Критика проекту перевірки віку від Європейського Союзу

Проект перевірки віку з відкритим вихідним кодом Європейського Союзу викликав критику після того, як один з обслуговуючих підтвердив, що апаратна атестація є обов’язковою архітектурною вимогою. Це викликає занепокоєння щодо Linux, кастомних Android ROM і незалежно зібраних додатків.

Дебати про апаратну атестацію

Дебати розпочалися в репозиторії GitHub Android-додатку проекту, де користувач стверджував, що зв’язування облікових даних зі специфічними апаратними середовищами ускладнить підтримку відкритих систем.

“Апаратна атестація є вимогою цього проекту, а не деталлю реалізації, яку ми можемо просто відкинути,” – відповів один з обслуговуючих. Проект запросив альтернативні архітектурні пропозиції і повідомив, що найближчим часом буде опубліковано спеціалізований огляд безпеки та модель загроз.

Вимоги до перевірки віку

Рішення дозволяє користувачам доводити, що вони досягли певного віку, не розкриваючи своє ім’я, точну дату народження або повний документ особи. Щоб запобігти копіюванню, клонуванню або повторному використанню облікових даних, проект покладається на ключі, збережені в захищеному апараті, такому як Android TEE, StrongBox або Secure Enclave від Apple.

Проте критики стверджують, що такий підхід ставить під загрозу систему, оскільки робить її залежною від невеликої кількості схвалених пристроїв, операційних систем і постачальників атестації.

Технічні специфікації та обмеження

Технічна специфікація проекту вимагає, щоб додатки для перевірки віку використовували рідне криптографічне апаратне забезпечення, коли це можливо. Втім, строгіші перевірки, такі як виявлення root, Google Play Integrity і Apple App Attest, не є загальнообов’язковими за еталонною реалізацією і можуть залишитися на відповідальність окремих розробників.

Ця відмінність важлива, оскільки зберігання ключів із апаратною підтримкою не вимагає сервера для затвердження всього пристрою, операційної системи або будь-якої збірки програми. Слова обслуговуючого залишають певну невизначеність щодо того, якими будуть обмеження в умовах виробництва.

Обмеження в управлінні та доступності

Існує також окреме обмеження в управлінні. Постачальники підтвердження віку мають видавати облікові дані тільки для додатків, включених до списку сумісних додатків, що ведеться Європейською комісією. Це означає, що публікація вихідного коду не є автоматичною гарантією того, що версія, створена спільнотою, може використовувати реальну службу.

Важливо, що Linux не є чітко забороненим. Користувачі настільного Linux можуть отримати доступ до вебсайту і відсканувати QR-код, використовуючи підтримуваний мобільний гаманець. Проте поточна архітектура не забезпечує корінний гаманець для Linux, а альтернативні мобільні операційні системи можуть зіткнутися з труднощами у виконанні вимог довіри.

Висновки та подальші кроки

Таким чином, як ви можете зрозуміти, суперечка виходить далеко за межі єдиної реалізації на Android. Поки що позиція проекту полягає в тому, що апаратне зв’язування залишається обов’язковим. Очікуваний огляд безпеки та модель загроз можуть надати більш детальне пояснення, чому було вибрано цей компроміс і чи можуть альтернативні джерела довіри або менш обмежувальні реалізації все ще відповідати вимогам.

До тих пір ключове питання залишається невирішеним: чи може фінансована ЄС система ідентифікації з відкритим кодом залишатися відкритою, якщо доступ у реальному світі залежить не лише від наявного вихідного коду, але й від схвалених додатків, підтримуваного безпеки апаратного забезпечення, надійних операційних середовищ та політик постачальників облікових даних.