Un chercheur est parvenu à contourner l’application européenne de vérification de l’âge à l’aide d’une simple extension Chrome. Des sources de la Commission européenne nous assurent que cette démonstration ne remet pas en cause la fiabilité du système.
Ursula von der Leyen l’assurait en avril dernier : “Notre application est prête et sera bientôt disponible.” Plusieurs mois plus tard, le système de vérification de l’âge de la Commission européenne suscite toutefois de grosses interrogations sur sa capacité à mener sa mission à bien. Testée dans plusieurs pays européens dont la France, l’application permet de vérifier l’âge des internautes sur les sites pour adultes, les portails de jeux d’argent et bientôt sur les réseaux sociaux (la loi les interdisant aux moins de 15 ans ayant été adoptée en France).
Le système s’appuie sur une technologie cryptographique dite de preuve à divulgation nulle de connaissance. L’utilisateur s’enregistre une seule fois à l’aide de sa carte d’identité ou de son passeport, puis peut prouver qu’il a l’âge requis sans communiquer son identité aux sites visités. C’est le principe du tiers de confiance. Selon Bruxelles, aucune donnée personnelle n’est transmise et les preuves générées ne permettent pas de suivre un utilisateur d’une plateforme à l’autre.
Un chercheur contourne le système de vérification de l’âge de Bruxelles avec une extension Chrome
L’application a néanmoins été âprement critiquée par des experts en cybersécurité comme Paul Moore. Après l’avoir déjà détournée en avril, le chercheur a récidivé tout récemment, parvenant à contourner une version de test en générant une fausse preuve d’âge à l’aide d’une simple extension Chrome, acceptée sans difficulté par le vérificateur officiel.
“Malgré trois mois de renforcement de la sécurité et de véritables améliorations à tous les niveaux, le problème fondamental ne peut pas être résolu. La vérification d’âge anonyme ne fonctionne pas”, déplore l’expert sur X.
Selon lui, le problème vient de l’architecture même du dispositif : la preuve repose sur une clé cryptographique logicielle P-256 qui n’est pas protégée par le matériel du téléphone. Sans reconnaissance faciale ni mécanisme d’attestation matérielle, une même preuve pourrait être réutilisée plusieurs fois. “Ce n’est pas un bug. C’est un défaut de conception qui ne peut pas être corrigé à moins de changer l’architecture ; en désanonymisant chaque session”, alerte-t-il.
La Commission européenne relativise la démonstration du chercheur
Auprès de Tom’s Guide, des sources de la Commission européenne martèlent que la démonstration de Moore a été réalisée dans un environnement de test : “La démonstration a utilisé le sandbox public de la Commission et non l’application elle-même, où l’application fonctionne en mode débogage face à un émetteur de démonstration et où les contrôles de production, l’intégrité de l’application, l’intégrité de l’appareil, l’attestation des clés, ne sont volontairement pas appliqués”, Et de souligner que “l’étape d’enrôlement n’est pas valide dans un environnement de test”.
Selon Bruxelles, le chercheur a obtenu la preuve d’âge grâce à un émetteur de démonstration, conçu précisément pour faciliter les essais des développeurs. En conditions réelles, la procédure serait bien plus stricte :
“En production, un prestataire inscrit sur la liste de confiance de l’UE ne délivre qu’après avoir vérifié une attestation d’unité de portefeuille confirmant que les contrôles sont effectués et que les clés se trouvent dans un dispositif cryptographique sécurisé. Les exigences de renforcement sont publiées sur ageverification.dev. Nous intégrons néanmoins ces contrôles au profil normatif sous forme d’exigences”, nous explique-t-on en off.
A lire aussi > Comment les réseaux sociaux vont-ils vérifier votre âge ?
L’architecture choisie limiterait également les risques de réutilisation frauduleuse des preuves. Les mécanismes cryptographiques empêcheraient qu’une attestation soit simplement copiée puis réutilisée par un tiers : “La clé est conservée dans un dispositif cryptographique sécurisé et n’est pas exportable ; une preuve ne peut donc pas simplement être copiée et rejouée. Contourner cela nécessiterait de compromettre l’élément sécurisé lui-même, ce qui est loin d’être trivial“.
Dans un autre post, le chercheur Paul Moore rétorque qu’une preuve cryptographique peut certes démontrer qu’un justificatif valide a été délivré à une personne majeure ; elle ne peut toutefois pas garantir à elle seule que l’utilisateur derrière l’écran est bien cette personne. “Même des preuves à connaissance nulle parfaites (ZKPs) ne comblent pas l’écart entre les assertions numériques et la réalité physique. Il n’existe aucun protocole cryptographique sur Terre qui y parvienne”, estime-t-il.
Nos sources à Bruxelles reconnaissent cette limite : “Aucun système préservant la vie privée ne peut empêcher qu’un adulte choisisse de coopérer sur son propre appareil. L’alternative consisterait à désanonymiser chaque session. Le point de comparaison, ce sont les portails d’auto-déclaration de l’âge actuels.” Le cas de l’application européenne montre ainsi toute la difficulté de concevoir un système de vérification d’âge à la fois efficace, respectueux de la vie privée et suffisamment robuste face aux tentatives de contournement.
