Det tog dem två minuter att hacka EU-appen för minderåriga. Det är inte så allvarligt som det verkar

I mitten av veckan meddelade EU att man hade färdigt sitt verktyg för att verifiera ålder på internet. Det lade på bordet en lösning för att bevisa identitet vid åtkomst till onlinetjänster, och slutligen förena en kontrollmetod för minderåriga. På bara 48 timmar har någon redan hackat applikationen, men det finns ett knep.

Vad har hänt? Paul Moore, cybersäkerhetskonsult, visar i X sårbarheterna i appen som EU lovade att ha klar. Specifikt ber appen oss att skapa en PIN-kod med fyra till sex siffror för att skydda vår identitet.

En pin i teorin krypterad och sparad i en fil. Moore har upptäckt att, åtminstone i den version av appen som han har kunnat testa, kan krypterings-PIN-koden raderas från filen och den tidigare konfigurerade profilen kan matas in. Med andra ord behöver du bara ta bort en kodrad för att komma åt data.

Vad är felet? Appen, trots att EU anger att den redan var klar, krypterar för närvarande inte denna PIN-kod. Inte heller är inloggningsuppgifterna kopplade till en specifik PIN-kod så att, om någon försöker ändra eller radera den, kan vår data inte nås.

Han påpekar också att, åtminstone just nu, litar appen för mycket data på en redigerbar fil. Om en angripare kommer åt den är det ganska lätt för dem att kringgå appens skyddslager och använda någon annans identitet. Det avslutas med att visa hur skyldigheten att använda biometri är en boolesk variabel (sant eller falsk), som kan ändras genom att ändra "falskt" och "sant" i den redigerbara filen.

Varför det finns ett trick.

Det finns ett avstånd från att säga till att göra, och EU har lanserat en trippel genom att se till att dess app "nu är klar". Den version som konsulten har haft tillgång till är inte den slutgiltiga, det är en demoversion där säkerhetsskikten ännu inte har lagts till. Förutom att de är mindre buggar är de strukturella fel som inte ens borde finnas i en initial version.

Kontroversen uppstår när Ursula von der Leyen försäkrar att appen är "tekniskt redo", presenterar den på en presskonferens och timmar senare får man veta att den fortfarande är i testfasen. I Xataka Vi har ett problem med minderåriga som vape nivå: det finns företag som vill installera en ålder verifierare för dem Varför är det viktigt. Trots att det är en förproduktionsversion hjälper hacket oss att få en uppfattning om appens funktion och gränssnitt, samt de möjliga begränsningar den kan ha på säkerhetsnivån.

Det skulle faktiskt inte vara första gången som en app från EU eller den spanska administrationen har haft allvarliga säkerhetsincidenter. Den 30 januari samma år upptäckte Europeiska kommissionen tecken på att dess plattform för hantering av mobila enheter (där den lagrar sina anställdas data) hade äventyrats, och Radar COVID föddes i Spanien utan att följa RGPD.

Vad har tipsat oss. Den första versionen av åldersverifieringsappen visar oss ett enkelt gränssnitt där vi, efter att ha angett PIN-koden, har tre verifieringsmetoder. Genom vårt ID Genom pass Genom en QR-kod Appen har fyra sektioner: välkomst, samtycke, säkerhet (PIN) och verifiering.

Apputvecklarna kommer att ansvara för att integrera denna europeiska lösning i sina appar och trots Von der Leyens glöd finns det fortfarande inget datum för dess ankomst. I Xataka | Är det dags att avsluta anonymiteten? Argumenten för och emot den pelare som internet har byggts på