L'age verification app dell'Ue hackerata in due minuti: PIN e riconoscimento facciale aggirabile

Cosa è successo

La Commissione europea ha dovuto subito correre ai ripari per aggiornare la sua neonata app di age verification: solo poche ore dopo il rilascio del codice in open source, un gruppo di ricercatori indipendenti ha necessitato di nemmeno due minuti d’orologio per smontare l’intera architettura.

I difetti esposti sono sistemici. I dati sensibili vengono salvati in chiaro sul dispositivo, mentre i blocchi di autenticazione biometrica risultano facilmente aggirabili. Ma la vera falla è concettuale: la tanto sbandierata crittografia zero-knowledge proof (ovvero una tecnica che permette a una parte di dimostrare a un'altra che una certa informazione è vera, senza rivelare l'informazione stessa) — che l'Europa aveva promesso per validare l'età in totale anonimato — è listata nel codice come una funzionalità puramente "sperimentale", da aggiungere in futuro. Pressata dalle evidenze, Bruxelles ha annunciato "misure immediate", certificando il rilascio di un prodotto acerbo.

Perché è importante

È difficile non pensare ad un clamoroso autogol politico. L'Ue puntava a fornire un'infrastruttura di Stato inattaccabile per costringere le piattaforme ad applicare rigorosamente il Digital Services Act (DSA), privandole della storica scusa legata ai rischi per la privacy. Ha invece servito all'industria tech la prova empirica che verificare l'età su larga scala, in totale sicurezza, è allo stato attuale un miraggio ingegneristico.

• Il collasso dell'app, prima ancora che informatico, è strutturale. Come fatto notare tra gli altri dal ricercatore Paul Walsh, il sistema confonde l'identità con l'intento: l'app non verifica chi sta fisicamente davanti allo schermo in quel momento, ma effettua un check a monte valido poi per tutte le sessioni seguenti.
• Una volta inserito il PIN o fatta la scansione del volto da un adulto, in pratica, un minorenne potrà da quel momento operare come adulto verificato, senza restrizioni. L'infrastruttura rischia di trasformarsi in un lasciapassare riutilizzabile all'infinito, l'equivalente digitale di un documento d'identità prestato agli amici fuori da un locale.

E adesso?

• La fretta di assecondare le urgenze politiche degli Stati membri ha finito per armare i critici. L'incidente ha infatti subito offerto una sponda a figure come Pavel Durov, Ceo di Telegram, che ha gioco facile nel bollare l'iniziativa come l'ennesimo cavallo di Troia per instaurare una sorveglianza di massa camuffata da tutela dei minori.
• Poi, come sempre, il danno più profondo si misurerà sull'adozione reale. Un report del Department for Science, Innovation & Technology britannico (citato nello studio FPS sulla Age Verification) avvertiva già come il 27% degli adulti abbandonerebbe un servizio pur di non dover inserire i propri documenti; un'infrastruttura incapace di proteggere i dati in locale offre a questo scetticismo una legittimazione formidabile.
• Ma in prospettiva il “fallimento sovrano" lascia comunque un vuoto: se un'app non può impedire lo scambio fisico del telefono, l'unica soluzione per applicare la legge potrebbe dover essere la delega del controllo anagrafico a chi gestisce i sistemi operativi e gli app store. Cioè esattamente il monopolio da cui l'Europa cercava di emanciparsi.