Η τελευταία δοκιμή πάνω στην ευρωπαϊκή εφαρμογή επιβεβαίωσης ηλικίας δείχνει ότι το δύσκολο κομμάτι δεν είναι μόνο η κρυπτογράφηση, αλλά το πώς δένει η απόδειξη ηλικίας με τον πραγματικό χρήστη και τη συνεδρία του. Αυτό έχει άμεσο ενδιαφέρον και για την Ελλάδα, όπου πλατφόρμες, publishers και υπηρεσίες θα χρειαστεί να στηριχθούν σε ευρωπαϊκά εργαλεία συμμόρφωσης χωρίς να θεωρούν ότι η ιδιωτικότητα ισοδυναμεί αυτόματα με ασφάλεια.
Τι έδειξε η νέα παράκαμψη
Σύμφωνα με το Techgear, ο Βρετανός ερευνητής κυβερνοασφάλειας Paul Moore κατάφερε να παρακάμψει τη νεότερη έκδοση 2026.07-1 της επίσημης εφαρμογής επιβεβαίωσης ηλικίας της ΕΕ με ένα απλό Chrome extension, το οποίο δημιουργήθηκε μέσα σε λίγα λεπτά με τη βοήθεια του Claude AI.
Το extension υποκλέπτει και επαναχρησιμοποιεί το κρυπτογραφικό πιστοποιητικό που δηλώνει ότι ο χρήστης είναι άνω των 18, χωρίς να απαιτείται νέα πραγματική ταυτοποίηση σε κάθε συνεδρία. Με απλά λόγια, η πλατφόρμα βλέπει το αποτέλεσμα του ελέγχου, αλλά δεν μπορεί να βεβαιωθεί ότι το token χρησιμοποιείται από τον σωστό άνθρωπο τη σωστή στιγμή.
Πού εντοπίζεται το βασικό κενό
Το πρόβλημα, όπως περιγράφεται στο δημοσίευμα, βρίσκεται στην αρχιτεκτονική του συστήματος και ειδικά στην υπερβολική εμπιστοσύνη προς τη συσκευή του χρήστη. Η λογική της ανώνυμης επιβεβαίωσης ηλικίας επιτρέπει στον verifier να λαμβάνει μόνο μια δυαδική απάντηση, χωρίς πρόσβαση σε προσωπικά δεδομένα, όμως αυτό αφήνει περιορισμένο χώρο για ανεξάρτητο έλεγχο της εγκυρότητας της ίδιας της συνεδρίας.
Αυτό σημαίνει ότι ο επιτιθέμενος δεν χρειάζεται να σπάσει κεντρικούς servers ή να κλέψει βάσεις δεδομένων. Αρκεί να χειριστεί τοπικά τη ροή της απόδειξης, κάτι που κάνει την παράκαμψη πιο ρεαλιστική ειδικά όταν ο ίδιος ο χρήστης έχει κίνητρο να ξεγελάσει τον έλεγχο.
Γιατί η υπόθεση δεν μοιάζει με μεμονωμένο περιστατικό
Το ίδιο δημοσίευμα σημειώνει ότι ο Moore είχε αναδείξει προβλήματα και στην αρχική παρουσίαση της εφαρμογής τον Απρίλιο, όταν η προστασία μπορούσε να παρακαμφθεί με αλλαγές σε αρχεία ρυθμίσεων συσκευής Android. Η νέα επίδειξη έχει μεγαλύτερη βαρύτητα επειδή έρχεται έπειτα από μήνες σκλήρυνσης της ασφάλειας και δείχνει ότι το βασικό ζήτημα δεν έχει λυθεί σε επίπεδο σχεδιασμού.
Γι' αυτό η συζήτηση ξεφεύγει από το αν ένα συγκεκριμένο bug διορθώθηκε και περνά στο αν η ανώνυμη επιβεβαίωση ηλικίας μπορεί πράγματι να λειτουργήσει αξιόπιστα όταν ο τελικός χρήστης προσπαθεί συνειδητά να την παρακάμψει.
Τι σημαίνει για την ελληνική αγορά
Για την Ελλάδα, η υπόθεση αφορά εταιρείες που θα χρειαστεί να εφαρμόσουν ηλικιακούς ελέγχους σε περιεχόμενο, gaming, social ή άλλες ρυθμιζόμενες ψηφιακές υπηρεσίες. Αν τα ευρωπαϊκά privacy-preserving εργαλεία αποδεικνύονται ευάλωτα στην πράξη, οι επιχειρήσεις θα πιεστούν να ζητούν πιο ισχυρή ταυτοποίηση, με μεγαλύτερο κόστος συμμόρφωσης και πιο ευαίσθητη διαχείριση προσωπικών δεδομένων.
Το πραγματικό δίλημμα δεν είναι αν χρειαζόμαστε ελέγχους ηλικίας, αλλά ποιο επίπεδο τριβής, ιδιωτικότητας και νομικού ρίσκου είναι διατεθειμένες να αναλάβουν πλατφόρμες και ρυθμιστικές αρχές. Η συγκεκριμένη υπόθεση είναι μια προειδοποίηση ότι τα ευρωπαϊκά age-check συστήματα θα κριθούν όχι στις παρουσιάσεις τους, αλλά στην αντοχή τους απέναντι σε απλές, επαναλήψιμες επιθέσεις.