Die EU-Kommission hat eine neue App zur digitalen Altersverifikation vorgestellt, die Online-Dienste künftig ohne Weitergabe persönlicher Daten absichern soll. Doch kurz nach Veröffentlichung des Open-Source-Codes melden Sicherheitsforscher gravierende Schwachstellen.
Der Sicherheitsberater Paul Moore erklärte auf X, er habe die App innerhalb weniger Minuten manipulieren können. PIN-Daten sollen lokal gespeichert sein und sich durch Änderungen an Konfigurationsdateien zurücksetzen lassen, wodurch sich die App neu initialisieren lässt, ohne die Identitätsprüfung erneut durchlaufen zu müssen.
Auch der französische IT-Sicherheitsforscher Baptiste Robert soll bestätigt haben, dass sich Authentifizierungsmechanismen umgehen lassen. Demnach könnten sowohl PIN als auch biometrische Verfahren ausgehebelt werden. Kryptografie-Experte Olivier Blazy kritisiert zudem konzeptionelle Mängel: Die Bindung zwischen Gerät, Nutzer und verifizierter Identität sei unzureichend, sodass eine bestätigte Altersfreigabe möglicherweise von anderen Personen auf demselben Gerät genutzt werden könne.
Weitere Probleme betreffen offenbar die Begrenzung von Fehlversuchen, die als einfacher Zähler in einer Konfigurationsdatei gespeichert sein soll und damit manipulierbar ist. Auch die Einstellung zur biometrischen Authentifizierung lasse sich manuell deaktivieren.
Die EU-Kommission verweist darauf, dass es sich um eine Entwicklungs- und Testversion handle. Bekannte Schwachstellen seien bereits aufgenommen worden und würden überarbeitet. Die App gelte noch nicht als final veröffentlicht und werde fortlaufend weiterentwickelt.
