Hackean la aplicación de la UE para verificar la edad: ¿una ilusión de privacidad?

El escándalo en torno a la aplicación europea para verificar la edad va en aumento. Cuando la presidenta de la Comisión Europea prometió solemnemente que la nueva aplicación ofrecería a los niños «un comienzo más seguro en internet», el experto independiente Paul Moore se limitó a suspirar: «Sí, claro». Moore, veterano de las tecnologías de la información con veinte años de experiencia, hackeó la novedad casi inmediatamente después de su lanzamiento. En X (antes Twitter) informó con ironía de que había burlado la última versión con una extensión normal de Chrome. Y esto ya es habitual: en opinión de Moore, «la verificación anónima de la edad no funciona».

El problema principal ni siquiera es la privacidad en sí, dice Moore, sino que los métodos que no funcionan acabarán conduciendo a algo peor. «Es solo un avance gradual bajo la bandera de la protección de la infancia. Primero demuestras tu edad y luego demuestras quién eres», explica.

Las tecnologías actuales de verificación de edad suelen exigir escanear el pasaporte o recopilar datos biométricos, y cada una de esas acciones aumenta una huella digital engorrosa. Ya hubo un escándalo sonado cuando una filtración de datos de un socio de Discord dejó al descubierto los documentos personales de 70.000 personas. La Comisión Europea asegura alegremente que ahora todo es distinto. Inspirándose en la aplicación de los certificados COVID, han creado un «modelo» para los programas nacionales: código abierto, privacidad, ninguna transferencia de datos; una maravilla basada en ZKP y VC (términos criptográficos que se refieren a la «divulgación cero»). En teoría suena muy bien. El teléfono del usuario almacena todos los datos y a las webs solo se les muestra un «sí/no» sobre la edad; ni siquiera se envía el nombre completo.

Pero Moore sigue siendo escéptico. Sin vincular el resultado a una identidad, no hay forma de confiar en él y es fácil burlarlo. Moore escribió su extensión de Chrome en cuestión de minutos con ayuda de inteligencia artificial. El primer prototipo imitaba la aplicación, pero sin verificar ningún documento: confirmaba automáticamente la edad. La segunda extensión era aún más ingeniosa: leía un código QR de la web, lo enviaba a otro dispositivo y devolvía una firma digital ya preparada. Todo ocurre automáticamente, sin intervención del usuario. Estos «ataques de retransmisión automatizados» son prácticamente inevitables y no se pueden prohibir: no se falsifica nada, simplemente se aprovecha una brecha en la arquitectura.

La UE se encoge un poco de hombros: bueno, también se confía en los padres; que vigilen a sus hijos. Pero Moore recuerda que aquí el principal «malhechor» no es ningún malhechor: es el propio usuario, que no quiere pasar por las verificaciones. Y si el fallo está en la propia idea, siempre habrá quien la burle. ¿Qué viene después? Moore teme que, si fracasa la anonimidad actual, el siguiente paso sea la identificación total de las personas y el abandono de la privacidad en nombre de una protección ilusoria. El problema está en los cimientos: si todos los datos permanecen en el dispositivo, no hay nada en lo que confiar, porque nada sale de él y, por tanto, no se puede comprobar si las respuestas son ciertas. Los funcionarios se enfrentan a un dilema sin salida: privacidad o un mecanismo de verificación que funcione. Pero, por lo visto, la UE elegirá reforzar el control, y la libertad de los usuarios volverá a ser otra víctima de las «iniciativas» de papel.

Moore concluye que hoy nos alimentan con promesas de privacidad, pero mañana estas mismas tecnologías pueden convertirse en un instrumento de control digital total. La edad online te acompañará para siempre; la privacidad, no.