Il 15 aprile Ursula von der Leyen ha annunciato che l’app europea per la verifica dell’età è «tecnicamente pronta» e che rispetta «gli standard di privacy più alti al mondo». Nelle ore successive, Paul Moore, consulente di sicurezza informatica britannico e fondatore della società Privacy Protocol, ha pubblicato su X due analisi del codice sorgente dell’applicazione, segnalando quelli che a suo avviso sono problemi significativi nella gestione del PIN e delle immagini raccolte durante la verifica.
Una premessa necessaria: quanto segue sono osservazioni di Moore diffuse tramite il suo profilo X, non un advisory formale, e la Commissione al momento non ha risposto pubblicamente. Moore non è però un nome qualunque in questo ambito. Nel 2022 aveva documentato come alcune telecamere Eufy caricassero dati biometrici e immagini facciali sui server AWS del produttore senza cifratura e senza consenso, vicenda per cui aveva avviato anche un’azione legale per violazione del GDPR. In precedenza era arrivato a dimostrare un bypass del PIN sull’app Android del gestore di password RoboForm, con un meccanismo molto simile a quello che descrive ora per l’app europea.
Il bypass del PIN descritto da Moore
Secondo il ricercatore, durante il setup l’app chiede di creare un PIN, lo cifra e lo salva nella directory shared_prefs. Moore sostiene che il PIN non dovrebbe essere cifrato affatto e che soprattutto non risulta crittograficamente legato al vault che contiene i dati di identità. Di conseguenza, spiega, un attaccante potrebbe rimuovere i valori PinEnc e PinIV dal file, riavviare l’app, impostare un nuovo PIN e ritrovarsi l’accesso ai dati di verifica del profilo precedente, pronti per essere presentati come validi.
Il ricercatore aggiunge che il rate limiting sarebbe implementato come un semplice contatore numerico nello stesso file di configurazione, azzerabile manualmente, e che l’opzione per l’autenticazione biometrica sarebbe un booleano modificabile allo stesso modo. Moore ha chiuso il messaggio con un riferimento diretto a von der Leyen, affermando che il prodotto sarà, secondo lui, il catalizzatore di una grossa violazione di dati, prima o poi.
Immagini biometriche e selfie scritti su disco
La seconda segnalazione, pubblicata il giorno precedente, riguarda la gestione delle immagini raccolte dall’app. Moore scrive che i dati ricavati dalla verifica, come il valore is_over_18: true, sarebbero protetti correttamente con AES-GCM. Il problema, sempre a suo dire, starebbe nelle immagini originali da cui quei dati vengono estratti, cioè la foto del documento e il selfie dell’utente.
Nel caso della lettura NFC del documento, l’app estrarrebbe il file DG2 (che contiene la foto biometrica del passaporto) e scriverebbe un PNG lossless sul filesystem, cancellandolo solo in caso di lettura riuscita. Se qualcosa va storto, un crash, un tap sul pulsante indietro, un errore di scansione, l’immagine resterebbe nella cache. Per i selfie lo scenario che descrive è peggiore: i PNG verrebbero scritti in storage esterno e mai cancellati, quindi non come cache ma come conservazione a lungo termine. Vale la pena chiarire che su Android, dicendo «storage esterno», non si intende necessariamente una scheda SD, ma più in generale un’area di memoria condivisa e soggetta a protezioni diverse rispetto allo storage privato dell’app. In entrambi i casi, sostiene Moore, i file sono protetti dalle chiavi di Android, ma l’app non aggiunge alcuna cifratura propria.
Il ricercatore ha paragonato la cosa al fotografare un documento con l’app della fotocamera tenendolo in galleria «giusto per sicurezza», aggiungendo che, trattandosi di dati biometrici (categoria particolare ai sensi del GDPR), una conservazione non giustificata potrebbe configurare una violazione sostanziale del regolamento.
Il contesto dell’annuncio UE
L’app, sviluppata da Scytáles e T-Systems, è attualmente in fase pilota in Italia, Francia, Spagna, Danimarca e Grecia, ed è costruita sulle stesse specifiche tecniche del futuro portafoglio di identità digitale europeo. Il fatto che il codice sia aperto è stato presentato dalla Commissione come garanzia di trasparenza, nella convinzione che chiunque possa verificarlo, ed è esattamente quello che Moore sostiene di aver fatto.
Quella segnalata da Moore non è la prima criticità emersa sull’applicazione. A marzo un’analisi indipendente aveva individuato una debolezza architetturale nel componente issuer, incapace di verificare che la validazione del passaporto fosse effettivamente avvenuta sul dispositivo dell’utente. Per ora restano in piedi le dichiarazioni della Commissione e le osservazioni del ricercatore, in attesa che qualcuno, da Bruxelles, risponda nel merito.
Per vostra informazione: i link di X possono essere visti anche usando xcancel.com oppure nitter.net al posto di x.com nell’URL.
SOURCE:// x.com
SOURCE:// x.com
SOURCE:// commission.europa.eu
SOURCE:// reclaimthenet.org
The Commission built the app on the same architecture as its planned continental digital identity wallet. That's not a coincidence.
Ken Macon (Reclaim The Net)
![Un esempio di messaggio di truffa su Mastodon.</p><p>Traduzione del testo:</p><p>Aggiornamento dell'account<br>veriifnotif@mastodon.cloud<br>2m<br>timixretroplays Avviso di sicurezza: verifica dell'account richiesta<br>Abbiamo rilevato attività insolite sul tuo account Mastodon. Per garantire la sicurezza dei dati, la tua visibilità è stata temporaneamente limitata.<br>Per ripristinare l'accesso completo e rimuovere tutte le limitazioni, completa la verifica di sicurezza obbligatoria al seguente link:<br>[mastodon.checl751938.pro/18828...]<br>Le restrizioni verranno rimosse automaticamente al termine. Grazie per la collaborazione.<br>Cordiali saluti, Team di sicurezza di Mastodon](https://poliverso.org/photo/link/483747 "Un esempio di messaggio di truffa su Mastodon.</p><p>Traduzione del testo:</p><p>Aggiornamento dell'account<br>veriifnotif@mastodon.cloud<br>2m<br>timixretroplays Avviso di sicurezza: verifica dell'account richiesta<br>Abbiamo rilevato attività insolite sul tuo account Mastodon. Per garantire la sicurezza dei dati, la tua visibilità è stata temporaneamente limitata.<br>Per ripristinare l'accesso completo e rimuovere tutte le limitazioni, completa la verifica di sicurezza obbligatoria al seguente link:<br>[mastodon.checl751938.pro/18828...]<br>Le restrizioni verranno rimosse automaticamente al termine. Grazie per la collaborazione.<br>Cordiali saluti, Team di sicurezza di Mastodon")
.mau.
in reply to informapirata ⁂ • • •informapirata ⁂ reshared this.
parappappero
in reply to informapirata ⁂ • • •Gianmarco Gargiulo
in reply to informapirata ⁂ • • •informapirata ⁂ reshared this.
informapirata ⁂
Unknown parent • • •@m3nhir secondo me sei fuori strada: il successo di un qualsiasi prodotto/servizio non dipende mai dalle sue caratteristiche funzionali o ergonomiche, ma dal posto che occupa nella mente dei suoi utilizzatori rispetto alle esigenze che essi percepiscono .
Per ogni esigenza c'è un solo prodotto/servizio e, quando si tratta di un servizio di ampia portata, al massimo 1 o 2 contendenti.
Se vuoi i clienti di quel prodotto non devi creare un prodotto migliore, ma un'esigenza diversa
@informatica
Quoll reshared this.
informapirata ⁂
Unknown parent • • •@m3nhir quello che sostengo è un po' diverso: a meno che tu non sia socialmente divergente (naturalmente il fatto che tu sia su Mastodon da 3 anni e mezzo ti caratterizza non proprio come utente tipo), non scegli il prodotto in base a quello che ti serve effettivamente per il tuo utilizzo personale e il rapporto prestazioni/costo è secondario.
Lo scegli piuttosto in base a quello che ti ha insegnato e abituato la tua cerchia, all'abitudine e alla comodità di non cambiare.
(segue)
@informatica
informapirata ⁂
in reply to informapirata ⁂ • • •(segue)
@m3nhir è un concetto controintuitivo, ma quando cominci a farci caso, non riesci più a ignorarlo
@informatica
informapirata ⁂
Unknown parent • • •@m3nhir come vedi, mi stai dimostrando che non sei un soggetto standard. Gli utenti come te (e come me) non sono l'utente tipo per nessun'azienda che non voglia suicidarsi 😁
Questo però non ti solleva dalla responsabilità di capire che il mondo è diverso e che la media degli esseri umani funziona in maniera radicalmente diversa da come funzioni tu...
@informatica