L’app Ue per la verifica dell’età, il codice open source e quella falla scoperta in due minuti

18/04/2026 INTERNO Condividi Preferisci Informazione.News su Google

Redazione Interno   -   Pochi giorni addietro, la Commissione europea aveva presentato con una certa enfasi la nuova applicazione per la verifica dell’età online, uno strumento pensato – stando alle intenzioni dichiarate – per consentire alle piattaforme di proteggere i minori da contenuti dannosi o illegali, magari aggirando quei fastidiosi pop-up che chiedono un clic per confermare la maggiore età. L’app, che in Italia sarebbe dovuta essere disponibile tramite IT-Wallet, si configura utilizzando un documento come il passaporto o la carta d’identità, con la promessa – peraltro ribadita dalla presidente Ursula von der Leyen – di non rivelare informazioni personali dell’utente, funzionando su qualsiasi dispositivo (smartphone, tablet e computer) e vantando un’architettura completamente open source. Ed è proprio quest’ultima caratteristica, la trasparenza del codice, a essersi trasformata in un’arma a doppio taglio, considerato che un consulente di sicurezza, Paul Moore, ha impiegato meno di due minuti per individuarne le falle più imbarazzanti.

Il «design davvero scadente» e i file modificabili con un editor

La natura open source dell’applicazione, presentata come un baluardo di trasparenza, ha permesso a un esperto di analizzare il codice nei minimi dettagli, trovando vulnerabilità che qualcuno ha già definito «da principianti». Il sistema, durante la configurazione iniziale, chiede all’utente di impostare un PIN a quattro o sei cifre che, tecnicamente, viene crittografato e salvato in un file sul dispositivo. Il problema, come ha dimostrato Moore con un video pubblicato online, è che quel PIN non è legato in modo crittografico al repository che contiene i dati d’identità. Con una procedura alla portata di molti, un potenziale malintenzionato può accedere alla cartella shared_prefs del telefono, cancellare i valori che conservano il PIN cifrato (i famosi PinEnc e PinIV) e riavviare l’app, che a quel punto accetterà un nuovo codice d’accesso. Una volta inserito un PIN diverso, l’applicazione restituisce senza battere ciglio le credenziali create in precedenza, certificando la maggiore età a chiunque abbia accesso fisico al terminale.

Dalla biometrica al rate limiting, un sistema aggirabile in pochi secondi

Non si tratta, a ben vedere, di un singolo incidente di percorso. Le analisi condotte hanno rivelato che le maglie larghe della protezione si estendono anche ad altre funzioni cruciali. L’autenticazione biometrica – come l’impronta digitale o il riconoscimento facciale – viene gestita attraverso una semplice variabile booleana (vero/falso) che, modificata nel file di configurazione, può essere disattivata in un istante. Allo stesso modo, il meccanismo di rate limiting, pensato per bloccare l’accesso dopo un certo numero di tentativi errati di PIN, non è altro che un contatore salvato nello stesso file locale: basta azzerarlo per avere infinite possibilità di indovinare il codice. Un consulente ha osservato che il PIN «non dovrebbe essere crittografato» in quel modo, definendo l’intera architettura un «design davvero scadente». Non manca, in questo contesto, una critica più radicale sollevata da un altro esperto: l’app certifica che una credenziale è valida per un over 18, ma non ha gli strumenti per assicurare che chi la sta presentando in quel momento sia effettivamente il legittimo titolare. Una volta che il dato viene estratto, può essere potenzialmente riutilizzato o condiviso, magari da un fratello minore che mette le mani sullo smartphone del maggiore.

La replica tecnica di Bruxelles e il paradosso di un codice «spioni»

Di fronte a queste evidenze, diventa interessante notare come la Commissione europea abbia giocato d’anticipo, cercando di trasformare il vizio in virtù. Un portavoce dell’esecutivo comunitario ha dichiarato che la scelta di pubblicare il codice sorgente era stata fatta proprio per permettere agli sviluppatori di «testarlo, giocarci, e potenzialmente aiutarci a migliorarlo». In altre parole, la vulnerabilità scoperta in due minuti verrebbe spacciata per il successo del metodo collaborativo. Sono già state annunciate misure immediate per correggere le falle, con l’aggiornamento a una nuova versione dell’app. Tuttavia, per chi analizza il codice senza paraocchi, resta il fatto che l’applicazione al momento appare più simile a un prototipo frettoloso che a un’infrastruttura solida, pronta per essere utilizzata su larga scala da milioni di cittadini europei. La scelta di definire il sistema «tecnicamente pronto» durante l’annuncio pubblico stride con la facilità con cui un ricercatore è riuscito a violarne le protezioni.

L’attualità del tema e la seconda riunione del gruppo di consulenza

Questa vicenda tecnica si intreccia inevitabilmente con le scadenze politiche. Venerdì 17 aprile, infatti, si è tenuta la seconda riunione del gruppo speciale di consulenza alla presidente von der Leyen sulla sicurezza online dei minori. Un incontro, questo, incentrato sulle norme vigenti nell’Unione per proteggere i più giovani, ma anche su approcci internazionali come l’età minima per l’accesso ai social in Australia. L’app di verifica dell’età, nonostante i problemi emersi, viene indicata come la «soluzione europea» con i più alti standard di privacy al mondo, anche se la realtà dei fatti – quella dei file shared_prefs modificabili con un semplice editor – sembra raccontare una storia leggermente diversa. L’open source, in questo caso, ha funzionato come un test impietoso, rivelando che forse, prima di annunciare il traguardo, sarebbe stato il caso di assicurarsi che le fondamenta reggessero.