Bir güvenlik araştırmacısı, Nisan ayından bu yana Avrupa Birliği'nin yaş doğrulama uygulamasını üçüncü kez kırdı ve bu sefer bulguya eklenen uyarı, önceki ikisinden daha rahatsız edici. TechRadar'ın haberine göre, tekrarlanan testlerin arkasındaki uzman, uygulamanın sorunlarının artık sadece birinin kaç yaşında olduğunu kanıtlamakla ilgili olmadığını söylüyor. Araştırmacı, "Bir sonraki adım kim olduğunuzu kanıtlamak olacak" uyarısında bulundu; bu cümle, AB yaş doğrulama uygulaması hack'i etrafındaki tüm tartışmayı, garip bir hata hikâyesinden gerçek bir kimlik güvenliği endişesine dönüştürüyor.

Araştırmacının Üç Kez Üst Üste Kırdığı Şey

AB'nin yaş doğrulama uygulaması, insanların her web sitesine veya platforma gereksiz kişisel veri vermeden asgari yaş eşiğini karşıladıklarını doğrulayabilmeleri için geliştirildi. En azından iddia buydu. Uygulama yayına alındığından beri, aynı güvenlik araştırmacısı bu vaadi baltalamanın yollarını üç ayrı seferde buldu. Her seferinde, kusurlar uygulamanın, doğrudan bir web sitesine pasaport taraması veya ehliyet fotoğrafı yüklemeye kıyasla gizlilik koruyan bir alternatif olduğu temel iddiasını aşındırdı.

Her bir bireysel kusurun ayrıntıları, oluşturdukları örüntüden daha az önemli. Yüz milyonlarca AB vatandaşı için güvenilir, düşük sürtünmeli bir doğrulama katmanı olarak tasarlanan ve pazarlanan bir uygulama, birkaç ay içinde üç ayrı bağımsız incelemeden geçemedi. Bu, tek seferlik bir uygulama hatası değil. Bu bir sicil.

Yaş Doğrulama Uygulamaları Neden Göründüklerinden Daha Büyük Bir Kimlik Hedefi

Bir yaş kontrolünü düşük riskli bir yazılım parçası olarak düşünmek cezbedicidir. Banka bakiyenizi veya tıbbi geçmişinizi değil, sadece 18 yaşından büyük olup olmadığınızı kanıtlıyorsunuz. Ancak bu çerçeve, bu sistemlerin gerçekte nasıl inşa edildiğini gözden kaçırır. Yaşı güvenilir bir şekilde doğrulamak için, bir uygulamanın tipik olarak resmî bir kimlik belgesine veya devlet destekli bir veri kaynağına dayanması gerekir. Bu, bir yaş kapısının arkasındaki altyapının çoğu zaman saldırganların en çok istediği türden kimlik verilerine doğrudan bir hat çektiği anlamına gelir.

Araştırmacının uyarısının özü budur. Eğer yaş doğrulama, vatandaşların telefonlarına devlet bağlantılı bir uygulama yüklemeye alışmalarını sağlayan kama mesele ise, düzenleyiciler ve platformlar için bir sonraki mantıklı adım diğer hizmetler için daha geniş kimlik doğrulamasıdır. Eğer yaş kontrolü katmanı bugün manipüle edilebiliyor veya atlatılabiliyorsa, onu takip edecek kimlik katmanının doğal olarak daha güvenli olacağını varsaymak için çok az neden vardır. Daha basit bir görevde başarısız olan bir sistem, daha zor olan için güven telkin etmez.

Bu endişe AB'ye özgü değil. Hükümetlerin zorunlu yaş veya kimlik kontrollerini dayattığı her yerde benzer bir gerilim yaşanıyor; Kanada'nın C-34 Yasa Tasarısı gibi sosyal medya için kimlik kontrolü zorunluluğu getiren önerilerden, ABD'de şu anda yasal belirsizlik içinde askıda kalan eyalet yaş doğrulama yasalarına kadar. Bu çabaların her biri, kullanıcılardan siyasi baskı altında hızla inşa edilmiş bir doğrulama katmanının gerçek dünya saldırganlarına karşı dayanacağına güvenmelerini istiyor.

AB'nin Gizlilik Vaadi Karşısında Bu Uygulamanın Gerçek Dünyadaki Güvenlik Açıkları

Uygulama tanıtıldığında, yetkililer bunu kullanıcıların yaşlarını kimlik belgelerini üçüncü taraflara ifşa etmeden doğrulamalarına olanak tanıyacak teknik olarak sağlam bir çözüm olarak çerçeveledi. Tekrarlanan hack'ler bu anlatıyı önemli ölçüde karmaşıklaştırıyor. Gizlilik savunucuları, yaş doğrulama iddialarının inceleme altında nasıl geçerliliğini koruduğuna dair yapısal endişelerini zaten dile getiriyordu. EDRi danışmanının, yaş doğrulama gizlilik iddialarının neden tutarsız olduğuna dair çözümlemesinde ayrıntılı olarak belirtildiği gibi, bu sistemlerin vaat ettikleri ile gerçekte garanti edebildikleri arasındaki fark, bu son hack'ten çok önce de yinelenen bir temaydı.

Bu şüphecilik siyasi eyleme dönüştü. Korsan Parti tarafından desteklenen AB vatandaşları, yaş doğrulamada gizlilik korumalarını gönüllü olmaktan çıkarıp yasal olarak bağlayıcı hale getirmek için resmî bir girişim başlattı; bu hamle, AB vatandaşlarının gizlilik yaş doğrulamasını bağlayıcı hale getirme çabasına dair haberde ele alınmıştı. Bu kampanyanın varlığı basit bir noktanın altını çiziyor: Şu anda bu uygulamaya eklenmiş gizlilik garantileri politika taahhütleridir, uygulanabilir teknik gerçekler değil ve birkaç ay içinde yaşanan üç ayrı hack, bu ayrımı görmezden gelmeyi zorlaştırıyor.

Bu Sizin İçin Ne Anlama Geliyor

Eğer yaş doğrulama uygulamasını yüklemiş veya yüklemeyi düşünen bir AB sakiniseniz, bunların hiçbiri verilerinizin kesinlikle ifşa olduğu anlamına gelmez. Ancak uygulamanın arkasındaki güvenlik güvencelerinin dış testler altında tutarlı bir şekilde geçerli olmadığı anlamına gelir ve bu da şimdilik uygulamaya ne kadar güvendiğinizi değerlendirmeye değer kılar.

Pratikte bu, uygulamaya kesinlikle gerekli olanın ötesinde hangi kişisel bilgileri bağladığınız konusunda temkinli olmak, uygulamayı ve cihaz yazılımınızı güncel tutmak ve ifşa edilen her kusura bağlı yamalar veya düzeltmeler hakkında resmî AB iletişimlerini takip etmek anlamına gelir. Aynı zamanda, gönüllü taahhütlerin yeterli olduğunu varsaymak yerine bağlayıcı, uygulanabilir gizlilik kuralları için yapılan baskıyı desteklemek anlamına da gelir; çünkü bu baskı, genellikle umut verici bir tasarımı gerçekten güvenilir bir tasarıma dönüştüren şeydir.

Daha geniş ders bu tek uygulamanın ötesine uzanıyor. Daha fazla hükümet zorunlu yaş ve kimlik doğrulaması denedikçe, AB'nin deneyimi, yayına süratli geçişin güvenlik testlerini geride bırakması durumunda nelerin yanlış gidebileceğine dair faydalı bir vaka çalışması haline geliyor.

Uygulanabilir öneriler:

  • Herhangi bir yaş doğrulama uygulamasına bağladığınız kişisel verileri, yasal olarak gereken asgari düzeyle sınırlayın.
  • Resmî yama duyurularını izleyin ve düzeltmeler yayınlandığında uygulamayı derhal güncelleyin.
  • Yalnızca resmî "teknik olarak hazır" iddialarına güvenmek yerine bağımsız güvenlik araştırmalarını takip edin.
  • Yaş doğrulama sistemlerinde gönüllü vaatler değil, yasal olarak bağlayıcı gizlilik korumaları çağrılarını destekleyin.
  • Kimlik veya yaş verisine dokunan herhangi bir uygulamaya, finansal veya tıbbi uygulamalara göstereceğiniz ihtiyatı gösterin.