Jugendschutz und Sicherheit: EU-App für Altersnachweis nach zwei Minuten gehackt
Die in der vergangenen Woche veröffentlichte Jugendschutz-App der EU-Kommission zum Altersnachweis ist von mehreren Sicherheitsforschern untersucht worden. Der Sicherheitsberater Paul Moore(öffnet im neuen Fenster) gab an, die App in weniger als zwei Minuten gehackt zu haben. Als Grund nannte er, dass vertrauliche Daten auf dem Smartphone ungeschützt abgelegt worden seien.
Viele der Erkenntnisse von Moore wurden vom französischen White-Hat-Hacker Baptiste Robert bestätigt, berichtet Politico(öffnet im neuen Fenster). Nach Roberts Angaben sei es möglich, biometrische Authentifizierungsfunktionen der App zu umgehen. Somit könne auf die App zugegriffen werden, ohne Autorisierung mit einem PIN-Code oder einem biometrischen Anmeldeverfahren.
Im Gespräch mit dem Magazin beschreibt der Kryptografie-Forscher Olivier Blazy das Problem so: "Nehmen wir an, ich habe die App heruntergeladen und nachgewiesen, dass ich über 18 bin. Dann kann mein Neffe mein Handy nehmen, meine App entsperren und sie nutzen, um zu beweisen, dass er über 18 ist.".
Die Europäische Kommission widerspricht
Auf Nachfrage des Magazins erklärte die Europäische Kommission, dass bisher lediglich eine frühe Demoversion der App zur Alterskontrolle untersucht worden sei, weil nur diese zu "Test- und Entwicklungszwecken" veröffentlicht worden sei. Alle genannten Sicherheitsprobleme sollen bereits in einer neueren Version der App "behoben" worden sein.
Sowohl Moore als auch Blazy betonen jedoch, dass sie ihre Tests an der aktuellen Onlineversion des EU-Codes durchgeführt hätten. "Es ist gut, dass sie die App als Open Source veröffentlicht haben, damit Experten sie ausprobieren und testen können. Das Problem ist, dass der veröffentlichte Quellcode nicht den Cybersicherheitsstandards entspricht, die wir von einer so wichtigen App erwarten würden", sagt Blazy.
"Wir hatten befürchtet, dass die Kommission ihre App ungeachtet der Sicherheitsprobleme überstürzt auf den Markt bringen würde, und nun sehen wir, dass sie etwas einführen will, das technisch noch nicht ausgereift ist", fügt Blazy hinzu. "Ein solch überstürzter Start könnte das Vertrauen in zukünftige digitale Identitäts-Wallets untergraben."
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.