Σύνοψη
- Ο Βρετανός ερευνητής κυβερνοασφάλειας Paul Moore παραβίασε επιτυχώς τη νεότερη έκδοση (2026.07-1) της επίσημης εφαρμογής επιβεβαίωσης ηλικίας της Ευρωπαϊκής Ένωσης.
- Χρησιμοποιώντας ένα απλό extension για τον browser Google Chrome, το οποίο δημιουργήθηκε μέσα σε λίγα λεπτά μέσω του Claude AI, κατάφερε να υποκλέψει και να επαναχρησιμοποιήσει το κρυπτογραφικό πιστοποιητικό ηλικίας χωρίς πραγματική ταυτοποίηση.
- Η ευπάθεια εντοπίζεται στην ίδια την αρχιτεκτονική του συστήματος που βασίζεται αποκλειστικά στην τοπική εμπιστοσύνη της συσκευής (client-side trust), επιτρέποντας στους χρήστες να προσπερνούν τους ελέγχους των πλατφορμών.
- Η αποτυχία της ανώνυμης επιβεβαίωσης ηλικίας αναμένεται να οδηγήσει τις ρυθμιστικές αρχές στην απαίτηση απόλυτης ταυτοποίησης των χρηστών, καταργώντας κάθε έννοια ιδιωτικότητας κατά την πλοήγηση στο διαδίκτυο.
Η φιλόδοξη προσπάθεια της Ευρωπαϊκής Ένωσης να δημιουργήσει ένα ασφαλές και πλήρως ανώνυμο ψηφιακό περιβάλλον για την επιβεβαίωση της ηλικίας των χρηστών του διαδικτύου φαίνεται πως αντιμετωπίζει ανυπέρβλητα αρχιτεκτονικά εμπόδια, εγείροντας σοβαρά ερωτήματα για το μέλλον της ψηφιακής ιδιωτικότητας στην ευρωπαϊκή ήπειρο.
Το project, το οποίο αναπτύχθηκε στο ευρύτερο πλαίσιο του Ευρωπαϊκού Πορτοφολιού Ψηφιακής Ταυτότητας (EUDI Wallet) και χρηματοδοτήθηκε με περισσότερα από τέσσερα εκατομμύρια ευρώ από δημόσιους πόρους, είχε ως βασικό στόχο την προστασία των ανηλίκων χωρίς την ταυτόχρονη έκθεση των ευαίσθητων προσωπικών δεδομένων των ενηλίκων σε τρίτες πλατφόρμες. Παρόλα αυτά, η πρόσφατη αποκάλυψη ότι το σύστημα μπορεί να παρακαμφθεί μέσα σε ελάχιστα λεπτά, αποδεικνύει περίτρανα πως η ισορροπία μεταξύ της προστασίας των παιδιών και της διατήρησης της ανωνυμίας των χρηστών παραμένει ένα άλυτο τεχνολογικό πρόβλημα.
Πώς παραβιάστηκε η εφαρμογή επιβεβαίωσης ηλικίας της ΕΕ;
Ο ερευνητής κυβερνοασφάλειας Paul Moore παραβίασε την έκδοση 2026.07-1 της ευρωπαϊκής εφαρμογής επιβεβαίωσης ηλικίας δημιουργώντας ένα Chrome extension μέσω του Claude AI. Το εργαλείο υποκλέπτει και αναπαράγει το ανώνυμο κρυπτογραφικό διακριτικό (token) «άνω των 18», επιτρέποντας την απεριόριστη πρόσβαση σε ιστότοπους χωρίς την απαίτηση νέας σάρωσης εγγράφων ταυτοποίησης για κάθε ξεχωριστή συνεδρία.
Κύρια σημεία της τεχνικής παράκαμψης:
- Αυτοματοποιημένη υποκλοπή: Το πρόσθετο του Chrome ανιχνεύει αυτόματα τον κώδικα QR που παρουσιάζει ο ιστότοπος (verifier) και περνάει τη διαδικασία ελέγχου χωρίς ανθρώπινη αλληλεπίδραση.
- Απουσία ελέγχου ταυτότητας: Η πλατφόρμα λαμβάνει αποκλειστικά τη δυαδική επιβεβαίωση ότι ο χρήστης είναι ενήλικας, αγνοώντας πλήρως εάν το διακριτικό προέρχεται από τον πραγματικό κάτοχο της συσκευής.
- Επαναχρησιμοποίηση πιστοποιητικών: Ο επιτιθέμενος μπορεί να μεταφέρει και να χρησιμοποιήσει ένα αυθεντικό πιστοποιητικό ηλικίας σε πολλαπλές, διαφορετικές συνεδρίες περιήγησης, καθιστώντας τον έλεγχο εντελώς αναποτελεσματικό απέναντι σε αυτοματοποιημένα συστήματα.
Η συγκεκριμένη εξέλιξη δεν αποτελεί ένα μεμονωμένο περιστατικό, καθώς ο ίδιος Βρετανός ερευνητής είχε ήδη καταδείξει τα θεμελιώδη προβλήματα της εφαρμογής από τον περασμένο Απρίλιο, μόλις λίγες ώρες μετά την επίσημη παρουσίασή της από την Πρόεδρο της Ευρωπαϊκής Επιτροπής, Ursula von der Leyen.
Στην αρχική εκείνη έκδοση, ο Moore κατάφερε να αποκτήσει πλήρη πρόσβαση στο σύστημα απλώς και μόνο επεξεργαζόμενος ένα αρχείο διαμόρφωσης απλού κειμένου (XML file). Μέσω της διαγραφής συγκεκριμένων τιμών στο αρχείο shared_prefs μιας συσκευής Android, κατέστη δυνατός ο μηδενισμός του προσωπικού κωδικού PIN, ενώ η απενεργοποίηση του βιομετρικού ελέγχου επιτεύχθηκε μέσω της μετατροπής μιας απλής λογικής μεταβλητής από «true» σε «false».
Αν και η Ευρωπαϊκή Επιτροπή υποβάθμισε το αρχικό περιστατικό χαρακτηρίζοντας την εφαρμογή ως demo, η νέα παραβίαση της έκδοσης 2026.07-1 αποδεικνύει ότι οι ενισχύσεις ασφαλείας των τελευταίων τριών μηνών δεν αντιμετώπισαν τον πυρήνα του προβλήματος.
Γιατί αποτυγχάνει η ανώνυμη επιβεβαίωση ηλικίας στο διαδίκτυο;
Η ανώνυμη επιβεβαίωση ηλικίας αποτυγχάνει αρχιτεκτονικά επειδή βασίζεται στην αποκλειστική εμπιστοσύνη προς τη συσκευή του χρήστη χωρίς να συνδέει το κρυπτογραφικό αποδεικτικό με την πραγματική του ταυτότητα. Όταν ο ίδιος ο χρήστης επιθυμεί να παρακάμψει τον έλεγχο, η απουσία επαληθεύσιμης ταυτοποίησης επιτρέπει την εύκολη χειραγώγηση των ψηφιακών διακριτικών πρόσβασης.
Οι προδιαγραφές της ευρωπαϊκής εφαρμογής στηρίζονται στη χρήση Αποδείξεων Μηδενικής Γνώσης (Zero-Knowledge Proofs - ZKPs) και Επαληθεύσιμων Διαπιστευτηρίων (Verifiable Credentials), μηχανισμοί οι οποίοι εξασφαλίζουν ότι ο τελικός ιστότοπος λαμβάνει μόνο την απολύτως απαραίτητη πληροφορία για την ηλικιακή ομάδα του επισκέπτη, χωρίς να αποκτά πρόσβαση στο όνομα, τον αριθμό εγγράφου ή την ημερομηνία γέννησης του. Αυτό ακριβώς το χαρακτηριστικό προστασίας της ιδιωτικότητας μετατρέπεται, παραδόξως, στη μεγαλύτερη αδυναμία του συστήματος. Ο επιτιθέμενος στη συγκεκριμένη περίπτωση δεν είναι κάποιος εξωτερικός χάκερ που προσπαθεί να υποκλέψει δεδομένα, αλλά ο ίδιος ο τελικός χρήστης, συχνά ένας ανήλικος, ο οποίος διαθέτει ισχυρό κίνητρο να ξεγελάσει τους μηχανισμούς ελέγχου προκειμένου να αποκτήσει πρόσβαση σε απαγορευμένο περιεχόμενο. Όταν η αρχιτεκτονική του λογισμικού απαγορεύει στα δεδομένα να εγκαταλείψουν την τοπική συσκευή προς χάριν της ανωνυμίας, πρακτικά εξαφανίζεται κάθε δυνατότητα ανεξάρτητης επαλήθευσης της εγκυρότητας της συνεδρίας.
Οι επιπτώσεις για την ελληνική αγορά και το οικοσύστημα των πλατφορμών
Οι αυστηρές προβλέψεις του Ευρωπαϊκού Κανονισμού για τις Ψηφιακές Υπηρεσίες (Digital Services Act - DSA) επιβάλλουν νομικές υποχρεώσεις τεράστιου βεληνεκούς στις πλατφόρμες που δραστηριοποιούνται και στην ελληνική επικράτεια. Εταιρείες διαδικτυακού στοιχηματισμού, πλατφόρμες διάθεσης περιεχομένου για ενηλίκους, καθώς και τα κυρίαρχα κοινωνικά δίκτυα βρίσκονται υπό τη διαρκή απειλή εξοντωτικών προστίμων σε περίπτωση που αποτύχουν να αποτρέψουν την πρόσβαση ανηλίκων στις υπηρεσίες τους. Η ελληνική αγορά, η οποία βρίσκεται σε διαδικασία εκτενούς ψηφιακού μετασχηματισμού με την ευρεία αποδοχή του Gov.gr Wallet, παρακολουθεί με τεράστιο ενδιαφέρον τις ευρωπαϊκές εξελίξεις.
Εάν το εργαλείο ανοιχτού κώδικα (open-source) της Ευρωπαϊκής Επιτροπής κριθεί οριστικά ανεπαρκές από τις αρμόδιες ρυθμιστικές αρχές, οι πάροχοι ψηφιακών υπηρεσιών στην Ελλάδα ενδέχεται να υποχρεωθούν να στραφούν σε πολύ πιο επεμβατικές λύσεις για τη διασφάλιση της συμμόρφωσής τους με το ευρωπαϊκό δίκαιο. Αυτό μεταφράζεται πρακτικά σε συστήματα που θα απαιτούν τη διαρκή και επαναλαμβανόμενη αποστολή ευαίσθητων βιομετρικών δεδομένων (όπως τρισδιάστατες σαρώσεις προσώπου) ή την άμεση διασύνδεση με εθνικές βάσεις δεδομένων, καθιστώντας τον παροχέα υπηρεσιών κάτοχο κρίσιμων πληροφοριών ταυτοποίησης του πολίτη.
