Pochi giorni addietro la Commissione europea ha presentato la nuova app per la verifica dell’età online, indicata come utilizzabile dalle piattaforme per proteggere i minori da contenuti dannosi e illegali (in Italia dovrebbe disponiible tramite IT-Wallet).
L’app si configura usando il passaporto o la carta di identità, non rivela informazioni personali dell’utente, funziona da qualsiasi dispositivo (smartphone, tablet e computer) ed è open source, ed è proprio la natura open source che ha permesso di individuare in pochissimo tempo falle importanti.
Paul Moore, un ricercatore di sicurezza ha scoperto che l’app può essere “hackerata” in due minuti. Il ricercatore spiega che l’app memorizza in locale il PIN cifrato ma questa cifratura non è associato all’identità dell’utente: eliminando alcuni valori dal file di configurazione dell’app è possibile creare un nuovo PIN. Altri problemi sono stati individuati nel contatore che tiene conto del numero di PIN sbagliati, salvato nello stesso file di configurazione e facilmente azzeratile. La possibilità di sfruttare l’autenticazione biometrica è legata a un semplice valore booleano (vero o falso): basta impostarlo su falso per aggirarla.
Diversi sviluppatori evidenziano non solo bug ma problemi di design in generale nell’app per come è stata concepita, evidenziando che i dati sensibili non dovrebbero essere mai direttamente accessibili o modificabili da chiunque. “Perché non hanno sfruttato il Secure Enclave?”, si chiede uno sviluppatore, evidenziando un sottosistema di sicurezza disponibile sui moderni smartphone e in grado di mantenere protetti i dati sensibili dell’utente.
Altro mistero è la scadenza della variabile che consente di determinare l’età: se l’utente ha superato i 18 anni è inutile continuare a fare ulteriori verifiche successive (un maggiorenne rimane maggiorenne).
Si contesta ancora la conservazione sul dispositivo di dati biometrici e selfie anche dopo l’elaborazione, in violazione del GDPR (Regolamento generale sulla protezione dei dati). Infine.
Pavel Durov, l’imprenditore fondatore del social network russo VK e del servizio di messaggistica istantanea Telegram, ha commentato le vulnerabilità affermando che, a suo modo di vedere l’UE ha creato un’app volutamente “fallata” e creare uno strumento per la sorveglianza dei cittadini europei.
