Altersnachweis ohne Preisgabe unnötiger persönlicher Daten.
Der Anspruch klingt sauber.
Der jüngst diskutierte Schwachpunkt zeigt aber, wie groß der Unterschied zwischen politischer Erzählung und technischer Realität sein kann.
Der Vorwurf:
Während der Einrichtung wird ein PIN gesetzt, lokal gespeichert und offenbar so behandelt, dass er nicht sauber kryptografisch an den eigentlichen Credential-Speicher gebunden ist.
Bedeutet im Klartext:
Wer Zugriff auf die App-Daten hat und bestimmte Werte in der Konfiguration entfernt oder zurücksetzt, kann einen neuen PIN setzen und danach weiterhin auf bereits vorhandene Nachweise zugreifen.
Noch problematischer wird es, wenn sicherheitsrelevante Funktionen wie Rate Limiting oder Biometrie ebenfalls nur über lokal manipulierbare Konfigurationswerte gesteuert werden.
Dann reden wir nicht mehr über einen kleinen Bug, sondern über ein grundsätzlich schwaches Vertrauensmodell.
Wichtig ist die sachliche Einordnung:
Das ist kein Beweis für einen Remote-Massenhack übers Internet.
Es ist aber sehr wohl ein ernstes Signal, dass lokale Zugriffskontrollen und Schutzmechanismen nicht hart genug an den sicheren Speicher und die Geräte-Sicherheitsfunktionen gekoppelt wurden.
Gerade bei einer App, die politisch als europäische Standardlösung für den Schutz Minderjähriger und für datensparsame Altersnachweise präsentiert wird, reicht „Open Source“ allein eben nicht.
Offenheit ist gut.
Aber Offenheit ersetzt keine belastbare Sicherheitsarchitektur.
Der positive Teil:
Weil der Code offenliegt, lassen sich solche Probleme überhaupt nachvollziehen, prüfen und öffentlich diskutieren.
Genau das ist der Wert von transparenter Entwicklung.
Der negative Teil:
Wenn eine Referenzimplementierung bereits solche Fragen aufwirft, muss vor jeder breiteren Einführung technisch nachgebessert werden, nicht kommunikativ.
GitHub-Repository der Android-Referenz:
eu-digital-identity-wallet/av-app-android-wallet-ui
Technische Spezifikation:
eu-digital-identity-wallet/av-doc-technical-specification
Open Source ist kein Qualitätssiegel. Es ist nur die Chance, Qualität überhaupt überprüfen zu können.