Avrupa Birliği Yaş Doğrulama Uygulaması Saniyeler İçerisinde Hacklendi
Avrupa Birliği’nin yeni yaş doğrulama yazılımı yerel dosya sistemindeki mimari hatalar sebebiyle siber güvenlik uzmanları tarafından iki dakika içerisinde etkisiz hale getirildi.
Avrupa Komisyonu tarafından reşit olmayanları zararlı içeriklerden korumak amacıyla yayınlanan AB yaş doğrulama uygulaması sistemdeki mimari hatalar nedeniyle iki dakika gibi kısa bir sürede siber saldırganların eline geçti. 14 Nisan tarihinde kullanıma sunulan yazılımın güvenlik aşamaları siber güvenlik uzmanı Paul Moore tarafından gerçekleştirilen basit bir işlemle tamamen devre dışı bırakıldı. Güvenlik zafiyeti giderilmediği takdirde pilot aşamadaki üye ülkelerde bulunan milyonlarca kullanıcının hassas verileri büyük bir riskle karşı karşıya kalacak.
Yerel Yapılandırma Dosyaları Siber Saldırılara Karşı Korunmasız Kalıyor
Uygulamanın teknik mimarisini inceleyen araştırmacılar PIN kodunun saklanma biçiminde temel tasarım hatası saptayarak durumu kamuoyuna bildirdi. Sistem oluşturulan şifreyi cihaz içerisindeki paylaşılan tercihler dosyasında saklarken bu veriyi asıl kimlik kasasıyla kriptografik olarak ilişkilendirmeyi ihmal ediyor. Kötü niyetli kişiler fiziksel erişim sağladıkları cihazda ilgili şifreleme değerlerini silip uygulamayı yeniden başlattıktan sonra kendi belirledikleri yeni bir kodu sisteme kolayca kabul ettiriyor. EU age verification app güvenlik açığı sayesinde yabancı bir kullanıcının orijinal kimlik profiline hiçbir uyarı tetiklemeden erişmesi mümkün hale geliyor.
Yazılımın temelinde yer alan hatalar sadece PIN mekanizmasıyla sınırlı kalmayıp mobil kimlik doğrulama güvenliği süreçlerini de kapsıyor. Dosya içerisindeki tek bir mantıksal değerin değiştirilmesiyle parmak izi veya yüz tanıma adımları saniyeler içerisinde atlanarak güvenlik katmanları etkisiz kılınıyor. Hatalı deneme sayılarını kontrol eden sayaç mekanizması da aynı düzenlenebilir dosya üzerinde bulunduğu için saldırganlar kilitlenme riskini sıfırlayarak sınırsız deneme yapma imkânı yakalıyor. Uzman ekipler bu durumun basit bir hata olmayıp kritik ulusal altyapılar için tasarlanan Avrupa dijital kimlik cüzdanı ekosistemi adına temel bir başarısızlık olduğunu savunuyor.
Sistem üzerinde pasaport doğrulamasının cihaz bazında gerçekleşip gerçekleşmediğini teyit edemeyen yaş doğrulama sistemi açığı Mart ayında tespit edilerek kayıtlara geçmişti. Komisyon Başkanı Ursula von der Leyen’e yönelik yapılan uyarılarda bu ürünün ilerleyen süreçte devasa veri ihlallerine yol açacak bir katalizör vazifesi göreceği dile diliyor. İspanya, Fransa ve Danimarka gibi altı üye ülke şu anda dijital kimlik uygulaması güvenlik sorunu gölgesinde pilot aşamayı yürütürken merkezi yönetimin henüz resmi bir yama yayımlamamış olması endişeleri körüklüyor. Kritik verilerin yerel dosyalarda savunmasız bırakılması Avrupa çapındaki dijitalleşme vizyonunu siber güvenlik standartları açısından sorgulanır bir noktaya taşıyor.
👉️ İlginizi Çekebilir: Anthropic Avrupa Birliği İle Güvenlik Odaklı Yapay Zekâ Modelleri İçin Masaya Oturdu
Geliştiriciler tarafından prototip olarak inşa edilen bu yapı siber dünyadaki temel şifreleme prensiplerini ihlal ederek kimlik hırsızlarına adeta davetiye çıkarıyor. Güvenlik danışmanları uygulamanın mevcut haliyle kullanılmasının büyük bir risk teşkil ettiğini belirterek acil müdahale çağrısında bulunuyor. Tasarım aşamasında gözden kaçan bu tip temel açıklar dijital egemenlik hedeflerini zayıflatırken kullanıcıların devlet destekli yazılımlara olan güvenini de derinden sarsıyor. Komisyonun teknik ekipleri mimariyi baştan aşağı revize etmediği sürece dijital cüzdan projelerinin siber suç dünyasında popüler bir hedef olmaya devam edeceği öngörülüyor.
✍️ Editörün Notu İçin Tıklayın
Avrupa Birliği gibi dev bir yapının, reşit olmayanları korumak gibi hassas bir görev için tasarladığı uygulamanın bu kadar temel bir hata barındırması kabul edilemez. Şifreleme anahtarlarının ve biyometrik kontrol bayraklarının kullanıcı tarafından erişilebilir ve düzenlenebilir bir dosyada saklanması, siber güvenliğin en temel kurallarının ihlal edildiğini gösteriyor. Bu zafiyet, sadece bir yaş doğrulama sorunu değil; gelecekteki Avrupa Dijital Kimlik sisteminin güvenilirliğine vurulmuş ağır bir darbedir.
