Evropska komisija je predstavila končno različico aplikacije za preverjanje starosti na internetu, ki sta jo poldrugo leto razvijala nemški in švedski partner. Izkazalo se je, da ima več lukenj kot švicarski sir, polno ranljivosti in malomarno obravnavo osebnih podatkov, nekatere funkcionalnosti pa sploh še niso implementirane. Komisija je morala stopiti korak nazaj, mi pa se vprašajmo, kateri problem sploh rešuje.
Predsednica Evropske komisije je 15. aprila letos pompozno sporočila, da je tehnologija za preverjanje starosti na internetu pripravljena in da bo vsak hip na voljo za uporabo. S sistemom, ki ima na uporabniški strani aplikacijo, bodo lahko Evropejci učinkovito, hitro in anonimno dokazovali svojo starost na internetu in s tem pridobili dostop do vsebin, ki zaradi otrok ne morejo biti univerzalno dostopne. Ursula von der Leyen je ob tem izpostavila, da je nova rešitev brezplačna, uporabniku prijazna, zanesljiva in varna, saj je odprtokodna. Uporabijo jo lahko tudi partnerske države, medtem ko jo bodo države članice lahko prenesle oziroma implementirale v svojih aplikacijah. Kot že tolikokrat doslej so se tehnološka zagotovila in napovedi politikov izjemno slabo postarali. Trajalo je manj kot en dan, da so strokovnjaki pokazali, da predlagana rešitev niti približno ne dosega svojega namena.
Ni nenavadno, da imajo prve različice programske opreme, zlasti kadar rešujejo novo nalogo, porodne krče. Tudi pri novi aplikaciji smo to lahko pričakovali, a predsednica Komisije je tako odločno predstavila novo tehnologijo in izrecno poudarila, da je dokončana in nared za končnega uporabnika, da so varnostni strokovnjaki in hekerji to lahko razumeli kot povabilo k razstavljanju in iskanju lukenj.
V nasprotju s pogumnimi političnimi besedami ob predstavitvi so omejitve odgovornosti (disclaimers) ob izvorni kodi precej previdnejše. Koda je bila dan pozneje objavljena na Githubu, saj gre za del širše infrastrukture evropske digitalne denarnice, o kateri smo že pisali (Prihaja evropska digitalna denarnica, Monitor 01/26). Na vrhu opisa na Githubu je tudi mesec dni pozneje še vedno na veliko napisano, da gre za demo različico, ki se še posodablja in testira. Povsem nasprotno od visokoletečih besed o izidu torej.
Tehnično gledano Evropska komisija torej ni izdala končne inačice aplikacije – da predsednica ne pozna tehničnih podrobnosti izdelkov, o katerih govori, je povsem razumljivo in logično, bi ji pa morali to razložiti pisci govora –, temveč referenčni model (reference stack) z generično aplikacijo (white label) za Android in iOS, ki jo lahko države prilagodijo svojim potrebam, primer spletne storitve za preverjanje avtentikacije in nekaj testnih strani. A z vehementno najavo je duh ušel iz steklenice.
Najglasneje se je nekaj ur po predstavitvi aplikacije oglasil strokovnjak za varnost Paul Moore, ki je sicer v širši skupnosti znan po svojih katastrofičnih ocenah informacijskih izdelkov, zato marsikdo njegove besede jemlje z zrnom soli. Na X-u je zapisal, da aplikacija osebnih podatkov ne varuje primerno. Biometrične podatke shrani v formatu PNG na napravo, izbriše pa jih šele ob uspešni preveritvi starosti. Če postopek iz kakršnegakoli razloga spodleti, denimo, če uporabnik vmes klikne nazaj ali če se aplikacija sesuje, ostanejo zapisani na napravi. Še huje je, kadar za preverjanje starosti posnamemo svojo fotografijo (selfi), ki se shrani v shrambo na napravi in ne izbriše.
V drugi objavi se je lotil še varnostnih pomislekov oziroma zanesljivosti aplikacije. Ugotovil je, da se PIN za vstop shrani v deljeno mapo (shared_prefs), do katere ima napadalec dostop. Iz nje lahko preprosto izbriše zapis in ponovno zažene aplikacijo, pa ga bo ta vprašala po novem PIN, a nato uporabila iste podatke, ki so bili vneseni v prvem poskusu. To v praksi pomeni, kdor dobi fizični dostop do telefona, lahko ponastavi PIN in aplikacijo uporablja v imenu prejšnjega uporabnika. Na istem mestu je mogoče spremeniti tudi vrednost spremenljivke, ki določa, ali bomo uporabili biometrično avtentikacijo ali ne (UseBiometricAuth). Vse to so resne varnostne luknje, pravi Moore.
Z oceno se strinja tudi francoski etični heker Baptiste Robert. V veliki meri pritrjuje Moorovim opažanjem. Zaščite, kot sta biometrična avtentikacija in PIN, je zlahka mogoče ukaniti. Po njegovi oceni je aplikacija zasnovana tako, da jo lahko ob lokalnem dostopu do naprave, bodisi z Androidom ali iOS, brez težav prevaramo.
Francoski strokovnjak za kriptografijo Olivier Blazy je opisal, kako bi potekala zloraba. Polnoletni uporabnik bi se povsem legitimno identificiral kot takšen, nato pa bi njegov telefon lahko pograbil mladoletni nečak, odklenil aplikacijo brez poznavanja PIN in jo uporabil za dokazovanje polnoletnosti na spletu.
Miłosz Gaczkowski iz podjetja Reversec ob tem miri, da Moore ni bil povsem iskren. Zamolčal je namreč (iz objavljenih videoposnetkov sicer očitno dejstvo), da je bil njegov telefon odklenjen in da je imel administratorske privilegije (rooted). Običajni uporabniki nimajo tako odklenjenih telefonov, ker jih to izpostavi več varnostnim tveganjem in ker se ob postopku običajno izbrišejo (factory reset) uporabniški podatki. Če pa telefon na tak način ni odklenjen, uporabnik nima dostopa do mape shared_prefs, v kateri bi potem lahko spreminjal datoteke aplikacije. Še vedno gre za pomanjkljivo tehnično izvedbo, a je manj tragična, kot se zdi na prvi pogled.
Še dan pozneje, torej v petek, 17. aprila, je morala tudi Evropska komisija priznati, da so se nekoliko prenaglili. Glavna tiskovna predstavnica Paula Pinho je dejala, da je aplikacija nared, a da jo je vedno mogoče izboljšati. Thomas Regnier, ki v pisarni za stike z javnostjo pokriva tehnološko suverenost, je dejal še nekoliko bolj dvoumno, da »ko rečejo končna različica, gre še vedno za demo različico«, saj se bo »koda nenehno posodabljala in izboljševala«. Ranljivosti, ki so jih v prvem dnevu izpostavili etični hekerji, naj bi že odpravili.
Odprtokodnost aplikacije je v resnici velika prednost, meni Blazy, saj strokovnjakom omogoča analizo in preizkus aplikacije. V nasprotnem primeru lukenj ne bi odkrili tako hitro, predvsem pa ne bi bilo takoj jasno, kaj so njihovi vzroki.
Nesprejemljivo pa je hitenje, zaradi česar so v svet poslali luknjičasto različico, ki ne dosega pričakovanih varnostnih standardov. Za tako pomembno aplikacijo je malomarno spodkopavanje verodostojnosti in zaupanja javnosti neproduktivno. Na kocki je še precej več od aplikacije za ugotavljanje starosti. Evropa pripravlja digitalne denarnice (EUDI), ki morajo zaživeti do konca leta in bodo predstavljale osrednjo infrastrukturo za digitalizacijo identitete in dokumentov. Če jim javnost ne bo zaupala, bo projekt obsojen na propad, še preden bo zaživel.
Belgijski etični heker Inti De Ceukelaire ob tem dodaja, da je dobra praksa, da se poleg izvorne kode objavijo tudi vse varnostne analize in ocene, ki so bile narejene. In pri tako ključnih aplikacijah so te nujne, kar pa se v tem primeru pred izidom ni zgodilo.
V praksi uporabnik postopa takole. Najprej zažene aplikacijo, potrdi strinjanje s pogoji rabe in z obravnavo osebnih podatkov in si izbere šestmestni PIN ter lahko potrdi biometrično prijavo. Nato izbere način dokazovanja starosti (npr. osebni dokument), vnese osnovne informacije oziroma naloži sliko osebnega dokumenta ali svojo istovetnost dokaže z digitalno identiteto. V aplikaciji se nato pokažejo poverilnice, ki ustrezajo njegovi starosti. Na spletnih straneh jih nato uporabi tako, da s telefonom skenira kodo QR na strani.
Četudi bi aplikacija za preverjanje starosti delovala popolnoma, bi jo bilo še vedno trivialno obiti. Zadostuje že uporaba navideznega zasebnega omrežja (VPN), s katerim lahko svojo lokacijo navidezno prestavimo v drugo državo. Če je ta zunaj EU, evropska pravila za platforme ne bodo veljala in stran se bo lahko pokazala brez omejitev. Osnovni paketi so že zelo poceni, nekateri so za osnovno rabo celo brezplačni (npr. ProtonVPN). Druga možnost je uporaba omrežja Tor, ki je za praktične namene anonimno, resda pa počasno.
V Evropski uniji se pojavljajo glasovi o prepovedi VPN in Tora, s čimer bi se kontinent nevarno približal avtoritarnim državam, ki to počno. Kako bi se takšna prepoved nadzorovala v praksi, ni jasno, saj ima VPN pretežno legitimno rabo, Tor pa je narejen z mislijo na izogibanje cenzuri in omejitvam. Tudi avtoritarni režimi so spoznali, da so popolne omejitve interneta nemogoče, približati pa se jim je seveda mogoče.
Iz slovenske zgodovine se lahko spomnimo na blokado tujih spletnih stavnic pred 20 leti. Urad za nadzor prirejanja iger na srečo je tedaj od ponudnikov dostopa do interneta zahteval blokado tujih stavnic, denimo Bwin. V letih 2006–2010 je Urad nekaterim tujim prirediteljem prepovedal prirejanje in leta 2010 dobil pristojnost, da operaterjem naloži blokado teh spletnih strani. Ukrep je bil tedaj milo rečeno neuporaben, ker se je izvajal na ravni strežnikov DNS, zato so uporabniki preprosto uporabili tuje DNS, pa so domene prirediteljev iger na srečo in stavnic spet delovale.
Na koncu se moramo vprašati, čemu so namenjene omejitve dostopnosti strani, ki jih predlaga EU. Preprečiti želi, da bi se obiskovalci mimogrede ali po naključju znašli na straneh ali platformah, ki so zanje škodljive. Če pa bi želela onemogočiti vsakršen obisk strani, ki jih uporabniki aktivno iščejo in želijo obiskati, je to povsem drugačen namen – in tehnično bistveno težji problem. Aplikacija za preverjanje starosti temu nikoli ni bila namenjena.
Več kot 400 strokovnjakov za zasebnost in varnost je marca letos, torej še pred predstavitvijo ‘končne’ različice aplikacije, Komisiji poslalo odprto pismo. V njem so zahtevali moratorij na uvajanje sistemov za preverjanje starosti na internetu, dokler se ne izoblikuje konsenz o prednostih in slabostih tovrstnih tehnologij in dokler se ne oceni tehnološka izvedljivost takih ukrepov. Med podpisniki ni nikogar iz Slovenije. Medtem ko so raziskave precej enotne, da je uporaba družbenih omrežij povezana s številnimi tveganji in da ima zlasti pri otrocih številne negativne vplive, so mnenja o prepovedi za otroke precej deljena. Še manj je konsenza pri vsesplošnem preverjanju starosti vseh uporabnikov, ki bi se raztezalo na vse potencialno sporne strani, ne le družbena omrežja, temveč tudi na spletne stavnice, pornografijo itd.
Avstralija je prva država, ki je uvedla stroge starostne omejitve za uporabo družbenih omrežij. Od konca lanskega leta mlajši od 16 let ne smejo imeti profilov na Facebooku, Tiktoku, Youtubu in podobnih straneh. Evropski parlament je novembra lani s prepričljivo večino podprl nezavezujoči predlog o postavitvi meje 16 let za dostop do družbenih omrežij, medtem ko bi za starejše od 13 let dostop lahko dovolili starši.
Učinki prepovedi so sicer vprašljivi. Fundacija Molly Rose je marca letos izvedla raziskavo med avstralskimi otroki, starimi od 12 do 15 let. Ugotovili so, da ima tudi po prepovedi uporabe 61 odstotkov otrok, ki so imeli račune na družbenih omrežjih, še vedno dostop do njih. Večina jih za nadaljevanje dostopa ni storila nič (60 odstotkov), četrtina jih je obšla prepoved z istimi profili, desetina je ustvarila nove profile, preostali pa so uporabili VPN ali pomoč starejših. Kar 70 odstotkov jih je dejalo, da je preprosto obiti prepoved, polovica pa jih meni, da zdaj niso nič varnejši.
Podobno raziskavo je maja letos v Veliki Britaniji izvedla organizacija Internet Matters, kjer so bile ugotovitve nekoliko spodbudnejše. Po spremembi zakonodaje (Online Safety Act) je 70 odstotkov otrok in staršev na internetu opazilo več varnostnih mehanizmov, denimo preverjanje starosti. Večina otrok in staršev spremembe podpira, čeprav otroci menijo, da je omejitve enostavno preskočiti.
Kljub temu želi zgledu slediti tudi več evropskih držav, med katerimi prednjačijo Francija, Grčija in Danska, ki so mejo postavile na 15 let in bodo letos ali prihodnje leto prepoved začele izvajati. Številne druge države o tem razmišljajo ali že pripravljajo zakonodajo. V Sloveniji se je o tem govorilo februarja, nato pa so volitve pogoltnile to razpravo, ki se še ni vnovič pojavila. Države, ki bodo prepoved uvedle, potrebujejo tehnično rešitev, kjer jim enotni pristop Evropske komisije lahko pomaga, če bo seveda tehnološko dovršen. Trenutno ni.