Az Európai Unió nyílt forráskódú korhatár-ellenőrzési projektje komoly bírálatokat kapott, miután egy karbantartó megerősítette, hogy a hardverhez kötött hitelesítés kötelező architekturális követelmény. Ez aggodalmat kelt a Linux, az egyedi Android ROM-ok és a saját fordítású alkalmazások jövőjével kapcsolatban.

A vita a projekt Android-alkalmazásának GitHub tárolójában indult, ahol egy felhasználó azzal érvelt, hogy ha a hitelesítő adatokat konkrét hardverkörnyezetekhez kötik, az megnehezíti a nyitott rendszerek támogatását.

„A hardverhez kötött hitelesítés ennek a projektnek a követelménye, nem pedig egy olyan megvalósítási részlet, amit egyszerűen elhagyhatunk” – válaszolta egy karbantartó. A projekt alternatív architekturális javaslatokat kért, és közölte, hogy hamarosan közzétesznek egy külön security review-t és threat modelt.

A megoldás lehetővé teszi, hogy a felhasználók igazolják: betöltötték a szükséges életkort, anélkül hogy felfednék a nevüket, a pontos születési dátumukat vagy a teljes személyazonosító okmányukat. Azért, hogy a hitelesítő adatokat ne lehessen másolni, klónozni vagy módosított kliensekkel újra felhasználni, a projekt védett hardverben tárolt kulcsokra támaszkodik, például az Android TEE-re, a StrongBoxra vagy az Apple Secure Enclave-re.

A kritikusok szerint ez a megközelítés kockázatossá teszi a rendszert, mert néhány jóváhagyott eszköztől, operációs rendszertől és hitelesítési szolgáltatótól teszi függővé.

A projekt technikai specifikációja előírja, hogy az életkor-ellenőrző alkalmazások használják a natív kriptográfiai hardvert, ha az elérhető. A szigorúbb ellenőrzések – például a root detektálása, a Google Play Integrity vagy az Apple App Attest – viszont nem minden esetben kötelezőek a referencia-megvalósításban, és az egyes üzemeltetőkre bízhatják őket.

Ez a különbségtétel azért fontos, mert a hardveres kulcstárolás önmagában nem követeli meg, hogy egy szerver az egész eszközt, operációs rendszert vagy alkalmazás-buildet jóváhagyja. A karbantartó megfogalmazása így némi bizonytalanságot hagy abban, mennyire lesznek szigorúak a tényleges, éles üzemű rendszerek.

Van egy külön irányítási korlát is. A Proof of Age szolgáltatók várhatóan csak olyan alkalmazásoknak adnak ki hitelesítő adatokat, amelyek szerepelnek az Európai Bizottság által vezetett, megfelelőségi listán. Ez azt jelenti, hogy a forráskód közzététele önmagában nem garantálja, hogy egy közösség által fordított változat használhatja a valódi szolgáltatást.

Fontos, hogy Linuxot nem tiltják ki kifejezetten. Asztali Linux-felhasználók elérhetnek egy weboldalt, és egy támogatott mobilos wallet segítségével beolvashatnak egy QR-kódot. A jelenlegi architektúra azonban nem kínál natív Linux walletet, és az alternatív mobil operációs rendszerek nehezen tudják majd teljesíteni a szükséges tRust feltételeket.

Látszik, hogy a vita messze túlmutat egyetlen Android-megvalósításon. A projekt jelenlegi álláspontja szerint azonban a hardveres kötés továbbra is kötelező. A várt security review és threat model részletesebben megmagyarázhatja, miért ezt a kompromisszumot választották, és hogy az alternatív tRust-gyökerek vagy kevésbé szigorú megvalósítások még megfelelhetnek-e a követelményeknek.

Addig is nyitott marad a központi kérdés: mennyire maradhat valóban nyitott egy EU-finanszírozású, nyílt forráskódú identitásrendszer, ha a gyakorlati hozzáférés nemcsak az elérhető forráskódtól, hanem a jóváhagyott alkalmazásoktól, a támogatott security hardvertől, a tRustelt futtatókörnyezetektől és a hitelesítő adatokat kiadó szolgáltatók szabályaitól is függ.