Aplikacija EU za verifikaciju uzrasta kompromitovana za manje od dva minuta

Sistem i aplikacija, razvijeni su kao deo šire inicijative digitalnog identiteta EU, i trebalo je da omoguće korisnicima da dokažu da su punoletni, bez deljenja osetljivih ličnih podataka sa internet platformama, aplikacijama i web sajtovima. 

Aplikacija je deo projekta poznatog kao EUDI, koji ima za cilj da standardizuje digitalnu identifikaciju građana širom EU, a Evropska komisija je predstavila ovu tehnologiju kao bezbedno i privatno rešenje za zaštitu maloletnika na internetu.

Ipak, bezbednosni stručnjak Paul Mur demonstrirao je ozbiljne slabosti aplikacije i celog sistema sistema. Prema njegovoj analizi, zaštita aplikacije može se zaobići jednostavnom manipulacijom lokalnih fajlova na uređaju. Konkretno, PIN kod koji služi za autentifikaciju čuva se lokalno, bez adekvatne zaštite i šifrovanja.

To omogućava korisnicima i sa samo osnovnim tehničkim znanjem da obrišu ili izmene podatke, resetuju sigurnosne mehanizme i ponovo postave pristup bez stvarne verifikacije i provere stvarnog identiteta.

Takođe je utvrđeno i da se ograničenja broja pokušaja unosa PIN koda mogu lako zaobići, kao i da se biometrijska zaštita može deaktivirati promenom samo jedne vrednosti u konfiguraciji. Stručnjaci upozoravaju da problem nije samo tehnički propust, već i fundamentalna greška u dizajnu sistema.

Aplikacija, naime, previše "veruje" uređaju korisnika, umesto da koristi pouzdane mehanizme na serverima i kriptografsku verifikaciju identiteta.

Evropska komisija reagovala je saopštenjem u kojem navodi da je testirana verzija bila samo prototip, i da će bezbednosni nedostaci biti otklonjeni pre šire implementacije. Ipak, kritičari tvrde da ovaj incident pokazuje da je projekat lansiran daleko pre nego što je uopšte i bio spreman za javnu upotrebu.

Sve ovo je dodatno pojačalo zabrinutost u vezi sa budućim planovima EU za digitalni identitet korisnika interneta, posebno imajući u vidu da bi slični sistemi i aplikacije mogli biti korišćeni za pristup širokom spektru usluga, od privatnih komunikacija do javne uprave.

Bezbednosni propust koji omogućava kompromitaciju sistema za svega nekoliko minuta dovodi u pitanje i poverenje građana u digitalne inicijative EU, i otvara ozbiljna pitanja o prioritetima između bezbednosti, privatnosti i brzine implementacije novih tehnologija.

Komentari (0)