Приложение ЕС для проверки возраста взломали за две минуты: эксперты раскритиковали фундаментальные уязвимости

Подробности

Приложение Евросоюза для проверки возраста пользователей оказалось уязвимым к взлому, который можно осуществить менее чем за две минуты. Консультант по безопасности Пол Мур, изучив открытый исходный код, продемонстрировал процедуру обхода защиты на видео, что вызвало серьёзный скандал вокруг системы, заявленной как "технически готовая" и соответствующая "высочайшим стандартам приватности".

Архитектурные недостатки и критические уязвимостиОсновная проблема заключалась в том, что зашифрованный PIN-код хранился локально на устройстве без надёжной привязки к хранилищу идентификационных данных. Удалив несколько служебных файлов, злоумышленник мог сбросить старый PIN-код, установить новый и получить полный доступ к ранее верифицированным данным.

В конфигурационных файлах также были обнаружены параметры, позволяющие отключить биометрическую аутентификацию и сбросить счётчик попыток ввода кода. Настоящей сенсацией стало выявление факта хранения на устройстве пользователя "сырых" биометрических данных и селфи в незашифрованном виде. Эти файлы никогда не удаляются системой, что противоречит заявлениям Еврокомиссии о конфиденциальности и анонимности процесса.

Позднее подтвердилось, что обнаруженные проблемы касаются не тестового образца, а финальной версии программного обеспечения, доступной для скачивания. Ситуация вызвала жёсткую реакцию со стороны основателя Telegram Павла Дурова, который раскритиковал архитектуру приложения. Он заявил, что система "изначально построена на уязвимой архитектуре и может стать шагом к расширению цифрового контроля". По мнению Дурова, инцидент со взломом может быть использован как предлог для превращения добровольного сервиса в обязательный механизм тотальной слежки.

Еврокомиссия, комментируя ситуацию, признала наличие недостатков, но отвергла обвинения в некомпетентности. Официальные представители заявили, что приложение находится в стадии доработки и не предназначено для реального использования в текущем виде. Они пообещали, что все найденные уязвимости будут исправлены в ближайшее время, а итоговая версия продукта появится позже.