Vérification d’âge européenne : l’app montre des lacunes de sécurité Des vulnérabilités dans l’application de vérification d’âge européenne soulèvent des questions de sécurité et d’authentification sur mobile.
La vérification d’âge européenne, présentée comme prête à l’emploi par la Commission, a été rapidement scrutée par des chercheurs qui pointent des failles dans le code open-source publié sur GitHub. Les résultats, s’ils ne démontrent pas un danger immédiat pour les utilisateurs, posent des questions solides sur la sécurité des vérifications d’identité en ligne sur mobile.
Des vulnérabilités présentées par des chercheurs
Le chercheur Paul Moore a analysé l’application sur Android et a identifié des choix techniques discutable. Lors de la configuration, l’utilisateur crée un code PIN qui est stocké localement après chiffrement. Or, ce code n’aurait pas besoin d’être chiffré si l’objectif est de ne pas le récupérer: une empreinte irréversible aurait été préférable.
Autre défaut majeur: le PIN n’est qu’un verrou local et n’est pas lié directement aux données protégées. Un accès physique au smartphone permettrait de modifier le fichier de configuration et de créer un nouveau PIN pour accéder à l’identité d’un autre utilisateur.
Une démonstration publique de ce type de faille a été partagée par Baptiste Robert, hacker éthique et dirigeant de Predicta Lab, qui montre que l’app intègre aussi une option pour désactiver l’authentification biométrique et contourner cette étape.
« L’attaque la plus crédible, c’est que votre neveu prenne votre smartphone, ne connaît pas le code PIN, mais qu’un moyen existe pour qu’il puisse utiliser votre vérification », explique Olivier Blazy, professeur à l’École polytechnique. Il tempère toutefois: « C’est un peu limité comme champ d’attaque. »
Ce que cela change et ce qu’il faut surveiller
Confrontés à ces éléments, les chercheurs appellent à des évaluations de sécurité approfondies et à une meilleure gestion des clés sur les appareils mobiles. Le fait que le PIN soit stocké localement et non directement lié aux données protège mal l’utilisateur lorsque l’application est utilisée hors connexion.
- PIN non lié : le mécanisme de verrouillage ne protège pas directement les données et peut être contourné par modification locale.
- Désactivation biométrique : contourner l’authentification biométrique est possible par modification des paramètres.
- Code open-source : le code est accessible publiquement et a été examiné par la communauté.
Contexte et limites
Olivier Blazy relativise les enjeux, indiquant que le champ d’attaque est « un peu limité ». Toutefois, le cadre technique annoncé comme techniquement prêt invite à rester vigilant sur les garanties de sécurité autour de l’identité numérique mobile.
Pour terminer
La sécurité de la vérification d’âge européenne dépendra des correctifs et de l’audit des mécanismes. Des vulnérabilités démontrées publiquement montrent que des ajustements sont nécessaires pour limiter les risques d’usage non autorisé.
