欧盟年龄验证漏洞：架构分析

欧盟年龄验证系统的漏洞：本地 PIN 加密如何破坏隐私

欧盟推出了一款年龄验证应用，该应用可在不泄露个人数据的情况下确认年龄，但发布仅几天后，一位安全研究员就发现了关键的架构缺陷。该系统被宣传为符合最高隐私标准，但实际上可在不到两分钟内被绕过——原因是本地存储和 PIN 管理实现的错误。

架构漏洞而非保护

核心问题是 PIN 加密未与安全的用户身份数据存储绑定。应用在本地存储加密的 PIN，但其验证机制未利用硬件保护组件（如 Trusted Execution Environment 或 Secure Enclave）。这使得通过物理或软件方式访问设备文件系统，从而删除或替换 PIN 文件成为可能。

重启应用后，用户可以设置新密码并获得对之前验证账户的完全访问权限。这违背了安全凭证存储的基本原则，并暴露了设计过程中缺乏威胁建模。

绕过生物识别和防暴力破解保护

额外的保护层同样脆弱：

• 防暴力破解机制 通过一个基于文本的配置文件实现，该文件存储失败尝试计数器。攻击者只需重置该计数器即可无限暴力破解。
• 生物识别认证 由同一配置文件中的一个布尔标志控制。将值从 true 改为 false 即可完全禁用面部或指纹扫描要求。
• 缺少配置完整性检查：应用未验证配置文件的数字签名或哈希值，使篡改变得轻而易举。

这些缺陷表明对零信任架构原则的根本误解：系统信任客户端设备，尽管它应被视为潜在受损。

对监管政策和数字身份的影响

这一事件质疑了基于客户端软件且无服务器验证关键参数的整个数字身份模型。虽然欧盟立法者试图限制未成年人访问某些内容，但技术实现引入了新的攻击向量。

至关重要的是要认识到：即使是开源代码，如果架构从一开始就有缺陷，也无法保证安全。透明度促成了漏洞的快速发现，但并未防止其存在。这强调了在此类系统大规模部署前进行强制独立安全审计的必要性。

关键要点

• 没有绑定到硬件存储的本地 PIN 加密对本地攻击无效。
• 安全配置参数必须防止修改（通过签名、哈希或隔离）。
• 生物识别认证不应由可编辑文件中的简单标志管理。
• 开源代码是必要的，但不足以确保隐私。
• “信任但验证”模型不适用于数字 ID 系统：必须是“永不信任，始终验证”。

此类解决方案的开发者必须将客户端设备视为不受信任的环境。任何影响访问级别的数据都应在服务器端或用户应用无法访问的隔离环境中验证。

— Editorial Team