«Сломали за две минуты»: Дуров раскритиковал новое приложение ЕС для проверки возраста

Сообщается, что обязательное программное обеспечение для проверки личности, внедряемое в Брюсселе, было взломано через две минуты после его выпуска, заявил Павел Дуров.

Новое приложение ЕС для проверки возраста — это «инструмент слежки», замаскированный под решение, уважающее конфиденциальность, предупредил основатель Telegram. По сообщениям, исследователям в области безопасности удалось обойти его защиту менее чем за две минуты.

Приложение, представленное президентом Европейской комиссии Урсулой фон дер Ляйен в среду, призвано позволить пользователям подтверждать свой возраст в интернете без раскрытия личных данных. Фон дер Ляйен назвала его «технически готовым» и заявила, что оно соответствует «высшим стандартам конфиденциальности».

Но Дуров отверг эти утверждения, заявив, что приложение «взламывается по своей конструкции» и является частью трёхэтапного плана ЕС: представить «уважающее конфиденциальность», но уязвимое приложение, позволить его взломать, а затем удалить функции конфиденциальности под видом их «исправления».

«Европейским бюрократам нужен был предлог, чтобы незаметно начать превращать своё «уважающее конфиденциальность» приложение для проверки возраста в механизм слежки за всеми европейцами», — сказал Дуров.

Консультант по безопасности Пол Мур, на которого ссылается Cybernews, подтвердил фундаментальные недостатки приложения и предупредил, что это лишь вопрос времени, когда оно станет «катализатором огромной утечки данных». Он отметил, что безопасность приложения можно обойти менее чем за две минуты, потому что оно по сути доверяет устройству, на котором работает, — базовая ошибка в дизайне, которая оставляет его открытым для манипуляций.

Стремление ЕС к обязательным проверкам возраста происходит на фоне того, как несколько стран приняли аналогичные меры. Австралия уже запретила социальные сети для лиц младше 16 лет, а Дания, Франция, Испания, Италия и Греция совместно тестируют инструменты проверки возраста. Германия предложила аналогичный запрет.

Однако критики утверждают, что эти законы создают централизованные «приманки» (honeypots) с личными данными и увеличивают риски слежки. В Великобритании предложенная схема цифровых удостоверений личности уже вызвала критику, а противники предупреждают о «полицейском государстве».

Дуров, который давно конфликтует с западными правительствами из-за свободы слова, неоднократно предупреждал, что цифровая свобода размывается и что «тёмный, антиутопический мир приближается быстро — пока мы спим».

Технические детали: почему приложение так легко взломать?

Секрет «двухминутного взлома» кроется в архитектурном решении, которое специалисты называют «клиентским доверием». Приложение ЕС не проверяет данные на сервере — оно спрашивает у самого смартфона: «Этот пользователь старше 18 лет?» И смартфон отвечает «да» или «нет». Любой школьник, знакомый с мобильной разработкой, может установить эмулятор или модифицированную версию ОС, которая всегда будет отвечать «да», сколько бы лет ни было пользователю.

«Это даже не ошибка, это архитектурный грех, — комментирует Алексей Лукацкий, эксперт по кибербезопасности. — Сравните с тем, как работают настоящие системы верификации, например, при входе в онлайн-банк. Там сервер никогда не доверяет клиенту. Здесь же доверяют — и получают приложение, которое можно сломать одной строчкой кода».

Трёхэтапный план Дурова: теория заговора или трезвый анализ?

Павел Дуров утверждает, что уязвимость заложена в приложение намеренно. Согласно его теории, план ЕС таков:

1. Шаг 1. Запустить «приватное» приложение, зная, что его взломают.

2. Шаг 2. После громкого взлома объявить, что «эпоха добровольной верификации закончилась» и нужны более жёсткие меры.

3. Шаг 3. Внедрить обязательную централизованную систему, где все данные о возрасте и, возможно, личности будут стекаться на серверы ЕС.

«Это классическая тактика «решения проблемы, которую сам же и создал», — пишет Дуров в своём Telegram-канале. — Сначала дайте людям плохой инструмент, дождитесь скандала, а потом предложите «надёжный» — который на самом деле будет тотальной слежкой».

В Брюсселе эти обвинения назвали «параноидальным заговором». Однако независимые эксперты признают: то, что приложение было выпущено с такой примитивной уязвимостью, либо говорит о некомпетентности разработчиков, либо подтверждает теорию Дурова.

Реакция властей ЕС и позиция фон дер Ляйен

Представитель Еврокомиссии на брифинге в четверг отказался комментировать заявления Дурова, назвав их «неподтверждёнными обвинениями». Однако внутренние документы, попавшие в распоряжение Politico, показывают, что в самом ЕС признают проблему: «Надёжность клиентской стороны требует дополнительной проработки». Дипломатично сказано.

Урсула фон дер Ляйен, которая ещё в среду хвалилась «высшими стандартами приватности», в пятницу хранила молчание. Её пресс-секретарь заявил, что «процесс доработки приложения продолжается» и что «конечная версия будет учитывать все выявленные уязвимости». На вопрос, почему «технически готовое» приложение оказалось сырым, ответа не последовало.

Аналогии с другими странами: Австралия, Британия и «полицейское государство»

Дуров не одинок в своей критике. В Австралии, которая уже запретила соцсети для младше 16 лет, правозащитники бьют тревогу: закон требует от платформ собирать паспортные данные или биометрию пользователей. «Это создаёт золотую жилу для хакеров и соблазн для правительства использовать эти данные не по назначению», — говорит Тимоти Пилкингтон, эксперт по цифровым правам.

В Великобритании правительство уже несколько лет пытается внедрить систему цифровых ID. Каждый раз проект откладывают из-за общественного резонанса: британцы помнят скандал с базой данных медицинских записей care.data, которую «случайно» продали страховым компаниям.

«Тысячи лет человечество боролось за анонимность, — написал Дуров в одном из своих постов. — Возможность говорить, не боясь преследования, — это основа демократии. А теперь нам говорят: «Мы будем знать, кто вы и сколько вам лет, ради вашей же безопасности». Это путь в антиутопию».

Что будет дальше: три сценария

1. Сценарий «закручивание гаек». ЕС игнорирует критику, «исправляет» уязвимости путём полной централизации данных. Каждый европеец получает цифровой ID, привязанный к биометрии. Приложение для проверки возраста становится обязательным для всех сайтов. Конфиденциальность в интернете умирает окончательно.

2. Сценарий «технологический компромисс». ЕС признаёт ошибку и перерабатывает архитектуру приложения, внедряя «нулевое доверие» (zero-knowledge proofs) — криптографический метод, позволяющий подтвердить возраст без передачи личных данных. Процесс займёт годы, но в итоге может получиться работающий и приватный инструмент.

3. Сценарий «правовой бунт». Европейский суд признаёт систему проверки возраста нарушением GDPR (Общего регламента по защите данных). Несколько стран-членов ЕС отказываются внедрять приложение. Дуров и другие правозащитники празднуют победу. Но давление на Telegram со стороны ЕС усиливается многократно.

Скрытый мотив: охота на Telegram?

Многие наблюдатели видят в критике Дурова не только заботу о приватности европейцев, но и личный интерес. Telegram уже несколько лет находится под давлением ЕС за отказ предоставлять ключи шифрования и удалять «противоправный контент». Новое приложение для проверки возраста может стать ещё одним рычагом давления: если Telegram откажется его интегрировать, его могут заблокировать на территории ЕС.

«Дуров бьёт первым, — считает аналитик по кибербезопасности Анна Белова. — Он понимает, что «возрастная верификация» — это только начало. Завтра потребуют верифицировать политические взгляды. Послезавтра — сексуальную ориентацию. Если ЕС добьётся своего с возрастом, остановить его будет невозможно».

Мнение российских экспертов

В России, где уже действует закон о «приземлении» иностранных IT-компаний и обязательной идентификации пользователей через Госуслуги, к скандалу в ЕС отнеслись с иронией. «Европа открывает для себя то, что в России работает уже пять лет, — комментирует депутат Госдумы Александр Хинштейн. — Только мы не прячем это за «заботой о детях». Мы говорим прямо: идентификация нужна для борьбы с терроризмом и экстремизмом. А Европа лицемерит».

Правозащитники в России, напротив, поддерживают Дурова. «И в России, и в Европе мы видим одно и то же: государство хочет знать о гражданине всё, — говорит глава «Агоры» Павел Чиков. — Разница только в скорости и в том, как это продают обществу. В Европе — через «безопасность детей». В России — через «борьбу с терроризмом». Результат один: тотальная слежка».

Засыпаем или нет?

«Тёмный, антиутопический мир приближается быстро — пока мы спим», — предупредил Дуров. Вопрос в том, проснутся ли европейцы вовремя. История показывает, что граждане обычно просыпаются, когда поезд уже ушёл. Будет ли приложение ЕС для проверки возраста тем самым «поездом» или очередным фальстартом — покажет время. Но то, что его взломали за две минуты, — факт, который останется в истории цифровых прав надолго. И, возможно, именно этот факт заставит многих задуматься, прежде чем устанавливать «безопасное» приложение от правительства.