Проверка возраста в цифровом кошельке ЕС — хотите привязать к Google или Apple? Разработчики «засыпали» GitHub, обвиняя в кошмаре с приватностью

Европейский механизм проверки возраста в цифровых ID-кошельках ЕС планируют привязать к Google Play Integrity и Apple App Attestation; в официальный GitHub попало около 300 сообщений с возражениями. Разработчики жалуются, что это нарушает принцип совместимости, который прописан в стандарте.
(Предыстория: жёсткое предупреждение ЕС Apple: если не открыть iOS, грозят самые крупные штрафы — до 20% мировых доходов)
(Дополнение к контексту: в Европе совместно запустили платформу для цифрового отслеживания в рамках борьбы с пандемией, но сообщают, что тайком убрали «децентрализованный протокол DP3T»)

Оглавление

Toggle

• Что волнует комментаторов: суверенитет и открытые стандарты — оба сорвались
• Исследователь по кибербезопасности: взлом PIN в приложении за 2 минуты
• У каждой страны свой путь: Нидерланды и Италия берут всё, Швейцария тормозит

Спецификация проверки возраста для цифрового ID-кошелька ЕС (EU Digital Identity Wallet), которую продвигает Евросоюз, намерена связать весь контур проверки подлинности приложения и устройства с Google Play Integrity API и Apple App Attestation. Как только новость вышла, официальный GitHub-обсуждение мгновенно «завалили», а сообщество разработчиков практически единодушно сказало: «не надо».

Тред под названием «Do not add Google Play Integrity integration» запустил разработчик TheLastProject. Требования большинства участников предельно просты: проверка возраста не должна быть «заперта» в эксклюзивных сервисах двух американских техногигантов.

Что волнует комментаторов: суверенитет и открытые стандарты — оба сорвались

Первый аргумент противников — голландское ID-приложение Yivi (прежнее название IRMA). Приложение уже давно умеет проходить проверку возраста полностью без зависимости от сервисов Google; его даже можно загрузить в открытый магазин F-Droid, что напрямую показывает: интеграция Play Integrity не является технически необходимым условием.

Второй аргумент — спецификация сама себя опровергает. В спецификации цифрового ID-кошелька ЕС заявлены три принципа, но если принудительно привязать к приватным верификационным сервисам Google и Apple, то это одновременно нарушает два пункта — «совместимость» и «открытые стандарты». Разработчики сомневаются: почему «открытая» официальная спецификация в итоге приходит к модели, где признаются только две американские компании.

Третий аргумент — цифровой суверенитет. В сообщениях подчёркивается, что госуслуги не должны опираться на внешние сервисы третьих сторон: чем больше уровней зависимости, тем больше потенциальных рисков для кибербезопасности. Если Google или Apple изменят политику, уберут сервисы или случится системная уязвимость, механизмы проверки личности во всех странах вынужденно окажутся «на связке» и остановятся.

В конфликт также вмешалась голландская некоммерческая организация Waag Futurelab. В статье «European digital ID wallets are a gift to Google and Apple» они прямо заявляют, что кошельки зависят от Google Play Integrity API и механизма подтверждения устройств Apple — то есть фактически превращают государства в исполнителя платформенных политик частных компаний. Waag отдельно указывает, что дизайн Google Play Integrity API может противоречить целям Евросоюза по предотвращению монополий крупных компаний в рамках «Digital Markets Act» (DMA).

Исследователь по кибербезопасности: взлом PIN в приложении за 2 минуты

В ход пошёл и разбор угроз. Один из комментаторов прямо спрашивает: ради того, чтобы не допустить удалённого взлома устройства и кражи доказательства «достиг совершеннолетия» для доступа к взрослым сайтам, стоит ли «запечатывать» всю систему жёсткой привязкой к аппаратной верификации? Другие сомневаются, что проверку возраста обязательно делать только нативным приложением: современные Web App в сочетании с Digital Credentials API тоже могут дать тот же результат.

Эти сомнения не выглядят беспочвенно. Исследователь по кибербезопасности провёл тест: на Android достаточно отредактировать текстовый файл предпочтений, удалить запись о зашифрованном PIN, выключить булевый флаг биометрии — и менее чем за 2 минуты можно сбросить App PIN, отключить вход по биометрии, и при этом сохранённые учётные данные всё ещё можно полностью забрать; второй исследователь воспроизвёл эту уязвимость и зафиксировал больше проблем, включая незашифрованное хранение персональных данных.

Недовольство вызывает и эксклюзивность принудительной привязки. Разработчики отмечают, что пользователи, у которых не установлены приложения Google или Apple, а также сообщества с de-Googled-системами (например, GrapheneOS, e/OS), вероятно, окажутся исключены из цифровых сервисов идентификации напрямую. В качестве предостережения многократно вспоминают кейс итальянского кошелька (Italian Wallet), который раньше уже пострадал из‑за проблем с интеграцией Play Integrity.

У каждой страны свой путь: Нидерланды и Италия берут всё, Швейцария тормозит

Подходы государств не совпадают. Нидерланды и Италия сейчас безусловно используют Google Play Integrity; Швейцария же — с учётом защиты данных, суверенитета данных и свободы выбора пользователей — перешла на встроенные в Android механизмы верификации и напрямую отказалась от Play Integrity.

На сторону «погашения пожара» встал и вендорный слой. Поставщик приложения для проверки возраста Scytales заявлял, что целостная проверка в их приложении проверки возраста в ЕС не будет зависеть от Google или Apple. Открытая экосистема предложила альтернативу: инициатива «Unified Attestation» от Volla Systeme GmbH с упором на короткоживущие интеграционные токены и офлайн-верификацию. Её можно использовать параллельно с Play Integrity — и некоторые комментаторы считают это компромиссным решением.

Несколько участников, называющих себя специалистами в области кибербезопасности, прямо говорят, что это «кошмар для приватности и безопасности»; а некоторые звучат ещё радикальнее — они выступают против любой онлайн-проверки возраста или контроля личности. Но точно ясно одно: процесс разработки спецификации цифрового ID-кошелька ЕС долгое время воспринимается как глобальный шаблон. Если интеграция Google Play Integrity будет окончательно закреплена, то она, скорее всего, станет свершившимся фактом, на который начнут опираться другие страны. Эти протесты, вероятно, только начало.