EU年齢確認アプリが2分で突破、研究者が主張

期待を集めていたEU年齢確認アプリケーションは、セキュリティ研究者が2分未満でそのコア保護をバイパスする方法を実証した後、厳しい精査を受けています。

EU当局者から堅牢なプライバシー基準として最近賞賛されたこのアプリケーションは、攻撃者がユーザーのID認証情報を簡単に乗っ取ることを可能にする深刻な暗号化およびデザイン上の欠陥を含んでいます。

致命的なPINバイパスが発見

セキュリティコンサルタントのポール・ムーア氏がEU年齢確認アプリのオープンソースコードを分析し、機密ユーザーデータの処理方法における根本的な脆弱性をすぐに発見しました。

主な問題は、アプリケーションのPIN作成と保存プロセスに由来しています。セットアップ中、アプリはユーザーのPINを暗号化し、共有設定として知られる設定ディレクトリにローカルに保存します。

ムーア氏は、PINをローカルで暗号化することは不適切なアーキテクチャ上の選択であるが、より重大な欠陥は、PINがIDデータを保持するセキュアボルトに暗号化的に結び付けられていないことであると指摘しました。

この不接続のため、デバイスのファイルシステムへのローカルアクセスを持つ攻撃者は、設定ファイルを操作してアカウントを乗っ取ることができます。

共有設定ディレクトリから特定のPinEnc およびPinIV 暗号化値を削除し、アプリケーションを再起動するだけで、攻撃者はアプリに新しいPINを要求するよう強制します。

新しいPINが作成されると、アプリケーションは攻撃者に元のユーザーのID認証情報への完全アクセスを付与し、盗まれたIDを有効として提示することを可能にします。

致命的なPINバイパス脆弱性を超えて、ムーア氏は同じローカル設定ファイル内に位置する2つの追加のセキュリティ欠陥を発見しました。

これらの不適切な設計上の選択により、攻撃者は簡単なテキスト編集で他の根本的なセキュリティ制御をバイパスすることができます。

レート制限保護は、設定ファイルのインクリメント数をゼロに変更することで完全に打ち破られる可能性があり、攻撃者はロックアウトされることなく無限にPINを推測することができます。
生体認証チェックは、設定ファイル内の基本的なtrueまたはfalse UseBiometricAuth 値を見つけ、falseに変更することで完全に無効にすることができます。

これらのセキュリティ発見は、欧州委員会委員長ウルスラ・フォン・デア・ライエン氏による最近の発言と直接矛盾しています。

彼女は最近、アプリケーションは技術的には展開の準備ができており、世界で最も高いプライバシー基準を尊重していると主張し、特にそのオープンソースの性質により誰でもそのセキュリティを検証することができることを強調しました。

ムーア氏は、現在の状態でアプリケーションをリリースすることは必然的に莫大なデータ流出の触媒となると警告しました。

生体認証とレート制限などの重大なセキュリティチェックにローカル共有設定ファイルに依存することは、モバイルアプリケーション開発における周知のアンチパターンです。

ローカルデータストレージと認証における根本的な欠陥は、アプリケーションがヨーロッパの市民に安全に展開される前に完全なアーキテクチャの改革が必要であることを示唆しています。