Za otroke gre

Evropska komisija je predstavila končno različico aplikacije za preverjanje starosti na internetu, ki sta jo poldrugo leto razvijala nemški in švedski partner. Izkazalo se je, da ima več lukenj kot švicarski sir, polno ranljivosti in malomarno obravnavo osebnih podatkov, nekatere funkcionalnosti pa sploh še niso implementirane. Komisija je morala stopiti korak nazaj, mi pa se vprašajmo, kateri problem sploh rešuje.

Predsednica Evropske komisije je 15. aprila letos pompozno sporočila, da je tehnologija za preverjanje starosti na internetu pripravljena in da bo vsak hip na voljo za uporabo. S sistemom, ki ima na uporabniški strani aplikacijo, bodo lahko Evropejci učinkovito, hitro in anonimno dokazovali svojo starost na internetu in s tem pridobili dostop do vsebin, ki zaradi otrok ne morejo biti univerzalno dostopne. Ursula von der Leyen je ob tem izpostavila, da je nova rešitev brezplačna, uporabniku prijazna, zanesljiva in varna, saj je odprtokodna. Uporabijo jo lahko tudi partnerske države, medtem ko jo bodo države članice lahko prenesle oziroma implementirale v svojih aplikacijah. Kot že tolikokrat doslej so se tehnološka zagotovila in napovedi politikov izjemno slabo postarali. Trajalo je manj kot en dan, da so strokovnjaki pokazali, da predlagana rešitev niti približno ne dosega svojega namena.

Kdo je razvil aplikacijo?

Generalni direktorat za komunikacijska omrežja, vsebine in tehnologijo je oktobra 2024 objavil dvoletni razpis za »razvoj, svetovanje in podporo pri rešitvi za preverjanje starosti«, za kar so bili na voljo štirje milijoni evrov.

Na razpisu je bila izbrana ponudba švedsko-nemškega konzorcija. Aplikacijo razvijata podjetje za digitalne identitete Scytáles in Deutsche Telekom. Razvita tehnologija omogoča uporabo nacionalnih osebnih dokumentov (potnih listov, osebnih izkaznic) ali identifikacijo pri drugih zaupanja vrednih ponudnikih storitev istovetnosti, denimo bankah, za dokazovanje starosti na internetu.

Evropske države lahko razvijejo svoje aplikacije, ki bodo združljive z evropskim sistemom, pri čemer si lahko pomagajo z objavljenimi specifikacijami in s kodo. Aplikacije vseh držav bodo morale delovati v okviru istega sistema.

Ni nenavadno, da imajo prve različice programske opreme, zlasti kadar rešujejo novo nalogo, porodne krče. Tudi pri novi aplikaciji smo to lahko pričakovali, a predsednica Komisije je tako odločno predstavila novo tehnologijo in izrecno poudarila, da je dokončana in nared za končnega uporabnika, da so varnostni strokovnjaki in hekerji to lahko razumeli kot povabilo k razstavljanju in iskanju lukenj.

V nasprotju s pogumnimi političnimi besedami ob predstavitvi so omejitve odgovornosti (disclaimers) ob izvorni kodi precej previdnejše. Koda je bila dan pozneje objavljena na Githubu, saj gre za del širše infrastrukture evropske digitalne denarnice, o kateri smo že pisali (Prihaja evropska digitalna denarnica, Monitor 01/26). Na vrhu opisa na Githubu je tudi mesec dni pozneje še vedno na veliko napisano, da gre za demo različico, ki se še posodablja in testira. Povsem nasprotno od visokoletečih besed o izidu torej.

Strani bodo za uporabo evropskega sistema za preverjanje starosti izpisale kodo QR, ki jo bomo poskenirali z aplikacijo na telefonu.

Tehnično gledano Evropska komisija torej ni izdala končne inačice aplikacije – da predsednica ne pozna tehničnih podrobnosti izdelkov, o katerih govori, je povsem razumljivo in logično, bi ji pa morali to razložiti pisci govora –, temveč referenčni model (reference stack) z generično aplikacijo (white label) za Android in iOS, ki jo lahko države prilagodijo svojim potrebam, primer spletne storitve za preverjanje avtentikacije in nekaj testnih strani. A z vehementno najavo je duh ušel iz steklenice.

Nekaj ur pozneje

Najglasneje se je nekaj ur po predstavitvi aplikacije oglasil strokovnjak za varnost Paul Moore, ki je sicer v širši skupnosti znan po svojih katastrofičnih ocenah informacijskih izdelkov, zato marsikdo njegove besede jemlje z zrnom soli. Na X-u je zapisal, da aplikacija osebnih podatkov ne varuje primerno. Biometrične podatke shrani v formatu PNG na napravo, izbriše pa jih šele ob uspešni preveritvi starosti. Če postopek iz kakršnegakoli razloga spodleti, denimo, če uporabnik vmes klikne nazaj ali če se aplikacija sesuje, ostanejo zapisani na napravi. Še huje je, kadar za preverjanje starosti posnamemo svojo fotografijo (selfi), ki se shrani v shrambo na napravi in ne izbriše.

V drugi objavi se je lotil še varnostnih pomislekov oziroma zanesljivosti aplikacije. Ugotovil je, da se PIN za vstop shrani v deljeno mapo (shared_prefs), do katere ima napadalec dostop. Iz nje lahko preprosto izbriše zapis in ponovno zažene aplikacijo, pa ga bo ta vprašala po novem PIN, a nato uporabila iste podatke, ki so bili vneseni v prvem poskusu. To v praksi pomeni, kdor dobi fizični dostop do telefona, lahko ponastavi PIN in aplikacijo uporablja v imenu prejšnjega uporabnika. Na istem mestu je mogoče spremeniti tudi vrednost spremenljivke, ki določa, ali bomo uporabili biometrično avtentikacijo ali ne (UseBiometricAuth). Vse to so resne varnostne luknje, pravi Moore.

Paradoks, ki to ni

Aplikacija obljublja anonimno preverjanje starosti, kar se na prvi pogled sliši protislovno, a je v resnici nujno za njeno uporabo. Za precej zmede je poskrbela kar Komisija sama, ko je oktobra lani v promocijskem videoposnetku na Youtubu predstavila biometrično primerjavo zajete fotografije uporabnika in njegovega osebnega dokumenta. Spletne strani seveda ne bodo videle nič od tega, temveč le podatek, ali je uporabnik starejši od predpisane meje (ki je lahko 15 let, 16 let, 18 let, odvisno od storitve) ali ne. Gre za tako imenovani ZKP (Zero Knowledge Proof).

Nekateri strokovnjaki za zasebnost, denimo Anja Lehmann z Inštituta Hasso Plattner, vseeno opozarjajo, da bi zaradi uporabe psevdonimov ponudniki spletnih strani po daljši uporabi lahko sledili aktivnosti uporabnika. To je res, a na spletnih straneh puščamo toliko drugih identifikatorjev, od piškotkov dalje, da nas to res ne bi smelo skrbeti.

Aplikacija uporablja namenski API (W3C Digital Credentials), ki je namenjen predstavitvi ali izdaji digitalnih poverilnic. Kot starejšo alternativo (fallback) uporablja protokol OID4VP (OpenID for Verifiable Presentations). Poverilnice se ne starajo skupaj z uporabnikom, zato bo moral ta vsakokrat, ko bo presegel 'magično mejo' (15, 16, 18 let), ponovno opraviti preverjanje z nacionalnim dokumentom.

To velja za Android, medtem ko trenutna različica za iOS sploh še ni implementirala pravega ZKP. V praksi to pomeni, da se uporabnik na Androidu identificira enkrat, na iOS pa za zagotavljanje anonimnosti ob verifikaciji dobi skupino žetonov, ki jih porablja ob vsaki prijavi v spletno storitev. Ko mu jih zmanjka, se mora v aplikaciji identificirati znova. Končna izdaja bo seveda morala uporabljati pravi ZKP.

Z oceno se strinja tudi francoski etični heker Baptiste Robert. V veliki meri pritrjuje Moorovim opažanjem. Zaščite, kot sta biometrična avtentikacija in PIN, je zlahka mogoče ukaniti. Po njegovi oceni je aplikacija zasnovana tako, da jo lahko ob lokalnem dostopu do naprave, bodisi z Androidom ali iOS, brez težav prevaramo.

Referenčna evropska aplikacija za preverjanje starosti na internetu.

Francoski strokovnjak za kriptografijo Olivier Blazy je opisal, kako bi potekala zloraba. Polnoletni uporabnik bi se povsem legitimno identificiral kot takšen, nato pa bi njegov telefon lahko pograbil mladoletni nečak, odklenil aplikacijo brez poznavanja PIN in jo uporabil za dokazovanje polnoletnosti na spletu.

Miłosz Gaczkowski iz podjetja Reversec ob tem miri, da Moore ni bil povsem iskren. Zamolčal je namreč (iz objavljenih videoposnetkov sicer očitno dejstvo), da je bil njegov telefon odklenjen in da je imel administratorske privilegije (rooted). Običajni uporabniki nimajo tako odklenjenih telefonov, ker jih to izpostavi več varnostnim tveganjem in ker se ob postopku običajno izbrišejo (factory reset) uporabniški podatki. Če pa telefon na tak način ni odklenjen, uporabnik nima dostopa do mape shared_prefs, v kateri bi potem lahko spreminjal datoteke aplikacije. Še vedno gre za pomanjkljivo tehnično izvedbo, a je manj tragična, kot se zdi na prvi pogled.

Komisija stopi korak nazaj

Še dan pozneje, torej v petek, 17. aprila, je morala tudi Evropska komisija priznati, da so se nekoliko prenaglili. Glavna tiskovna predstavnica Paula Pinho je dejala, da je aplikacija nared, a da jo je vedno mogoče izboljšati. Thomas Regnier, ki v pisarni za stike z javnostjo pokriva tehnološko suverenost, je dejal še nekoliko bolj dvoumno, da »ko rečejo končna različica, gre še vedno za demo različico«, saj se bo »koda nenehno posodabljala in izboljševala«. Ranljivosti, ki so jih v prvem dnevu izpostavili etični hekerji, naj bi že odpravili.

Odprtokodnost aplikacije je v resnici velika prednost, meni Blazy, saj strokovnjakom omogoča analizo in preizkus aplikacije. V nasprotnem primeru lukenj ne bi odkrili tako hitro, predvsem pa ne bi bilo takoj jasno, kaj so njihovi vzroki.

Nesprejemljivo pa je hitenje, zaradi česar so v svet poslali luknjičasto različico, ki ne dosega pričakovanih varnostnih standardov. Za tako pomembno aplikacijo je malomarno spodkopavanje verodostojnosti in zaupanja javnosti neproduktivno. Na kocki je še precej več od aplikacije za ugotavljanje starosti. Evropa pripravlja digitalne denarnice (EUDI), ki morajo zaživeti do konca leta in bodo predstavljale osrednjo infrastrukturo za digitalizacijo identitete in dokumentov. Če jim javnost ne bo zaupala, bo projekt obsojen na propad, še preden bo zaživel.

Belgijski etični heker Inti De Ceukelaire ob tem dodaja, da je dobra praksa, da se poleg izvorne kode objavijo tudi vse varnostne analize in ocene, ki so bile narejene. In pri tako ključnih aplikacijah so te nujne, kar pa se v tem primeru pred izidom ni zgodilo.

Obvodi so trivialni

V praksi uporabnik postopa takole. Najprej zažene aplikacijo, potrdi strinjanje s pogoji rabe in z obravnavo osebnih podatkov in si izbere šestmestni PIN ter lahko potrdi biometrično prijavo. Nato izbere način dokazovanja starosti (npr. osebni dokument), vnese osnovne informacije oziroma naloži sliko osebnega dokumenta ali svojo istovetnost dokaže z digitalno identiteto. V aplikaciji se nato pokažejo poverilnice, ki ustrezajo njegovi starosti. Na spletnih straneh jih nato uporabi tako, da s telefonom skenira kodo QR na strani.

Četudi bi aplikacija za preverjanje starosti delovala popolnoma, bi jo bilo še vedno trivialno obiti. Zadostuje že uporaba navideznega zasebnega omrežja (VPN), s katerim lahko svojo lokacijo navidezno prestavimo v drugo državo. Če je ta zunaj EU, evropska pravila za platforme ne bodo veljala in stran se bo lahko pokazala brez omejitev. Osnovni paketi so že zelo poceni, nekateri so za osnovno rabo celo brezplačni (npr. ProtonVPN). Druga možnost je uporaba omrežja Tor, ki je za praktične namene anonimno, resda pa počasno.

V Evropski uniji se pojavljajo glasovi o prepovedi VPN in Tora, s čimer bi se kontinent nevarno približal avtoritarnim državam, ki to počno. Kako bi se takšna prepoved nadzorovala v praksi, ni jasno, saj ima VPN pretežno legitimno rabo, Tor pa je narejen z mislijo na izogibanje cenzuri in omejitvam. Tudi avtoritarni režimi so spoznali, da so popolne omejitve interneta nemogoče, približati pa se jim je seveda mogoče.

Iz slovenske zgodovine se lahko spomnimo na blokado tujih spletnih stavnic pred 20 leti. Urad za nadzor prirejanja iger na srečo je tedaj od ponudnikov dostopa do interneta zahteval blokado tujih stavnic, denimo Bwin. V letih 2006–2010 je Urad nekaterim tujim prirediteljem prepovedal prirejanje in leta 2010 dobil pristojnost, da operaterjem naloži blokado teh spletnih strani. Ukrep je bil tedaj milo rečeno neuporaben, ker se je izvajal na ravni strežnikov DNS, zato so uporabniki preprosto uporabili tuje DNS, pa so domene prirediteljev iger na srečo in stavnic spet delovale.

Ali vse to sploh potrebujemo?

Na koncu se moramo vprašati, čemu so namenjene omejitve dostopnosti strani, ki jih predlaga EU. Preprečiti želi, da bi se obiskovalci mimogrede ali po naključju znašli na straneh ali platformah, ki so zanje škodljive. Če pa bi želela onemogočiti vsakršen obisk strani, ki jih uporabniki aktivno iščejo in želijo obiskati, je to povsem drugačen namen – in tehnično bistveno težji problem. Aplikacija za preverjanje starosti temu nikoli ni bila namenjena.

Več kot 400 strokovnjakov za zasebnost in varnost je marca letos, torej še pred predstavitvijo 'končne' različice aplikacije, Komisiji poslalo odprto pismo. V njem so zahtevali moratorij na uvajanje sistemov za preverjanje starosti na internetu, dokler se ne izoblikuje konsenz o prednostih in slabostih tovrstnih tehnologij in dokler se ne oceni tehnološka izvedljivost takih ukrepov. Med podpisniki ni nikogar iz Slovenije. Medtem ko so raziskave precej enotne, da je uporaba družbenih omrežij povezana s številnimi tveganji in da ima zlasti pri otrocih številne negativne vplive, so mnenja o prepovedi za otroke precej deljena. Še manj je konsenza pri vsesplošnem preverjanju starosti vseh uporabnikov, ki bi se raztezalo na vse potencialno sporne strani, ne le družbena omrežja, temveč tudi na spletne stavnice, pornografijo itd.

Narišimo si brke

Tudi kjer zakonodaja ponudnike platform zavezuje k preverjanju starosti, ni določeno, kako morajo to storiti. Evropska aplikacija bo eden izmed načinov, lahko pa seveda upravljavci platform razvijejo svoje, dokler ustrezajo vsem predpisanim zahtevam. Uporaba osebnih dokumentov ni potrebna, če je starost mogoče ugotoviti drugače, podobno kot tudi pri nakupu alkohola pogosto zadostuje vizualna podoba stranke.

Meta, ki upravlja Facebook, Instagram in Whatsapp, starost uporabnikov preverja po vsebini objav, vzorcu uporabe in tudi fotografijah. Trdijo, da ne gre za prepoznavanje obrazov v identifikacijskem smislu, temveč za splošne znake, kot sta višina in struktura kosti.

Na internetu so se pojavila pričevanja otrok, ki so sistem prelisičili tako, da so si na obraz narisali brke. Mati nekega 12-letnika je ugotovila, da ga je sistem z narisanimi brki prepoznal kot starega 15 let, kar je bilo že dovolj za uporabo storitve (Meta v pogojih uporabe zahteva, da so uporabniki starejši od 13 let). Da bi preprečili tovrstne trike, za preverjanje starosti čedalje bolj uporabljajo tudi umetno inteligenco, ki analizira celoto uporabnikove interakcije za oceno starosti.

Avstralija je prva država, ki je uvedla stroge starostne omejitve za uporabo družbenih omrežij. Od konca lanskega leta mlajši od 16 let ne smejo imeti profilov na Facebooku, Tiktoku, Youtubu in podobnih straneh. Evropski parlament je novembra lani s prepričljivo večino podprl nezavezujoči predlog o postavitvi meje 16 let za dostop do družbenih omrežij, medtem ko bi za starejše od 13 let dostop lahko dovolili starši.

Učinki prepovedi so sicer vprašljivi. Fundacija Molly Rose je marca letos izvedla raziskavo med avstralskimi otroki, starimi od 12 do 15 let. Ugotovili so, da ima tudi po prepovedi uporabe 61 odstotkov otrok, ki so imeli račune na družbenih omrežjih, še vedno dostop do njih. Večina jih za nadaljevanje dostopa ni storila nič (60 odstotkov), četrtina jih je obšla prepoved z istimi profili, desetina je ustvarila nove profile, preostali pa so uporabili VPN ali pomoč starejših. Kar 70 odstotkov jih je dejalo, da je preprosto obiti prepoved, polovica pa jih meni, da zdaj niso nič varnejši.

Podobno raziskavo je maja letos v Veliki Britaniji izvedla organizacija Internet Matters, kjer so bile ugotovitve nekoliko spodbudnejše. Po spremembi zakonodaje (Online Safety Act) je 70 odstotkov otrok in staršev na internetu opazilo več varnostnih mehanizmov, denimo preverjanje starosti. Večina otrok in staršev spremembe podpira, čeprav otroci menijo, da je omejitve enostavno preskočiti.

Kljub temu želi zgledu slediti tudi več evropskih držav, med katerimi prednjačijo Francija, Grčija in Danska, ki so mejo postavile na 15 let in bodo letos ali prihodnje leto prepoved začele izvajati. Številne druge države o tem razmišljajo ali že pripravljajo zakonodajo. V Sloveniji se je o tem govorilo februarja, nato pa so volitve pogoltnile to razpravo, ki se še ni vnovič pojavila. Države, ki bodo prepoved uvedle, potrebujejo tehnično rešitev, kjer jim enotni pristop Evropske komisije lahko pomaga, če bo seveda tehnološko dovršen. Trenutno ni.