Unia Europejska od miesięcy zapowiada wprowadzenie aplikacji do weryfikacji wieku, która ma pomóc chronić dzieci w internecie. Projekt miał być odpowiedzią na rosnące problemy związane z dostępem nieletnich do treści dla dorosłych oraz presją na platformy internetowe. Problem w tym, że jeszcze zanim rozwiązanie trafiło do użytkowników, ktoś zdążył je już złamać — i to w mniej niż dwie minuty.
Według najnowszych informacji demo aplikacji przygotowane przez Komisję Europejską zostało przeanalizowane przez specjalistów od bezpieczeństwa. Jeden z nich pokazał publicznie, jak łatwo można obejść zabezpieczenia i uzyskać dostęp do danych zapisanych w tak zwanym „portfelu tożsamości”. Cała operacja zajęła mu dosłownie chwilę. W teorii aplikacja ma działać bardzo prosto — użytkownik potwierdza swoją tożsamość raz, na przykład przy użyciu dowodu osobistego lub paszportu, a następnie strony internetowe otrzymują jedynie informację „tak” lub „nie” dotyczącą wieku. Bez nazwiska, bez daty urodzenia, bez dodatkowych danych. Brzmi dobrze, ale praktyka pokazuje, że diabeł tkwi w szczegółach.
W pokazie opublikowanym przez badacza bezpieczeństwa widać, że wystarczyło dostać się do pliku konfiguracyjnego aplikacji, usunąć zapisany wcześniej kod PIN i ustawić nowy. W efekcie osoba atakująca mogła przejąć dostęp do zapisanych danych i korzystać z nich jak właściciel urządzenia. To oznacza, że zabezpieczenie, które miało chronić użytkownika, można obejść bez większego wysiłku. Co ważne, taki scenariusz nie dotyczy wyłącznie zaawansowanych hakerów. W teorii wystarczy ktoś, kto ma dostęp do telefonu i podstawową wiedzę techniczną. W praktyce oznacza to, że nawet nastolatek mógłby próbować obejść zabezpieczenia na urządzeniu rodzica.
Komisja Europejska odniosła się do sprawy i podkreśliła, że problem dotyczy wersji demonstracyjnej, a nie finalnego produktu. Jednocześnie pojawiło się dość charakterystyczne zastrzeżenie — nawet „gotowa” wersja aplikacji ma być stale rozwijana i ulepszana. Innymi słowy: projekt jest gotowy, ale wciąż nie do końca. Cała sytuacja wpisuje się w szerszą debatę o tym, czy systemy weryfikacji wieku w ogóle mają sens. Już wcześniej setki ekspertów ds. bezpieczeństwa ostrzegały, że takie rozwiązania mogą być łatwe do obejścia, a przy okazji tworzą nowe ryzyko wycieku danych. Bo niezależnie od tego, czy aplikacja przechowuje pełne dane, czy tylko ich fragment, zawsze pojawia się pytanie: co jeśli ktoś się do tego dostanie?
Dla graczy i zwykłych użytkowników internetu temat jest szczególnie istotny. Coraz więcej usług — od mediów społecznościowych po gry online — może w przyszłości wymagać potwierdzenia wieku. To oznacza potencjalnie koniec anonimowego dostępu do części treści albo konieczność korzystania z zewnętrznych narzędzi do logowania. Nie jest to zresztą pierwszy raz, kiedy regulacje uderzają bezpośrednio w cyfrową rozrywkę. Coraz częściej mówi się o ograniczeniach dotyczących mikrotransakcji, ochrony dzieci w grach czy odpowiedzialności platform za użytkowników. Jeśli interesuje Cię ten temat, warto sprawdzić także nasz artykuł o ostatnich problemach z bezpieczeństwem w branży gier, który pokazuje, jak często nawet duże firmy mają z tym kłopot.
Warto też zwrócić uwagę na to, że presja regulacyjna rośnie nie tylko w Europie. Rządy na całym świecie zaczynają coraz mocniej ingerować w sposób działania platform i usług online. Dla graczy oznacza to jedno — zmiany, które dziś wyglądają jak testy lub eksperymenty, jutro mogą stać się standardem. Na razie trudno powiedzieć, czy finalna wersja aplikacji rzeczywiście rozwiąże problemy wykryte w demo. Historia technologii pokazuje jednak, że jeśli coś da się obejść, prędzej czy później ktoś to zrobi. A w przypadku systemów opartych na tożsamości użytkownika stawka jest wyjątkowo wysoka.
Jedno jest pewne — temat weryfikacji wieku dopiero się rozkręca. I wszystko wskazuje na to, że w najbliższych miesiącach będzie o nim bardzo głośno, zwłaszcza jeśli kolejne testy pokażą podobne problemy jak ten, który właśnie wyszedł na jaw.
