欧州委員会による公式発表から数時間後、未成年者にふさわしくないコンテンツへのアクセスを制限するように設計された新しいオンライン年齢確認アプリケーションはすでに激しい議論の中心となっているが、それは確かに期待された理由ではなかった。このプロジェクトは、ウルズラ・フォン・デア・ライエン大統領によってプライバシーを尊重し、オープンソース コードに基づいたソリューションとして提示されましたが、実際には IT セキュリティの専門家によって詳細に分析されましたが、最初の調査結果はまったく有望なものではありませんでした。

このようなケースではよくあることですが、特にオープンソースであり、それを手に入れたい人は誰でもアクセスできるソフトウェアについて話している場合、コミュニティはすぐに行動を起こしました。最初にこのシステムを調査した人の中には、サイバーセキュリティ研究者のポール・ムーア氏も含まれており、彼はわずか 12 時間でかなり重大な脆弱性を特定することに成功し、約 2 分でアプリの保護を回避することさえできました。

ヨーロッパのオンライン年齢確認アプリではあまりにも簡単に回避できる構造上およびセキュリティ上の問題

レポートによると、確認された主な問題は、初期構成時に必要な PIN の管理に関するものです。理論上、このコードは暗号化され、身元を明らかにすることなくユーザーの年齢を確認するために使用されるべきであり、この点は委員会が強く主張している。

しかし、分析から判明したことによると、PIN 暗号化は機密情報を管理するシステムに安全に接続されません。簡単に言い換えると、最小限の技術スキルを持つユーザーは、アプリのローカル ファイルに直接介入し、PIN に関連付けられたデータを変更または削除してシステムを再起動し、新しいコードを設定して以前の資格情報へのアクセスを取り戻すことができます。

ムーア自身が強調しているように、これはアプリの単独のバグというよりもむしろ深刻な設計上の欠陥であり、ここで問題の中心的な問題の 1 つが明らかになります。この脆弱性を修正するには、おそらくユーザーの ID をシステムとより密接に結び付ける必要があるでしょうが、プロジェクトの柱の 1 つを表す匿名性が損なわれてしまいます。

ただし、重要な問題は PIN だけにとどまりません。アプリ (現在は GitHub でコードが公開されている Android プロトタイプとしてのみ利用可能) の機能をさらに分析すると、少なからず疑問を残す他の要素が明らかになります。

たとえば、ブルート フォース攻撃を防ぐために不可欠なアクセス試行回数を制限するシステムは、ローカルに保存されたカウンターに基づいており、特に困難なく変更できます。これは、ユーザーが手動でリセットして無制限に試行を続けることができ、事実上あらゆる保護を無効にすることができることを意味します。

同様に、顔認識による追加のセキュリティ層を追加する生体認証も、構成ファイル内の単純なブール値パラメータに作用することで無効化できます。したがって、簡単な変更により、コントロールを完全にバイパスできるようになります。

オンライン本人確認システムについて話すときによくあることですが、問題の本当の核心は、セキュリティとプライバシー保護の間の微妙なバランスのようです。匿名で透明性があり、公的に検証可能なツールを提供するという欧州委員会の基本的な考え方は間違いなく受け入れられるものですが、その実際的な実装は、少なくとも現時点ではまだ未熟であると思われます。

専門家によって提起された批判は、個々の脆弱性だけでなく、設計アプローチ全体にも関係しています。特に、数人の開発者は、そのような機密データにユーザー側でアクセスしたり変更したりできないようにすべきであることを強調し、資格情報を管理するための安全なエンクレーブなど、最新のスマートフォンにすでに存在するより堅牢なソリューションの採用を示唆しています。

その間、ソーシャルメディアや専門家の間で欠陥や予期せぬ動作に関する新たな報告が相次いでおり、このプロジェクトは技術的に準備が整っていると定義されているにもかかわらず、大規模に採用する前におそらくさらなる開発とチェックが必要であることを示しています。

つまり、オンライン コンテンツへのアクセスをより効果的に規制するための重要な一歩となるはずだったこのアプリは、少なくとも当面は、安全でプライバシーに配慮したシステムの設計に伴う困難を象徴する事例となる危険性がある。したがって、欧州委員会がプロジェクトの本来の構造を歪めることなくこれらの重要な問題を解決できるかどうか、またその方法を理解するまで待つ必要がある。