La semana pasada Ursula von der Leyen anunció que la aplicación móvil para verificación de edad que llevaba tiempo desarrollando la Comisión Europea estaba prácticamente lista.
Sin embargo, los hackers de sombrero blanco ya le han buscado las vueltas a esta herramienta que promete ser la panacea para proteger a los menores.
El consultor de seguridad Paul Moore ha demostrado lo fácil que resulta hackear el sistema. Así, ha publicado un vídeo en X donde enseña cómo incluso utilizando la app se pueden saltar las restricciones de edad.
Según el investigador, el sistema presenta vulnerabilidades críticas que permitirían a un atacante eludir los mecanismos de autenticación y acceder a credenciales válidas sin necesidad de romper cifrados complejos ni realizar ataques sofisticados.
Uno de los principales problemas reside en la gestión del PIN durante el proceso de configuración. La aplicación solicita al usuario crear un código que posteriormente se cifra y se almacena en el directorio shared_prefs del dispositivo.
Sin embargo, Moore critica que este enfoque es incorrecto desde su base, ya que el PIN no debería almacenarse de esa manera y, además, no está vinculado criptográficamente al contenedor donde se guardan los datos de identidad. Esta desconexión permite que un atacante elimine los valores PinEnc y PinIV del archivo de configuración, reinicie la aplicación y establezca un nuevo PIN sin perder acceso a las credenciales previamente generadas, que siguen siendo aceptadas como válidas.
El investigador también señala deficiencias adicionales que agravan el problema. Por ejemplo, el sistema de limitación de intentos (rate limiting) se basa en un simple contador almacenado en el mismo archivo de configuración, lo que facilita reiniciarlo manualmente y realizar intentos ilimitados.
Del mismo modo, la autenticación biométrica puede desactivarse modificando un valor booleano (UseBiometricAuth) en ese mismo archivo, lo que elimina otra importante capa de seguridad sin ningún tipo de verificación adicional.
Para que todo el mundo lo entienda…
Para mostrarlo de manera más clara y que resulte comprensible a todos los usuarios sin demasiados conocimientos técnicos Moore ha compartido otro post en X donde lo ha explicado con términos más sencillos.
«Incluso si la aplicación funciona exactamente como se diseñó, el sitio web y el proceso de verificación están completamente desacoplados y son «anónimos». La arquitectura asume que enviarás la solicitud a tu dispositivo, que contiene tus datos biométricos. Pero puede ir a cualquier dispositivo, en cualquier parte del mundo… y como el teléfono no tiene forma de saber quién inició el proceso, el niño aún pasa la verificación de edad», aclara.
«La afirmación es que el usuario es mayor de 18 años. En realidad, la aplicación responde que el propietario de este dispositivo Android es mayor de 18 años. No sabe quién es el usuario… ¿cómo puede saber su edad? Este es el diseño actual, no un error«, insiste.
Por otro lado, el experto en seguridad advierte de que una vez que has iniciado sesión es muy poco probable que las páginas web vuelvan a solicitar la verificación de edad, por lo que este ataque, incluso si pudiera mitigarse de alguna manera solo se aplica a las nuevas verificaciones.
Acerca del autor
