image

Onderzoeker meldt kwetsbaarheid in Europese leeftijdsverificatie-app

vrijdag 17 april 2026, 14:09 door Redactie, 9 reacties

Een kwetsbaarheid in de net gepresenteerde Europese leeftijdsverificatie-app maakt het mogelijk voor aanvallers met fysieke toegang om de PIN van gebruikers te wijzigen en zo toegang tot de app te verkrijgen. Dat stelt beveiligingsonderzoeker Paul Moore op X.

De app is open source en iedereen kan de broncode bekijken. Moore deed dit en ontdekte een kwetsbaarheid waardoor het mogelijk is om de PIN van gebruikers te wijzigen. Hiervoor moet een aanvaller wel fysieke toegang hebben tot de smartphone waarop de app draait. Door simpelweg het verwijderen van de "PinEnc/PinIV" waardes uit de shared preferences kan, na het opnieuw starten van de app, direct een nieuwe PIN ingesteld worden.

Aanvullend wijst de onderzoeker op het feit dat selfies die worden genomen met de app langdurig worden opgeslagen en niet automatisch worden verwijderd. Paul Moore:" These images are written to external storage in lossless PNG format, but they're never deleted. Not a cache... long-term storage. "

Reacties (9)
Vandaag, 14:17 door accountofthaha
Fijn dat een app zoals deze opensource is en dat deze problemen zo snel als mogelijk kunnen worden gefixt. Liever nu, dan nooit.
Vandaag, 14:20 door Anoniem
Ugh... Selfies en foto's. Mijn camera is afgeplak om een reden, of die info nou ergens heengaat of niet.
Vandaag, 14:23 door Anoniem
Door accountofthaha: Fijn dat een app zoals deze opensource is en dat deze problemen zo snel als mogelijk kunnen worden gefixt. Liever nu, dan nooit.
No offence, maar fijn als de app afwezig is, opensource of niet, dan kan ik mijn eigen kinderen weer opvoeden zonder overheidsbemoeienis, ik leef immers liever niet in een conteilestaat waar iedereen maar overal gecontroleerd wordt op van alles en nog wat, en het is vooral irritant voor de mensen die niet eens kinderen hebben.
Vandaag, 14:37 door Anoniem
Door accountofthaha: Fijn dat een app zoals deze opensource is en dat deze problemen zo snel als mogelijk kunnen worden gefixt. Liever nu, dan nooit.

Liever helemaal geen leeftijdsverificatie.
Dan zou deze hele exercitie ook meteen overbodig zijn.
Vandaag, 14:55 door Anoniem
Voor de duidelijkheid: dit betreft een referentie app, en niet een app die in productie gebruikt zou worden. Uiteindelijk brengen lidstaten een eigen app uit die werkt met de nationale infrastructuur en hopelijk niet van deze knullige fouten bevat. Het risico is wel dat deze afgeleide apps closed-source blijven, en moeilijk onderzocht kunnen worden. Nederland kiest in ieder geval voor een open source aanpak voor alles tot nu toe.

Wel een beetje vreemd dat Ursula laatst een persbericht de deur uit heeft gedaan dat "The European #AgeVerification app is technically ready", want de reference wallet is duidelijk een demo, met een hoop losse eindjes die absoluut niet veilig zijn.

Verder kunnen deze problemen verholpen worden, maar in de architectuur zitten een paar fouten die niet zomaar op te lossen zijn:

- Er wordt gebruikt gemaakt van ECDSA (en niet een unlinkable signature scheme op basis van zero-knowledge proofs zoals steeds beloofd werd en ook in EIDAS 2 vereist wordt), wat betekent dat de overheid als ze dat wil gebruikers kan volgen op basis van de handtekeningen die worden uitgegeven en gecontroleerd. Voorstanders van age verification wijzen de hele tijd op dat alles anoniem zou zijn, maar dat is het dus niet, by design.

- Op het moment dat alles wel netjes anoniem gebeurt, wordt het heel makkelijk om ook anoniem andermans leeftijds-attributen te gebruiken. Er zijn genoeg kwetsbare Android-telefoons op de markt, en app attestation of key attestation is niet genoeg om te voorkomen dat zo'n kopie gemaakt wordt.
Vandaag, 15:01 door accountofthaha - Bijgewerkt: Vandaag, 15:12
Door Anoniem:
Door accountofthaha: Fijn dat een app zoals deze opensource is en dat deze problemen zo snel als mogelijk kunnen worden gefixt. Liever nu, dan nooit.
No offence, maar fijn als de app afwezig is, opensource of niet, dan kan ik mijn eigen kinderen weer opvoeden zonder overheidsbemoeienis, ik leef immers liever niet in een conteilestaat waar iedereen maar overal gecontroleerd wordt op van alles en nog wat, en het is vooral irritant voor de mensen die niet eens kinderen hebben.

Ik voed kinderen liever op zonder big-tech bemoeienis, de reden waarom wij in dit scheutje zitten. Bedrijven die verslavende apps maken, en die dan voor kinderen beschikbaar stellen. Daar moet wat aan gedaan worden. Juist goed dat de overheid de mogelijkheid geeft kinderen te beschermen, zoals zij dat ook doet voor roken, alcohol en andere 18+ zaken.

Je leeft ook niet in een politiestaat/controlestaat, je leeft in een van de vrijste landen ter wereld met een werkende democratie waarin je elke partij mag stemmen om zo jou wereldbeeld werkelijkheid te maken. Realiseer je dat eens. Je hebt de vrijheid je mening te laten horen. Maak je ook gebruik van, hier op dit forum. Dat is het tegenovergestelde van een politiestaat.

Voornamelijk irritant voor mensen die geen kinderen hebben? Die hebben er geen last van, een keertje je ID in de app zetten, en dan misschien 1 stap extra om toegang te krijgen. Moeilijker is anders. Ik heb ook geen last van de ID-check bij het kopen van Alcohol online. Hoezo zou ik hier wel last van krijgen?

Update: bijwerken taalgebruik en verduidelijking tekst.
Vandaag, 15:14 door Anoniem
Door accountofthaha:
Door Anoniem:
Door accountofthaha: Fijn dat een app zoals deze opensource is en dat deze problemen zo snel als mogelijk kunnen worden gefixt. Liever nu, dan nooit.
No offence, maar fijn als de app afwezig is, opensource of niet, dan kan ik mijn eigen kinderen weer opvoeden zonder overheidsbemoeienis, ik leef immers liever niet in een conteilestaat waar iedereen maar overal gecontroleerd wordt op van alles en nog wat, en het is vooral irritant voor de mensen die niet eens kinderen hebben.

Ik voed kinderen liever op zonder big-tech bemoeienis, de reden waarom wij in dit scheutje zitten. Verslavende apps maken, en die dan voor kinderen beschikbaar stellen. Juist goed dat de overheid de mogelijkheid geeft kinderen te beschermen, zoals zij dat ook doet voor roken, alcohol en andere 18+ zaken.

Je leeft ook niet in een politiestaat/controlestaat, je leeft in een van de vrijste landen ter wereld met een werkende democratie waarin je elke partij mag stemmen om zo jou wereldbeeld werkelijkheid te maken.

En voornamelijk irritant voor mensen die geen kinderen hebben? Die hebben er geen last van, een keertje je ID in de app zetten, en dan misschien 1 stap extra om toegang te krijgen. Moeilijker is anders.
Welke "app" en werkt die dan ook onder andere besturingssystemen dan
Windows, Google Android en Apple macOS en IOS?
En hoe moet je je ID in een "app" zetten als je geen camera op je telefoon en computer hebt?
Vandaag, 15:24 door Anoniem
De overheid heeft heer helemaal niks in te zoeken.

En de EU al helemaal niet.

Ouders moeten hun kinderen zelf opvoeden. Geef ze gewoon geen telefoon of gebruik Parental Controls, wat iedere telefoon ondersteunt.

Dit systeem is NIET bedoeld om kinderen te beschermen. Het is een middel om iedereen te identificeren op social media en straks op alles op internet (VPN, chats, email, etc).

Mensen die zeggen “ja, lekker makkelijk” of “goed dat kinderen niet bij social media kunnen” hebben totaal geen idee wat de gevolgen zijn van dit systeem en dat NIEMAND (ook volwassenen) straks niet meer relatief anoniem kunnen surfen op internet.

Helaas wordt iedereen dom gehouden via de media. Echt schrikbarend.

En ook is er geen fatsoenlijk debat over geweest met voors en tegens. Het is er doorheen geduwd op EU-niveau -> #Nexit nu
Vandaag, 15:26 door Anoniem
Door Anoniem:
Door accountofthaha:
Door Anoniem:
Door accountofthaha: Fijn dat een app zoals deze opensource is en dat deze problemen zo snel als mogelijk kunnen worden gefixt. Liever nu, dan nooit.
No offence, maar fijn als de app afwezig is, opensource of niet, dan kan ik mijn eigen kinderen weer opvoeden zonder overheidsbemoeienis, ik leef immers liever niet in een conteilestaat waar iedereen maar overal gecontroleerd wordt op van alles en nog wat, en het is vooral irritant voor de mensen die niet eens kinderen hebben.

Ik voed kinderen liever op zonder big-tech bemoeienis, de reden waarom wij in dit scheutje zitten. Verslavende apps maken, en die dan voor kinderen beschikbaar stellen. Juist goed dat de overheid de mogelijkheid geeft kinderen te beschermen, zoals zij dat ook doet voor roken, alcohol en andere 18+ zaken.

Je leeft ook niet in een politiestaat/controlestaat, je leeft in een van de vrijste landen ter wereld met een werkende democratie waarin je elke partij mag stemmen om zo jou wereldbeeld werkelijkheid te maken.

En voornamelijk irritant voor mensen die geen kinderen hebben? Die hebben er geen last van, een keertje je ID in de app zetten, en dan misschien 1 stap extra om toegang te krijgen. Moeilijker is anders.
Welke "app" en werkt die dan ook onder andere besturingssystemen dan
Windows, Google Android en Apple macOS en IOS?
En hoe moet je je ID in een "app" zetten als je geen camera op je telefoon en computer hebt?

Deze app is absurd. Complete overreach van de overheid en het dwingt mensen om hun identiteit prijs te geven aan de overheid, gekoppeld aan hun surfgedrag, en ook is het onveilig en een privacyramp.

En inderdaad, men wordt gedwongen om gebruik te maken van platformen die de overheid kan controleren (Apple, Android). Een VPN zal wel niet werken en ook als je geen camera hebt of je ID niet wilt scannen kun je straks niet meer bij je email, chat of social media. Het is echt een grof schandaal en hier zou heel veel verzet tegen moeten zijn.

De EU heeft NIKS hierin te zoeken. Laat mensen met rust.
Reageren
Ondersteunde bbcodes
Bold: [b]bold text[/b]
Italic: [i]italic text[/i]
Underline: [u]underlined text[/u]
Quote: [quote]quoted text[/quote]
URL: [url]https://www.security.nl[/url]
Config: [config]config text[/config]
Code: [code]code text[/code]

Je bent niet en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.