Додаток ЄС для перевірки віку провалив публічні тести на безпеку

Під час публічної демонстрації програми перевірки віку в ЄС, яка була представлена Європейською комісією, її було зламано з мінімальними зусиллями. Заяви про абсолютний захист даних виявилися далекими від реальності. Система, що позиціонувалася як повністю готова до впровадження, не змогла протистояти навіть базовим методам обходу захисту.

Джерело зображення: ALEXANDRE LALLEMAND/Unsplash

Під час відкритого тестування, як повідомляє Botcrawl, дослідники змогли відключити біометричну перевірку, скинути механізм блокування та обійти ПІН-код, що захищає облікові дані. Програма продовжувала видавати підтверджений статус віку навіть після відключення всіх рівнів безпеки, що не вимагало складних інструментів або глибоких знань у реверс-інжинірингу. Така легкість злому, на думку фахівців, свідчить про те, що захист був слабким спочатку, а не став результатом тривалої роботи білих хакерів, що суперечить твердженням Європейської комісії про те, що система готова до безпечного розгортання.

Джерело зображення: botcrawl.com

Окремі дослідження виявили серйозні проблеми з обробкою вихідних біометричних даних під час сканування документів і селфі. При NFC-скануванні програма зберігала зображення обличчя у вигляді файлу PNG, який видалявся лише після успішного завершення процесу, а в разі збою залишався вразливим. З селфі ситуація виявилася гіршою: фотографії записувалися у зовнішнє сховище у форматі без втрат і врешті-решт часто не видалялися, створюючи ризик для конфіденційності.

Розрив між обіцяним і фактичним результатом важко пояснити, зазначає Botcrawl, оскільки голова Єврокомісії Урсула фон дер Ляйєн «не представляла це як прототип, пілотний проект або ранню версію, що потребує доопрацювання перед більш широким впровадженням». Вона описувала це як завершений, готовий до використання продукт. Розбіжність між обіцяною готовністю програми та її реальною вразливістю викликає у фахівців особливі занепокоєння на фоні того, що інструмент подавали як захід захисту дітей.

Хочеш дізнатися більше — читай відгуки