La UE cambia las normas: la nueva app para verificar la edad en Internet "ya está lista" para las nuevas leyes europeas

La Presidenta de la Comisión Europea, Ursula von der Leyen, ha anunciado que la nueva app de verificación de edad está "técnicamente lista" y que los estados miembro la podrán usar para sus próximas leyes de control de acceso a Internet como la del Gobierno español.

Desde el primer momento en el que países como España plantearon leyes para limitar el acceso a Internet, especialmente para menores de edad en plataformas para adultos, la gran duda estaba en cómo se iba a hacer y si realmente era posible un control semejante sin vulnerar la privacidad de todos los ciudadanos europeos.

La nueva app de Age Verification (AV, Verificación de edad en inglés) nace con la pretensión de responder a esa cuestión, aunque ya hay expertos en ciberseguridad que advierten del peligro que puede suponer para los internautas.

La UE cambia las normas: los portátiles que se vendan desde ahora deberán tener puerto USB-C para unificar cargadores

El aspecto más innovador de esta nueva app es que no necesita compartir información privada del usuario para demostrar que es mayor de edad; ni la edad real del usuario ni la documentación oficial como el DNI son compartidos con terceros como ocurre con los métodos de verificación de edad actuales y usados en países como el Reino Unido o algunos estados de los EEUU.

Para conseguir eso, se usa lo que se conoce como "prueba de conocimiento cero", basado en criptografía avanzada para permitir que el usuario demuestre que tiene más de 18 años, sin revelar la información concreta que lo demuestra como su fecha de nacimiento.

Configurar la app requiere que el usuario escanee un documento oficial que indique que es mayor de edad, como el DNI o el pasaporte, usando métodos como la cámara del móvil o el chip NFC en un documento de identidad moderno.

La Unión Europea tendrá una app de verificación de edad en Internet Comisión Europea El Androide Libre

A continuación, la app solicita que el usuario se grabe a sí mismo con la cámara frontal del móvil, para poder comparar su cara con la que aparece en el documento oficial; este proceso se realiza de manera local en el dispositivo y no necesita de conexión con un servidor externo.

Una vez que la app se asegura de que el usuario es mayor de edad, genera un "certificado de edad" digital que se almacena de manera local y cifrada en el propio smartphone; todos los demás datos generados por el escáner del documento o la grabación son borrados.

A partir de entonces, lo único que hace la app es responder "Sí" o "No" a la pregunta de si el usuario tiene más de 18 años; las apps y páginas web que visitamos pueden usar esa información para permitir la entrada del usuario o para mostrarle contenido para adultos.

El certificado de que el usuario es mayor de edad está almacenado en el propio smartphone, protegido de manera criptográfica de tal manera que ni siquiera la Comisión Europea debería ser capaz de obtenerlo.

Lo único que hace la app es almacenar este certificado, y la Comisión Europea deja en manos de cada gobierno cómo usarlo dependiendo de sus propias leyes que regulan el acceso a Internet.

Así funcionará la aplicación del Gobierno para acceder a pornografía en Internet: un código por persona al mes

Por ejemplo, en el caso de la nueva app de Cartera Digital del Gobierno español, el certificado se usa para generar credenciales de un solo uso que pueden ser utilizadas para entrar en páginas para adultos.

Las credenciales se gastan al entrar en una página y no pueden ser reutilizadas, así que las páginas no pueden usarlas para seguir la actividad del usuario e identificarlo; de la misma manera, sobre el papel las credenciales tampoco pueden ser usadas por el Gobierno para identificar a los visitantes de ciertas páginas, ya que son generadas de manera local y en base al único dato de que el usuario tiene más de 18 años.

Ya habría sido hackeada

Pese a estas garantías, la app de verificación de edad ya ha sido duramente criticada por defensores de la privacidad, y se ha convertido en el objetivo de hackers y entusiastas que han analizado el código en busca de fallos.

De hecho, eso es posible porque la Comisión Europea ha publicado el código fuente de la app y lo está actualizando habitualmente, con la última versión lanzada el día de ayer, precisamente para fomentar las contribuciones y el análisis de posibles errores.

Y apenas unas horas después, el consultor de seguridad Paul Moore hizo justo eso, publicando la demostración de que es posible hackear la app de verificación de edad en apenas 2 minutos.

El proceso permite crear un nuevo perfil y engañar a la app para mostrar las credenciales creadas con el perfil anterior como válidas; esto permitiría a un atacante demostrar que es mayor de 18 años sin serlo. Por supuesto, la utilidad de esto es dudosa y limitada, pero Moore advierte que puede ser el "catalizador para una enorme brecha" en el futuro.

Pero sobre todo, este ataque pretende demostrar que la app no es de "alta seguridad" como ha presumido la presidenta de la Comisión Europea, y que si existe este fallo, pueden existir otros más graves que aún no han sido descubiertos y que podrían ser usados para espiar a los usuarios.