EU:s nya system för digital ålderskontroll ska skydda användarnas identitet – men kravet på hårdvarubunden attestering väcker oro. Kritiker menar att tekniken kan stänga ute Linux, alternativa Android-system och självkompilerade appar, trots att projektet utvecklas med öppen källkod.
Europeiska unionen arbetar med en öppen teknisk lösning för ålderskontroll på internet. Tanken är att en användare exempelvis ska kunna bevisa att han eller hon är över 18 år utan att behöva lämna ut namn, fullständigt födelsedatum eller en kopia av sitt identitetskort till varje webbplats.
På papperet är detta ett viktigt steg för den personliga integriteten. I stället för att lämna ut hela sin identitet ska användaren kunna visa upp ett digitalt intyg som enbart svarar på frågan: Är personen tillräckligt gammal?
Men projektets säkerhetsmodell har samtidigt väckt kritik. En ansvarig utvecklare har bekräftat att så kallad hårdvarubunden attestering är ett obligatoriskt krav i projektets arkitektur.
Det kan göra det svårt att använda systemet på Linux, modifierade Android-versioner och program som användare själva har kompilerat från den öppna källkoden.
Ett digitalt åldersbevis
Systemet kan jämföras med att visa upp ett kort där det bara står ”över 18 år”, i stället för att lämna över ett körkort med namn, personnummer, fotografi och adress.
En godkänd utfärdare kontrollerar först användarens ålder och skapar därefter ett digitalt intyg. Intyget kan sedan visas för en webbplats eller tjänst som behöver kontrollera användarens ålder.
Tekniken är utformad för att minska mängden personuppgifter som sprids på internet. Webbplatsen ska alltså inte behöva få veta vem användaren är, bara om ålderskravet är uppfyllt.
Problemet är att ett sådant intyg måste skyddas mot kopiering. Om den digitala legitimationen enkelt kunde flyttas mellan telefoner skulle en vuxen person kunna kopiera sitt åldersbevis och ge det till minderåriga.
För att förhindra detta knyts intyget till en kryptografisk nyckel som lagras i enhetens skyddade hårdvara.
Vad är hårdvarubunden attestering?
Moderna mobiltelefoner innehåller särskilda säkerhetsområden som är åtskilda från det vanliga operativsystemet. På Android kan dessa bland annat kallas Trusted Execution Environment, TEE, eller StrongBox. Apple använder en motsvarande teknik som heter Secure Enclave.
Där kan hemliga kryptografiska nycklar lagras på ett sätt som gör dem svårare att kopiera eller läsa ut, även om telefonens vanliga operativsystem skulle angripas.
När en app använder en sådan nyckel kan den också lämna tekniska bevis på att nyckeln har skapats och förvaras i skyddad hårdvara. Detta kallas attestering.
En projektansvarig för EU:s ålderskontroll har beskrivit hårdvarubunden attestering som ett krav för projektet, inte som en teknisk detalj som enkelt kan tas bort.
Projektet har samtidigt välkomnat alternativa förslag och uppgett att en mer omfattande säkerhetsgranskning och hotmodell ska publiceras.
Hårdvaruskydd är inte samma sak som Google-godkännande
En viktig detalj i diskussionen är skillnaden mellan att använda en säkerhetskrets och att kräva att hela telefonen godkänns av en viss leverantör.
Att lagra en nyckel i skyddad hårdvara behöver inte automatiskt betyda att telefonen måste använda Googles officiella Android-version eller att appen måste ha installerats från Google Play.
EU-projektets tekniska specifikation kräver att appar använder enhetens inbyggda kryptografiska hårdvara när sådan finns. Däremot verkar mer omfattande kontroller, som Googles Play Integrity, Apples App Attest och generell kontroll av om telefonen är rootad, inte vara obligatoriska i alla delar av referenslösningen.
Detta är en avgörande skillnad.
Play Integrity kan exempelvis användas för att bedöma om en Android-enhet kör en godkänd programvarumiljö och om appen kommer från en accepterad distributionskanal. En ren hårdvarunyckel behöver däremot inte göra någon bedömning av hela operativsystemet.
Hur strikta de slutliga kontrollerna blir kan därför bero på hur systemet införs i praktiken och vilka krav de olika utfärdarna ställer.
Öppen källkod garanterar inte ett öppet system
EU:s ålderskontroll utvecklas som öppen källkod. Det betyder att programmerare kan läsa koden, granska den, föreslå ändringar och bygga egna versioner.
Men tillgång till källkoden innebär inte nödvändigtvis att en självkompilerad app får ansluta till den verkliga tjänsten.
De aktörer som utfärdar digitala åldersbevis förväntas bara lämna ut intyg till appar som finns med på en lista över godkända och regelmässigt korrekta applikationer. Listan ska hanteras inom EU-systemets organisation.
En användare kan därför i teorin ladda ned källkoden, bygga appen själv och installera den på sin telefon – men ändå nekas ett riktigt åldersbevis eftersom den egenbyggda versionen inte finns med på listan över godkända appar.
Detta illustrerar skillnaden mellan öppen kod och öppen tillgång.
Koden kan vara fri att studera, samtidigt som åtkomsten till infrastrukturen styrs av certifikat, appregister, hårdvarukrav och beslut från godkända utfärdare.
Vad händer med alternativa Android-system?
För användare av vanliga Android-telefoner och Iphone-enheter behöver kravet inte innebära några större praktiska problem. De flesta moderna telefoner har redan hårdvara för säker lagring av kryptografiska nycklar.
Situationen kan bli annorlunda för personer som använder alternativa Android-system, exempelvis operativsystem där Googles tjänster har tagits bort eller ersatts.
Många sådana system kan fortfarande använda telefonens TEE eller StrongBox. Men de kan få problem om en utfärdare dessutom kräver att operativsystemet, appen eller installationsmetoden ska vara godkänd av Google, Apple eller någon annan betrodd part.
Även äldre telefoner kan påverkas om de saknar tillräckligt modern säkerhetshårdvara eller inte längre får säkerhetsuppdateringar.
Kritiker befarar därför att ålderskontrollen i praktiken kan gynna ett litet antal stora mobilplattformar, även om den tekniska lösningen formellt är öppen.
Är Linux förbjudet?
Linux är inte uttryckligen förbjudet i den nuvarande arkitekturen.
En person som använder Linux på sin dator skulle exempelvis kunna besöka en webbplats, få upp en QR-kod och skanna den med en godkänd app i sin mobiltelefon. Själva åldersintyget skulle då hanteras av telefonen, medan Linux-datorn endast används för att öppna webbplatsen.
Däremot finns det för närvarande ingen motsvarande inbyggd plånbok för vanlig Linux på skrivbordet. En Linuxanvändare blir därför beroende av en separat mobiltelefon med ett operativsystem och en app som accepteras av systemet.
För personer som använder Linux även på mobilen, eller som vill använda helt fria operativsystem, kan detta bli ett betydligt större hinder.
Säkerhet mot digital självständighet
Bakom debatten finns en grundläggande konflikt.
Å ena sidan måste åldersbeviset skyddas mot kopiering, manipulation och massproduktion. Om vem som helst kunde skapa en modifierad app som exporterade eller delade ut digitala intyg skulle systemet snabbt förlora sin trovärdighet.
Å andra sidan kan mycket strikta säkerhetskrav skapa ett system där användaren inte längre själv får bestämma över sin utrustning och programvara.
En tekniskt kunnig användare kanske vill granska källkoden, kompilera appen själv och installera den på ett öppet operativsystem. Men samma frihet som gör öppen källkod värdefull kan också göra det svårare för en extern utfärdare att avgöra om appen följer alla säkerhetsregler.
Frågan handlar därför inte bara om tekniken är öppen, utan om vem som får räknas som betrodd.
Ett politiskt och tekniskt vägval
Den kommande säkerhetsgranskningen och hotmodellen kan ge en tydligare förklaring till varför EU-projektet har valt hårdvarubundna nycklar och vilka angrepp systemet ska skydda mot.
Dokumenten kan också visa om alternativa lösningar är möjliga. Det skulle exempelvis kunna handla om andra former av säker hårdvara, externa säkerhetsnycklar, öppnare attesteringssystem eller särskilda metoder för att godkänna oberoende appversioner.
Tills dess är det oklart hur öppet systemet kommer att vara i praktiken.
Den centrala frågan är om ett EU-finansierat system kan beskrivas som verkligt öppet när användningen inte bara beror på tillgången till källkoden, utan även på godkända appar, kompatibel säkerhetshårdvara, betrodda operativsystem och reglerna hos de organisationer som utfärdar åldersbevisen.
EU:s projekt försöker lösa ett verkligt och komplicerat problem: att kontrollera ålder utan att bygga ett omfattande system för identitetsövervakning.
Men lösningen visar också att integritet, säkerhet och digital frihet inte alltid drar åt samma håll.
> Fakta: EU:s digitala ålderskontroll
- Systemet ska låta användaren bevisa att en viss åldersgräns är uppnådd utan att lämna ut namn eller fullständigt födelsedatum.
- Åldersbeviset skyddas med kryptografiska nycklar som lagras i enhetens säkerhetshårdvara.
- På Android kan tekniker som TEE och StrongBox användas. Apple använder Secure Enclave.
- Hårdvarubunden attestering ska förhindra att digitala åldersbevis kopieras, klonas eller delas mellan flera enheter.
- Kritiker befarar att kraven kan försvåra användning med Linux, äldre telefoner, alternativa Android-system och självkompilerade appar.
- Öppen källkod innebär inte automatiskt att en egenbyggd app får ansluta till den verkliga tjänsten.
- Linux är inte uttryckligen förbjudet, men användaren kan behöva en godkänd mobiltelefon för att skanna en QR-kod och visa sitt åldersbevis.
