Флагманский проект Европейского союза, призванный дать гражданам возможность подтверждать свой возраст в интернете без раскрытия личных данных, подвергся жёсткой критике всего через несколько дней после официального запуска. Причиной стали заявления исследователя в области компьютерной безопасности, который обошёл основные меры защиты приложения менее чем за две минуты.
Приложение, которое президент Европейской комиссии Урсула фон дер Ляйен рекламировала как «технически готовое» и созданное в соответствии с «высшими стандартами конфиденциальности», должно было стать панацеей для новых строгих законов ЕС о безопасности в интернете. Вместо этого тщательный анализ его открытого исходного кода — функции прозрачности, которой хвастался ЕС, — выявил то, что эксперты называют фундаментальными архитектурными недостатками, превращающими инструмент в потенциальный канал для мошенничества с личными данными.
Консультант по безопасности Пол Мур подробно описал способ обхода защиты в серии постов на X (ранее Twitter), отметив уязвимость настолько элементарную, что она граничит с фарсом. По словам Мура, приложение шифрует PIN-код пользователя и хранит его локально. Однако критическая ошибка заключается в том, что это шифрование не привязано к реальному хранилищу идентификационных данных пользователя. Эта оплошность позволяет любому, у кого есть доступ к файловой системе устройства — или вредоносному ПО, маскирующемуся под программу для очистки файлов, — просто удалить значения PIN-кода, перезапустить приложение, установить новый код и без проблем вернуться в ранее подтверждённую учётную запись.
«Серьёзно, фон дер Ляйен — этот продукт рано или поздно станет причиной масштабной утечки данных. Это лишь вопрос времени», — предупредил Мур.
Проблема тут посерьёзнее, чем просто забытый пароль для сброса. Мур продемонстрировал, что настройки защиты приложения от атак методом перебора хранятся в тех же редактируемых конфигурационных файлах в виде обычного текста. Если злоумышленник заблокирован после слишком большого количества неправильных попыток ввода PIN-кода, он может найти счётчик, сбросить его и пробовать снова — до бесконечности. Хуже того, переключатель биометрической безопасности — требовать ли отпечаток пальца или сканирование лица — управляется одним булевым флагом. Смена значения с «true» на «false» даёт приложению команду полностью пропустить биометрическую проверку, полагаясь исключительно на уязвимый PIN-код.
Основатель Telegram Павел Дуров, которому не привыкать к конфликтам с регулирующими органами в Европе, сразу же отреагировал на инцидент в сообщении своим подписчикам. Дуров высказал мнение, что эта уязвимость может быть не просто результатом некомпетентности, а предсказуемым шагом в рамках регуляторной «тактики выжидания». «Их приложение для проверки возраста было уязвимо для взлома по самой своей конструкции — оно доверяло устройству», — написал Дуров. «Сначала выдайте приложение, „уважающее конфиденциальность“, но уязвимое для взлома. Потом дождитесь, пока его взломают. Потом удалите из него конфиденциальность, чтобы „исправить“ приложение. И вы получите инструмент для слежки под видом уважающего конфиденциальность приложения».
Этот скандал подчёркивает, по какому тонкому льду ходят европейские регуляторы. Прототип, запущенный без лишнего шума в июле 2025 года, появился в то время, когда страны по всему миру ужесточают меры по ограничению доступа несовершеннолетних к социальным сетям и контенту для взрослых. Однако технические проблемы приводят к тому, что какими бы благими ни были намерения законодателей, их усилия в итоге создают новые уязвимости. Несмотря на то, что фон дер Ляйен подчеркнула, что открытый исходный код приложения является гарантией доверия, именно эта прозрачность позволила Муру выявить огромные дыры в системе до того, как она была внедрена для использования миллионами европейцев.
ссылка на оригинал статьи https://habr.com/ru/articles/1024808/