"Hackea" la aplicación de verificación de edad de la UE para mostrar sus debilidades
Un consultor de seguridad ha "hackeado" la aplicación de verificación de edad de la Unión Europea para analizar y poner a prueba su funcionamiento, así como revelar sus puntos débiles.
La Comisión Europea presentó este miércoles la nueva aplicación para verificar la edad de los usuarios que acceden a las redes sociales y comprobar así que las plataformas respetan los límites de acceso de los menores de edad.
A falta de conocer los detalles técnicos de esta aplicación, el consultor de seguridad Paul Moore ha decidido probar la seguridad que ofrece y tras su análisis, asegura que ha conseguido hackearla "en menos de dos minutos".
Así lo comparte en una publicación en la red X, donde explica y muestra con un vídeo el problema de privaciadad que identificó, informa Ep. En primer lugar, la aplicación pide un PIN de cuatro a seis dígitos para acceder a ella posteriormente. Ese PIN queda encripitado y guardado en un fichero.
Moore ha indicado que el PIN no debería estar encriptado, ya que es un "diseño realmente deficiente", y además, no está vinculado criptográficamente al repositorio que contiene los datos de identidad.
Posteriormente, el consultor ha podido probar cómo se puede borrar el PIN de cifrado del fichero de la aplicación y entrar al perfil configurado anteriormente. "Un atacante puede simplemente eliminar los valores PinEnc/PinIV del archivo shared_prefs y reiniciar la app", ha señalado.
Una vez que se haya elegido un PIN diferente, la aplicación presenta las credenciales creadas en el perfil anterior, permitiendo que el atacante las muestre como legítimas.
Además, identificó problemas en otros parámetros dentro de la aplicación, como el 'rate limiting' o 'UseBiometricAuth'. Este último, se presenta ocmo una variable 'booleana' que se puede omitir.
Más allá de mostrar las flaquezas de la aplicación, Moore ha mandado una advertencia a la presidenta de la Comisión Europea, Ursula von der Leyen: "Este producto acabará provocando una gran brecha en algún momento. Es solo cuestión de tiempo".
No obstante, la aplicación probada por Moore no es la definitiva, ya que Von der Leyen apuntó que que estará lista "muy pronto", sin ofrecer un calendario claro. Sin embargo, la "app" se encuentra actualmente en un programa piloto para Francia, Dinamarca, Grecia, Italia, España e Irlanda.