La Comissió Europea feia temps que presentava el seu sistema de verificació d'edat com una peça important en la protecció de menors a internet. La idea és que una persona pugui demostrar que és major d'edat sense lliurar més dades personals de les necessàries, usant una tecnologia vinculada a la futura cartera digital europea. Però l'estrena d'aquesta solució ha ensopegat abans de començar amb bon peu: un investigador independent va mostrar en molt poc temps que diversos dels seus controls locals podien manipular-se.
Aquí convé fer un matís important. El que s'ha publicat no apunta que algú hagi trencat tota l'arquitectura criptogràfica del sistema ni que la futura identitat digital europea hagi quedat compromesa. El problema, almenys pel que s'ha difós fins ara, estaria en la implementació local de l'aplicació, és a dir, en com protegeix certs ajustos i barreres dins del mateix dispositiu.
La fallada no era en la idea, sinó en l'execució
La Comissió descriu aquesta eina com una solució temporal i oberta, pensada per verificar la majoria d'edat amb la mínima exposició possible d'informació personal. En aquest model, el sistema s'hauria de limitar a respondre si una persona compleix o no el requisit d'edat, sense necessitat d'identificar-la plenament davant la plataforma que ho sol·licita.
El problema és que la demostració atribuïda a l'investigador Paul Moore posa el focus en una cosa molt menys sofisticada i, precisament per això, més incòmoda: diversos controls d'accés podien alterar-se mitjançant l'edició de fitxers locals. Entre els elements que s'han assenyalat hi ha el comptador d'intents fallits, part del sistema de bloqueig i paràmetres relacionats amb la verificació biomètrica. La Comissió no ha publicat, per ara, un desglossament tècnic complet acceptant aquests punts un per un, així que aquesta part s'ha de llegir com el que és: una prova pública atribuïda a l'investigador i difosa àmpliament en xarxes i mitjans especialitzats.
Una ensopegada especialment delicada pel context
Aquest llançament no arriba en un moment qualsevol. Brussel·les està accelerant tot el que està relacionat amb la protecció de menors en línia i amb el desplegament d'eines d'identitat digital dins de la Unió Europea. De fet, la mateixa Comissió ja havia explicat que aquesta aplicació de verificació d'edat serviria com a solució provisional fins que la cartera digital europea estigués plenament operativa als estats membres.
Per això el problema va més enllà de la fallada tècnica. Tot i que la vulnerabilitat afecti sobretot la protecció local i no invalidi per si sola tot el model de verificació, el cop de credibilitat és evident. Quan una eina es presenta com a resposta a un cas d'ús tan sensible, qualsevol debilitat visible en els seus controls bàsics pesa molt més que en una aplicació qualsevol.
No enterra el projecte, però sí que deixa una alerta clara
El més prudent ara mateix és no convertir aquest episodi en una cosa més gran del que sabem. No hi ha base per dir que tota la infraestructura europea d'identitat digital hagi fracassat abans de néixer. Però tampoc sembla raonable minimitzar el que ha passat. Si una app dissenyada per verificar una cosa tan delicada com la majoria d'edat pot alterar-se des del mateix dispositiu amb relativa facilitat, l'avís és seriós.
La lliçó, en realitat, és bastant simple. En sistemes així no n'hi ha prou amb una bona promesa de privadesa ni amb una arquitectura elegant sobre el paper. La seguretat també es juga en els detalls més mundans: com s'emmagatzemen les dades, com es protegeixen els controls i què passa quan algú intenta manipular el que hi ha dins del mòbil. I, segons el que s'ha publicat fins ara, aquí és just on aquesta aplicació ha ensenyat les seves costures massa aviat.