Взлом приложения ЕС для проверки возраста: иллюзия приватности?

Скандал вокруг европейского приложения для проверки возраста набирает обороты. Когда глава Еврокомиссии торжественно пообещала, что новое приложение обеспечит детям «более безопасный старт в интернете», независимый эксперт Пол Мур лишь вздохнул: «Ага, сейчас». Мур — ветеран ИТ с двадцатилетним стажем — взломал новинку почти сразу после её запуска. На X (бывший Twitter) он с иронией отчитался: обошёл последнюю версию через обычное расширение для Chrome. И это уже привычное дело: по мнению Мура, «анонимная проверка возраста не работает».

Основная проблема даже не в приватности как таковой, говорит Мур, а в том, что неработающие способы в итоге приведут к худшему. «Это всего лишь поступательное движение под флагом защиты детей. Сначала ты доказываешь возраст — потом доказываешь, кто ты такой», — объясняет он.

Современные технологии проверки возраста нередко требуют сканирования паспорта или сбора биометрических данных — и каждое такое действие увеличивает громоздкий цифровой след. Уже был громкий скандал, когда утечка данных партнёра Discord обнажила личные документы 70 000 человек. Европейская комиссия бодро заверяет: теперь всё иначе. Вдохновившись приложением для ковид-сертификатов, они создали «образец» для национальных программ: открытый код, приватность, никакой передачи данных — чудо на ZKP и VC (термины из криптографии, обозначают «нулевое раскрытие»). Теоретически — звучит красиво. Телефон пользователя хранит все данные сам, а сайтам показывается лишь «да/нет» по возрасту, даже ФИО не отправляется.

Но Мур остаётся скептичен. Без связи с личностью результата доверять невозможно, всё легко обходится. Своё расширение Chrome Мур написал за считанные минуты при помощи искусственного интеллекта. Первый прототип имитировал приложение, но без проверки документа — автоматически подтверждая возраст. Второе расширение стало ещё изящнее: считало QR-код с сайта, пересылало его на отдельное устройство и возвращало готовую цифровую подпись. Всё происходит без вмешательства пользователя, в автоматическом режиме. Такие «автоматизированные релейные атаки» почти неизбежны, их нельзя запретить — подделок нет, просто эксплуатируется дыра в архитектуре.

ЕС чуть пожимает плечами: де, на родителей тоже надежда, пусть следят за детьми. Но, напоминает Мур, главный «злоумышленник» тут не злоумышленник совсем — это сам пользователь, которому не хочется проходить проверки. И раз взлом заложен на уровне идеи, обходить будут всегда. Что дальше? Мур опасается: если нынешняя анонимность провалится, следующий рубеж — тотальная идентификация личности и отказ от приватности ради мнимой защиты. Проблема в фундаменте: если все данные на устройстве, то доверять нечему, ведь ничего не выходит наружу, а значит, невозможно проверить правдивость ответов. Выбор у чиновников патовый: или приватность, или рабочий механизм проверки. Но ЕС, судя по всему, выберет ужесточение контроля, а свобода пользователей останется очередной жертвой бумажных «инициатив».

Мур заключает: сегодня нас кормят обещаниями приватности, но завтра эти же технологии могут стать инструментом цифрового тотального контроля. Возраст онлайн — навсегда с вами, приватности — нет.