L’application de vérification d’âge de la Commission européenne a été contournée pour la deuxième fois par le même chercheur en sécurité qui avait révélé des failles dans la version originale plus tôt cette année. Selon le chercheur Paul Moore, les récentes mises à jour de sécurité n’ont pas résolu les problèmes de conception sous-jacents de l’application, lui permettant de contourner ses protections grâce à une extension générée Chrome par l’IA.
Moore a indiqué que la dernière version introduisait des protections supplémentaires, notamment des préférences chiffrées et la détection des racines, mais a soutenu que ces mesures ne faisaient que renforcer l’application contre les attaques basiques sans corriger ce qu’il a décrit comme une faiblesse architecturale fondamentale. Dans une démonstration publiée en ligne, il a montré comment l’application pouvait encore être manipulée pour produire des résultats réussis de vérification d’âge.
Le chercheur soutient que le système accorde trop de confiance au logiciel fonctionnant sur l’appareil de l’utilisateur, le rendant vulnérable à la falsification. Il soutient que les attaquants peuvent modifier le comportement de l’application avant la transmission des données de vérification, rendant de nombreux contrôles de sécurité locaux inefficaces. Moore a déclaré que le problème ne peut pas être entièrement résolu par des correctifs incrémentaux et nécessiterait plutôt une refonte du modèle de vérification.
Ces conclusions interviennent quelques mois seulement après que Moore a démontré qu’une version antérieure de la demande pouvait être contournée en moins de deux minutes. Suite à cette divulgation, la Commission européenne a publié des mises à jour visant à renforcer la sécurité de l’application et a déclaré qu’elle accueillait favorablement les retours de la communauté de la cybersécurité à mesure que le développement se poursuivait.
L’application de vérification de l’âge est développée dans le cadre de l’effort plus large de l’Union européenne pour protéger les mineurs en ligne tout en préservant la vie privée des utilisateurs. Le système est conçu pour permettre aux utilisateurs de prouver qu’ils respectent les exigences d’âge minimum sans divulguer des informations personnelles inutiles et est destiné à servir de solution temporaire avant le déploiement du portefeuille d’identité numérique de l’UE.
La Commission européenne n’a pas répondu publiquement à la dernière manifestation de Moore. Il a déjà indiqué que le projet reste en développement actif et que les améliorations se poursuivront avant un déploiement plus large. À ce stade, rien n’indique que la Commission envisage de suspendre l’initiative, malgré de nouvelles critiques de la part de chercheurs en sécurité qui estiment que son architecture devrait être reconsidérée.