับการค้นพบนั้นน่าหวั่นใจยิ่งกว่าสองครั้งก่อนหน้า ตามรายงานจาก TechRadar ผู้เชี่ยวชาญที่อยู่เบื้องหลังการทดสอบซ้ำกล่าวว่าปัญหาของแอปไม่ได้อยู่แค่การพิสูจน์ว่าบุคคลนั้นอายุเท่าไรอีกต่อไป "ขั้นต่อไปคือการพิสูจน์ว่าคุณเป็นใคร" นักวิจัยเตือน ประโยคนี้เปลี่ยนกรอบการถกเถียงทั้งหมดเกี่ยวกับการแฮ็กแอปยืนยันอายุของ EU จากเรื่องบั๊กที่น่าอึดอัด กลายเป็นข้อกังวลด้านความปลอดภัยของข้อมูลประจำตัวที่แท้จริง

สิ่งที่นักวิจัยเจาะระบบได้ ถึงสามครั้ง

แอปยืนยันอายุของ EU ถูกสร้างขึ้นเพื่อให้ผู้คนยืนยันว่าตนมีอายุถึงเกณฑ์ขั้นต่ำ โดยไม่ต้องส่งข้อมูลส่วนตัวที่ไม่จำเป็นให้กับทุกเว็บไซต์หรือแพลตฟอร์มที่ร้องขอ อย่างน้อยนั่นคือจุดขาย ตั้งแต่เปิดตัว นักวิจัยด้านความปลอดภัยคนเดิมก็พบวิธีบ่อนทำลายคำมั่นสัญญานั้นถึงสามครั้ง แต่ละครั้ง ข้อบกพร่องได้บั่นทอนคำกล่าวอ้างหลักที่ว่าแอปเป็นทางเลือกที่รักษาความเป็นส่วนตัว แทนการอัปโหลดภาพสแกนหนังสือเดินทางหรือรูปใบขับขี่ไปยังเว็บไซต์โดยตรง

รายละเอียดของข้อบกพร่องแต่ละรายการมีความสำคัญน้อยกว่ารูปแบบที่มันก่อตัวขึ้น แอปที่ออกแบบและทำตลาดว่าเป็นชั้นการยืนยันตัวตนที่เชื่อถือได้และใช้งานง่ายสำหรับพลเมือง EU หลายร้อยล้านคน ตอนนี้ไม่ผ่านการตรวจสอบอิสระถึงสามครั้งในเวลาเพียงไม่กี่เดือน นั่นไม่ใช่บั๊กจากการนำไปใช้งานที่เกิดขึ้นเพียงครั้งเดียว แต่มันคือประวัติความล้มเหลว

เหตุใดแอปยืนยันอายุจึงเป็นเป้าหมายด้านข้อมูลประจำตัวที่ใหญ่กว่าที่เห็น

มันง่ายที่จะคิดว่าการตรวจสอบอายุเป็นซอฟต์แวร์ที่มีความเสี่ยงต่ำ คุณไม่ได้พิสูจน์ยอดเงินในธนาคารหรือประวัติทางการแพทย์ เพียงแค่ว่าคุณอายุเกิน 18 ปีหรือไม่ แต่กรอบคิดนั้นมองข้ามวิธีที่ระบบเหล่านี้ถูกสร้างขึ้นจริง เพื่อยืนยันอายุได้อย่างน่าเชื่อถือ แอปมักต้องผูกโยงกับเอกสารประจำตัวทางการหรือแหล่งข้อมูลที่หนุนหลังโดยรัฐบาล นั่นหมายความว่าโครงสร้างพื้นฐานเบื้องหลังประตูตรวจสอบอายุมักมีเส้นทางตรงไปยังข้อมูลประจำตัวประเภทที่ผู้โจมตีต้องการมากที่สุด

นี่คือแก่นของคำเตือนของนักวิจัย หากการยืนยันอายุคือประเด็นลิ่มที่ทำให้ประชาชนรู้สึกสบายใจที่จะติดตั้งแอปที่เชื่อมโยงกับรัฐบาลบนโทรศัพท์ของตน ขั้นต่อไปที่เป็นตรรกะสำหรับหน่วยงานกำกับดูแลและแพลตฟอร์มก็คือการยืนยันตัวตนที่กว้างขึ้นสำหรับบริการอื่นๆ หากชั้นตรวจสอบอายุสามารถถูกจัดการหรือเลี่ยงได้ในวันนี้ ก็แทบไม่มีเหตุผลที่จะสันนิษฐานว่าชั้นข้อมูลประจำตัวที่จะตามมาจะปลอดภัยกว่าในตัวของมันเอง ระบบที่ล้มเหลวในงานที่ง่ายกว่า ไม่ได้สร้างความมั่นใจสำหรับงานที่ยากกว่า

ข้อกังวลนี้ไม่ได้มีเฉพาะใน EU ความตึงเครียดคล้ายกันกำลังเกิดขึ้นในทุกที่ที่รัฐบาลผลักดันการตรวจสอบอายุหรือตัวตนภาคบังคับ ตั้งแต่ข้อเสนออย่าง ร่างกฎหมาย C-34 ของแคนาดา ที่กำหนดให้มีการตรวจสอบ ID สำหรับโซเชียลมีเดีย ไปจนถึงกฎหมาย การยืนยันอายุของรัฐต่างๆ ที่ติดอยู่ในช่องว่างทางกฎหมาย ในสหรัฐอเมริกา ความพยายามแต่ละอย่างเหล่านี้ขอให้ผู้ใช้ไว้วางใจว่าชั้นการยืนยันตัวตนที่สร้างขึ้นอย่างรวดเร็ว ภายใต้แรงกดดันทางการเมือง จะต้านทานผู้โจมตีในโลกจริงได้

คำมั่นสัญญาด้านความเป็นส่วนตัวของ EU กับช่องโหว่ด้านความปลอดภัยในโลกจริงของแอปนี้

เมื่อแอปถูกเปิดตัว เจ้าหน้าที่วางกรอบว่ามันเป็นโซลูชันที่แข็งแกร่งทางเทคนิค ซึ่งจะให้ผู้ใช้ยืนยันอายุโดยไม่ต้องเปิดเผยเอกสารประจำตัวแก่บุคคลที่สาม การแฮ็กซ้ำๆ ทำให้เรื่องเล่านั้นซับซ้อนขึ้นอย่างมาก ผู้สนับสนุนความเป็นส่วนตัวได้ตั้งข้อกังวลเชิงโครงสร้างเกี่ยวกับวิธีที่คำกล่าวอ้างเรื่องการยืนยันอายุยืนหยัดภายใต้การตรวจสอบ ตามรายละเอียดใน การวิเคราะห์ของที่ปรึกษา EDRi ว่าทำไมคำกล่าวอ้างเรื่องความเป็นส่วนตัวของการยืนยันอายุจึงไม่สมเหตุสมผล ช่องว่างระหว่างสิ่งที่ระบบเหล่านี้ให้คำมั่นสัญญา กับสิ่งที่มันสามารถรับประกันได้จริง เป็นประเด็นที่เกิดขึ้นซ้ำๆ มานานก่อนการแฮ็กครั้งล่าสุดนี้

ความกังขาดังกล่าวได้แปรเปลี่ยนไปสู่การดำเนินการทางการเมือง พลเมือง EU ซึ่งได้รับการสนับสนุนจากพรรคไพเรต ได้ผลักดันโครงการริเริ่มอย่างเป็นทางการเพื่อให้การคุ้มครองความเป็นส่วนตัวในการยืนยันอายุมีผลผูกพันทางกฎหมาย แทนที่จะเป็นเพียงความมุ่งหวัง ซึ่งเป็นการเคลื่อนไหวที่รายงานในข่าว พลเมือง EU ผลักดันให้การยืนยันอายุที่เป็นส่วนตัวมีผลผูกพัน การมีอยู่ของแคมเปญนั้นตอกย้ำประเด็นง่ายๆ: ในตอนนี้ การรับประกันความเป็นส่วนตัวที่มาพร้อมกับแอปนี้คือคำมั่นสัญญาเชิงนโยบาย ไม่ใช่ข้อเท็จจริงทางเทคนิคที่บังคับใช้ได้ และการแฮ็กสามครั้งในเวลาไม่กี่เดือนทำให้ความแตกต่างนั้นยากจะมองข้าม

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากคุณเป็นพลเมือง EU ที่ติดตั้งหรือกำลังพิจารณาติดตั้งแอปยืนยันอายุ สิ่งเหล่านี้ไม่ได้หมายความว่าข้อมูลของคุณถูกเปิดเผยแน่นอน แต่มันหมายความว่าการรับรองความปลอดภัยเบื้องหลังแอปไม่ได้ยืนหยัดอย่างสม่ำเสมอภายใต้การทดสอบจากภายนอก และนั่นเป็นสิ่งที่ควรนำมาพิจารณาว่าคุณจะพึ่งพามันมากเพียงใดในตอนนี้

ในทางปฏิบัติ นั่นหมายถึงการระมัดระวังเกี่ยวกับข้อมูลส่วนตัวที่คุณเชื่อมโยงกับแอปนอกเหนือจากที่จำเป็นจริงๆ การอัปเดตแอปและซอฟต์แวร์อุปกรณ์ของคุณให้ทันสมัยอยู่เสมอ และให้ความสนใจกับการสื่อสารอย่างเป็นทางการของ EU เกี่ยวกับแพตช์หรือการแก้ไขที่เกี่ยวข้องกับข้อบกพร่องที่เปิดเผยแต่ละรายการ นอกจากนี้ยังหมายถึงการสนับสนุนการผลักดันให้มีกฎความเป็นส่วนตัวที่มีผลผูกพันและบังคับใช้ได้ แทนที่จะคิดว่าคำมั่นสัญญาโดยสมัครใจเพียงพอแล้ว เพราะแรงกดดันนั้นมักเป็นสิ่งที่เปลี่ยนการออกแบบที่มีแนวโน้มดี ให้กลายเป็นสิ่งที่น่าเชื่อถืออย่างแท้จริง

บทเรียนที่กว้างกว่านั้นขยายไปไกลกว่าแอปนี้เพียงแอปเดียว ในขณะที่รัฐบาลต่างๆ ทดลองใช้การยืนยันอายุและตัวตนภาคบังคับมากขึ้น ประสบการณ์ของ EU กำลังกลายเป็นกรณีศึกษาที่มีประโยชน์ว่าเกิดอะไรขึ้นได้บ้าง เมื่อความเร็วในการเปิดตัวนำหน้าการทดสอบความปลอดภัย

ข้อแนะนำที่นำไปปฏิบัติได้:

• จำกัดข้อมูลส่วนตัวที่คุณแนบกับแอปยืนยันอายุใดๆ ให้อยู่ในขอบเขตขั้นต่ำที่กฎหมายกำหนด
• คอยติดตามประกาศแพตช์อย่างเป็นทางการ และอัปเดตแอปทันทีเมื่อมีการปล่อยการแก้ไข
• ติดตามงานวิจัยด้านความปลอดภัยอิสระ แทนที่จะพึ่งพาคำกล่าวอ้าง "พร้อมทางเทคนิค" จากทางการเพียงอย่างเดียว
• สนับสนุนการเรียกร้องให้มีการคุ้มครองความเป็นส่วนตัวที่มีผลผูกพันทางกฎหมายในระบบยืนยันอายุ ไม่ใช่แค่คำมั่นสัญญาโดยสมัครใจ
• ปฏิบัติต่อแอปใดๆ ที่เกี่ยวข้องกับข้อมูลประจำตัวหรืออายุ ด้วยความระมัดระวังเช่นเดียวกับที่ใช้กับแอปการเงินหรือการแพทย์