La aplicación de verificación de edad de la Comisión Europea ha sido ignorada por segunda vez por el mismo investigador de seguridad que expuso fallos en la versión original a principios de este año. Según el investigador Paul Moore, las recientes actualizaciones de seguridad no abordaron los problemas subyacentes de diseño de la aplicación, lo que le permitió eludir sus protecciones mediante una extensión generada Chrome por IA.
Moore dijo que la última versión introdujo protecciones adicionales, incluyendo preferencias cifradas y detección raíz, pero argumentó que estas medidas solo reforzaban la aplicación frente a ataques básicos sin corregir lo que describió como una debilidad arquitectónica fundamental. En una demostración publicada en línea, mostró cómo la aplicación aún podía manipularse para producir resultados exitosos de verificación de edad.
El investigador sostiene que el sistema deposita demasiada confianza en el software que se ejecuta en el propio dispositivo del usuario, lo que lo hace vulnerable a manipulaciones. Sostiene que los atacantes pueden modificar el comportamiento de la aplicación antes de que se transmitan los datos de verificación, lo que hace que muchos controles de seguridad locales sean ineficaces. Moore afirmó que el problema no puede resolverse completamente mediante parches incrementales y que, en su lugar, requeriría un rediseño del modelo de verificación.
Las conclusiones llegan apenas meses después de que Moore demostrara que una versión anterior de la solicitud podía ser evitada en menos de dos minutos. Tras esa revelación, la Comisión Europea publicó actualizaciones destinadas a reforzar la seguridad de la aplicación y afirmó que daba la bienvenida a los comentarios de la comunidad de ciberseguridad a medida que avanzaba el desarrollo.
La aplicación de verificación de edad se está desarrollando como parte del esfuerzo más amplio de la Unión Europea para proteger a los menores en línea mientras preserva la privacidad de los usuarios. El sistema está diseñado para permitir a los usuarios demostrar que cumplen los requisitos mínimos de edad sin revelar información personal innecesaria y pretende servir como solución temporal antes del lanzamiento de la Cartera de Identidad Digital de la UE.
La Comisión Europea no ha respondido públicamente a la última manifestación de Moore. Anteriormente ha declarado que el proyecto sigue en desarrollo activo y que las mejoras continuarán antes de su despliegue más amplio. En esta fase, no hay indicios de que la Comisión planee suspender la iniciativa, a pesar de las nuevas críticas de investigadores de seguridad que sostienen que su arquitectura debería ser reconsiderada.