L'app di Age Verification dell'EU è piena di vulnerabilità

Guarda su YouTube → 34:50 17 aprile 2026

Descrizione

Il 15 aprile del 2026 Ursula von der Leyen annuncia il rilascio open-source dell'applicazione di age verification dell'EU. L'app attualmente è in fase di sviluppo e testing, quindi ancora non è stata ancora rilasciata. Sono però stati rilasciati i sorgenti delle applicazioni client, sia per Android che per iOS su GitHub (link a seguire). Dopo poche ore, alcuni ricercatori hanno iniziato ad analizzare il codice. E purtroppo la situazione è critica. Direi anche imbarazzante. Ci sono problemi a vari livelli, da banali errori di implementazione a profonde problematiche di design. Alcuni problemi ti fanno veramente chiedere: ma che tipo di qualità è stata inserita nel processo di sviluppo? La sicurezza infatti dovrebbe essere un pilastro fondamentale dello sviluppo. Non deve essere un "faccio così come mi sento, poi sistemo". Ci sono best-practices che sono state palesemente ignorate. Perfino un modello di AI sarebbe in grado di trovare, analizzare e sistemare alcune di queste vulnerabilità. Possiamo e dobbiamo fare di meglio. Codice sorgente android: - https://github.com/eu-digital-identity-wallet/av-app-android-wallet-ui Analisi dettagliata dell'app: - https://pinperepette.github.io/signal.pirate/articoli/l-eta-e-un-booleano.html?t=d Analisi iniziale: - https://x.com/Paul_Reviews/status/2044723123287666921 Sto costruendo un luogo per imparare l'informatica: - https://esadecimale.it - https://learn.esadecimale.it

Commenti 35

I commenti vengono da YouTube e sono aggiornati periodicamente.

@MarcoMorosi 20 aprile 2026 3

Grazie per il video. È molto importante. Politicamente però sfugge un dettaglio che ribalta completamente la retorica negativa dell'open source che si sta portando avanti: il Principio di Kerckhoffs. Un sistema crittografico deve essere sicuro anche se ogni dettaglio del sistema, fatta eccezione per la chiave, è di pubblico dominio. Proprio grazie al video che hai fatto, e grazie a tanti altri hacker e curiosi, il progetto si evolverà velocemente verso una base molto più solida, cosa che se fosse rimasta chiusa non sarebbe mai accaduta
1 risposta
1. @esadecimale Autore 20 aprile 2026
  
  Assolutamente! Sia chiaro: qui la critica non è minimamente all'open source, e anzi questa è stata una scelta saggia! Forse avrei dovuto premere più su questo punto. O meglio, vediamo come rispondono. È nella risposta da parte dell'EU che potremmo determinare la serietà di questa iniziativa. Ma ottimo punto che hai fatto, in ogni caso (ti ringrazio) te lo pinno!
@fabrizio999 18 aprile 2026 3

Incredibile la quantitá di tempo e risorse che vorrebbero farci sprecare per una cosa del genere.
@capcrow420 17 aprile 2026 2

Grazie per il commento a caldo sulla faccenda e per l'informazione, sempre contenta di seguire il tuo canale! :)
@jaco2770 19 aprile 2026 3

Non ho parole. Grazie per il video
@lynx97 18 aprile 2026 2

27:05 Nonostante non abbia approfondito le aziende coinvolte o le scelte politiche dietro questi eventi, sono convinto che i problemi che emergono in progetti di questo tipo derivino dal solito, immancabile conflitto di interessi. Quando si analizza chi prende pessime decisioni, non c’è una spiegazione più plausibile di questa.
@AndreaAmani 18 aprile 2026

grazie per il cit :)
@Marc-q1o1k 18 aprile 2026 1

Forse é off topic, ma secondo me non dotare dei dispositivi basati su kernel Linux di Shell , utenti , Pam , cioè del classico terminale unix é incredibile.
@mircoCampanella 19 aprile 2026

Tra un po' ci arriva l'age-verification direttamente nel sistema operativo. Cosi saremo tutti più felici.
@lamerone-net 18 aprile 2026

sei il collega che uno spera di avere
@maogibba3066 11 luglio 2026

Posto che un software senza bug NON esiste, hanno rilasciato la demo opensource proprio per trovare tutti i bug prima di rilasciarla ... mi sembra normale e corretto
@LucaCanali 17 aprile 2026

a prescindere dal trovarsi d'accordo o meno sull'age verification, e sul fatto che dovrebbero assolutamente metterci molto piu effort nel fare questo tipo di software, tro che il fatto che l'abbiano rilasciata open source sia estremamente importante e forse rendera queato software particolarmente resistente !!!
1 risposta
1. @esadecimale Autore 17 aprile 2026 1
  
  Si per fortuna almeno siamo venuti a conoscenza del codice
@parolemeschine 17 aprile 2026 1

Sembra scritto da uno che ha seguito un tutorial base su Android!
1 risposta
1. @LucaCanali 17 aprile 2026
  
  forse da uno che usa llm e non sa cosa stia facendo 😅
@gianmarcomarrandino1032 18 aprile 2026

Esadecimale ciao, vado un attimo fuori "contesto". Volevo chiederti dato che mi interessano molto i tuoi video, sono un full stack laureando in ingegneria informatica (3 anni), mi piacerebbe approfondire molto il lato cybersecurity come settore sia dal punto di vista teorico, pratico ma anche lavorativo. Ora arrivo al punto, i tuoi corsi possono essere una base importante teorica e pratica per immegermi in questo settore? Grazie e continua con questi contenuti Spero che farai un altro video più specifico per quest app
3 risposte
1. @esadecimale Autore 18 aprile 2026
  
  Ciao Gianmarco, In piattaforma trovi il corso "Introduzione pratica alla sicurezza informatica", con più di 19 ore di contenuti. Sono molto fiero del corso, dal mio punto di vista è un ottimo modo per iniziare con la sicurezza offensive. Alcuni lati positivi del corso: - Non si limita a descrivere le vulnerabilità ma entra dentro il concetto di rischio e di impatto per il business. Questa secondo me è la abilità più important da sviluppare. Sapere cosa crea un danno, e cosa invece può essere un bug strano ma senza conseguenze serie. - È tutto pratico. Il corso è basato su software reali e su vulnerabilità reali. La teoria è di contorno. Fondamentale anche quella, ma serve a spiegare cosa è successo in pratica. - Si concentra su tre contesti diversi, che sono Web, Linux e Windows. Questo ti permette di avere una overview generale sulla sicurezza. Attualmente sto lavorando alla piattaforma di CTF, che adesso in realtà ho espanso ad un concetto più generale di Cyber Range, e conterrà varie macchine vulnerabili accessibili 24/7 su cui ci saranno anche dei video e dei corsi specifici al riguardo. Tutto questo per dire: sia adesso e specialmente in futuro la piattaforma e i contenuti che caricano saranno molto dedicati alla cybersecurity
2. @gianmarcomarrandino1032 18 aprile 2026
  
  @esadecimale Grazie per la risposta tempestiva. Aggiungo: so che può essere una domanda stupida, ma secondo te può essere utile? Domanda stupida perché magari mi dirai di sì essendo il tuo corso. Però intendo utile, per me in base a ciò che faccio e se lo volessi far tramutare con costanza e studio a un lavoro. Grazie ancora, chiedo a te perché mi sembri una persona molto competente e buona
3. @esadecimale Autore 18 aprile 2026
  
  @gianmarcomarrandino1032 Sicuramente come hai potuto osservare anche tu ho un interesse nel dirti: si, è utile. Mettiamola così però: attualmente non ho visto corsi in italiano che si concentrano sugli spetti su cui mi concentro io. Che sono aspetto che ho toccato lavorando nel settore. Quindi ritengo che è un corso molto utile per chi vuole iniziare seriamente a capire cosa significa fare sicurezza informatica. Rispetto alla tua figura, dato che hai già competenze in informatica, riuscirai a capire meglio la parte di sicurezza. Per chi inizia da zero infatti è più difficile perché non ha quelle basi computazionali necessarie a capire cosa è un software. Il corso tratta la sicurezza del software. Si da per scontato cosa è un software e ci si pone un'altra domanda: cosa intendiamo quando parliamo di vulnerabilità? Dopo aver descritto in generale questo, si entra nel dettaglio, mostrando le più importanti categorie di vulnerabilità: leak di informazioni sensibili, mancanza di validazione dei dati, problemi di autenticazione ed autorizzazione, problemi nella gestione delle sessioni. Questo per le applicazioni web, mentre per Linux e Windows ci si chiede: quali sono le classiche miss-configurazioni di sistema che portano a vulnerabilità? È un ottimo corso per chi inizia. Ovviamente vedilo come un inizio. C'é tantissimo altro dietro la materia e 20 ore non bastano. Ma queste 20 ore, se studiate bene, formano le basi di tutto quello che segue.
@alfonsocriscuolo604 19 aprile 2026

Una domanda, ma questa app vale solo per i nuovi utenti? io sto su facebook da 16 anni quindi non avrò problemi?
4 risposte
1. @esadecimale Autore 19 aprile 2026
  
  in realtà mi sa di no. Ancora non ho capito bene come sarà implementata, ma attualmente dato che il verificatore vedere solamente la proof of attenstation, e chi invece emette la proof of attestation vede solo l'età e non il sito a cui ti stai connettendo, non sembra essere possibile mettere un check logico per dire "dato che qui sono scritto da X anni non devo controllare". Però non prendere come 100% vere queste parole. Devo ancora capire meglio
2. @alfonsocriscuolo604 19 aprile 2026
  
  @esadecimalequindi posso stare tranquillo?
3. @esadecimale Autore 19 aprile 2026 1
  
  @alfonsocriscuolo604 Allora non è una cosa da fine del mondo, ma è abbastanza preoccupante la bassa qualità tecnica che l'unione europea sta mostrando in questo.
4. @alfonsocriscuolo604 19 aprile 2026
  
  @esadecimalema si sa quando uscirà questa app?
@jeyibunez 19 aprile 2026

può essere che sia stata pubblicata volutamente senza sicurezza, solo come prototipo? non è ancora attiva giusto? forse la sicurezza la vogliono implementarla per la versione definitiva
3 risposte
1. @esadecimale Autore 19 aprile 2026
  
  Dici per fare una figura di merda globale? Non saprei...Nel senso, qui troviamo due forme di errori: banali errori di implementazione e dei gravi problemi di design architetturale. Non capisco il senso di rilasciare una cosa che è rotta. Perché scrivere "shared preferences are encrypted", quando è palese che non lo siano? Oltre al fatto che i dati non sono vincolati al PIN, quindi è completamente inutile in ogni caso. Certo per fortuna l'hanno pubblicata open source, così queste cose sono uscite subito. Ma ecco non capisco il senso di questo. Perdi solo rispetto e credibilità lato tecnico. E anzi, attori malevoli adesso potrebbero essere ancora più interessati ad attaccare il sistema non appena va live. Questo o altri di simili. Un penetration test interno prima del rilascio avrebbe sistemato queste problematiche di implementazione. Dici che l'Unione Europea non si può permettere un PT? Io non penso. Ovviamente adesso la community gli ha fatto un po' un "PT open source", sia chiaro. Ma a livello di immagine sembra comunque essere una triste sconfitta. Importerà a qualcuno? Probabilmente no, perché la maggior parte della popolazione purtroppo fatica a capire l'importanza di queste cose, ed è difficile comunicarlo alle masse.
2. @jeyibunez 19 aprile 2026
  
  @esadecimalemi sembra che non sia stato il minimo interesse a renderla sicura, proprio zero quindi credo non sia stato nelle intenzioni di chi ha programmato. Annunci per il grande pubblico non mi ci siano stati, per tra i tecnici non fa bella figura, sempre che nelle loro intenzioni questa sia la versione definitiva. Nel caso fosse solo una bozza che va rifinita dalle singole nazioni può anche starci di lasciare una versione base base.
3. @esadecimale Autore 19 aprile 2026
  
  @jeyibunez Un conto è una versione base base, ma allora non inganni la gente mettendo cose palesemente false. Se non vedo nessun layer di protezione, allora io stato che la integro mi occuperò di implementarlo. Anche se è comunque poco responsabile, dato che la sicurezza deve essere la stessa a prescindere dalla nazione. Il fatto che non sia stata posta la minima attenzione lato sicurezza è un problema che non possiamo accettare e basta. Perché tra un po' qui ci saranno i nostri dati.
@elguerrero2.027 17 aprile 2026

Baudr forse era più sicura 😂
1 risposta
1. @esadecimale Autore 17 aprile 2026
  
  AHAHAHHA
@salvatoremurolo8942 17 aprile 2026 1

È protetta quanto un diario con scritto sopra ‘non leggere’...stiamo in mano all'arte...🥲🥲
4 risposte
1. @Giovanni-g2g5c 17 aprile 2026 4
  
  Mi figlia mi ha consegnato il pc per migrarlo da win10 a Linux con la raccomandazione di salvargli i dati personali, sul disco c'era una cartela denominata : "privato non leggere"... a me è bastato, ma non credo che funzioni sempre.🤣
2. @salvatoremurolo8942 17 aprile 2026
  
  @Giovanni-g2g5c 😂😂
3. @esadecimale Autore 17 aprile 2026
  
  @Giovanni-g2g5chahaha
4. @LucaCanali 17 aprile 2026
  
  @Giovanni-g2g5c😂