Az EU-s életkor ellenőrzés körül most kezd igazán felpörögni a vita, és gyorsan megjelent mellé egy sokkal erősebb állítás is: az új rendszer majd kizárja a rootolt telefonokat, a LineageOS-t, a GrapheneOS-t és általában az egyedi Android rendszereket. Azonban ez így túlzás és tiltásról nincs szó, viszont van egy technikai részlet, ami miatt egyes telefonokon tényleg problémás lehet a használata.
Az Európai Bizottság már elkészítette az életkor ellenőrző rendszer közös alapját és április óta technikailag késznek tekintik a megoldást. Ezt a tagállamok saját alkalmazásként használhatják, vagy a későbbi európai digitális személyazonossági tárcába beépítve használhatják. A terv szerint 2026 végére a tagállamoknál elérhető kell legyen valamilyen erre épülő rendszer.
Egy korhatárhoz kötött oldalnak nem kell elküldeni a nevet, a születési dátumot vagy bármilyen személyes adatot, mert az alkalmazás csak azt igazolja, hogy a felhasználó elérte az előírt életkort. Az életkor kezdetben például elektronikus személyivel, útlevéllel, nemzeti eID-val vagy más megbízható azonosítási móddal igazolható.
A telefon nem csak egy egyszerű igazolványtároló
A kényesebb rész ott kezdődik, hogy az életkort igazoló digitális adatot valahol biztonságosan kell tárolni. Ha azt egy módosított alkalmazásból egyszerűen át lehetne másolni vagy hamisítani, az egész rendszernek kevés értelme lenne.
A jelenlegi műszaki specifikáció ezért előírja, hogy az alkalmazás használja a telefon natív kriptográfiai hardverét, amikor az rendelkezésre áll. Androidon ilyen a Trusted Execution Environment és a StrongBox, iPhone-on pedig a Secure Enclave. Vagyis a fontos kulcsok lehetőség szerint ne egyszerűen az Android fájlrendszerében legyenek, hanem a telefon védett hardveres részében.
Ez önmagában még semmilyen custom ROM-ot nem tilt.
A probléma azzal kezdődhet, hogy a szolgáltatónak azt is el kell döntenie, milyen telefont és milyen Androidot tekint megbízhatónak. Az alkalmazás forráskódja nyílt, de egy éles nemzeti rendszernek ennél jóval több biztonsági ellenőrzést kell hozzátennie. A Bizottság referenciaalkalmazásának dokumentációja külön említi az alkalmazás integritásának ellenőrzését, a biztonságos tárolást, a kiadási aláírást és az egyéb élesítési feladatokat is.
És itt került képbe a Google Play Integrity.
Nem igaz, hogy az EU kötelezővé tette a Google Play Integrityt
A projekt korábbi dokumentációjában szerepelt a Google Play Integrity használata Androidon, ami komoly ellenkezést váltott ki a nyílt forrású Android rendszerek fejlesztőiből és felhasználóiból. A Play Integrity ugyanis nemcsak azt tudja vizsgálni, hogy a hardver biztonságos-e, hanem az operációs rendszer és az alkalmazás eredetéről is ad visszajelzést.
Ez azért érzékeny pont, mert egy rootolt telefon, nyitott bootloader vagy nem Google által hitelesített Android rendszer ilyen ellenőrzéseknél elbukhat akkor is, ha maga a telefon egyébként korszerű biztonsági hardvert használ.
A projekt GitHub oldalán ezért külön vita indult arról, hogy a rendszer ne függjön kizárólag a Google Play Integritytől. Felmerült olyan ellenőrzési mód is, amely közvetlenül a telefon biztonsági hardverére támaszkodna, és nem ahhoz kötné a működést, hogy az adott Android rendszert a Google hitelesítette-e. Ez nyitva hagyhatná az utat az alternatív rendszerek előtt is.
A jelenlegi EU-s műszaki specifikáció nem írja elő általánosan, hogy minden androidos telefonnak át kell mennie a Google Play Integrity ellenőrzésén. A kötelező rész az, hogy az érzékeny kulcsokat megfelelően védett környezetben tárolják, és maga az alkalmazás se legyen könnyen manipulálható.
Akkor működni fog GrapheneOS-en vagy LineageOS-en?
Erre jelenleg nincs biztos válasz.
A technikai lehetőség megvan arra, hogy egy alternatív Android rendszerrel működő telefon is igazolja, hogy biztonsági szempontból rendben van. Ehhez nem feltétlenül kell a Google Play Integrity. Pont ezért vetették fel a GrapheneOS fejlesztői is, hogy az éles rendszer ne egyetlen Google-féle ellenőrzési módszerhez legyen kötve.
A döntő kérdés az lesz, hogyan valósítják ezt meg az egyes országok. Ha egy nemzeti alkalmazás csak a Google Play Integrity eredményét fogadja el, abból lehet gond LineageOS, GrapheneOS vagy más egyedi rendszer mellett. Ha többféle biztonságos ellenőrzési módot is engednek, akkor ezek a rendszerek sem feltétlenül esnek ki.
A rootolt telefon ennél nehezebb ügy. A root éppen azt jelenti, hogy a felhasználó az Android normál biztonsági korlátain kívül is hozzáférést kap, ezért egy személyazonossági vagy pénzügyi alkalmazás ezt valódi kockázatként kezelheti. Nem lenne meglepő, ha egyes életkor ellenőrző alkalmazások rootolt rendszeren később nem működnének.
Nem kell majd minden weboldalnak megmutatni a személyit
Talán ez a rendszer legfontosabb része, mert az „életkor ellenőrzés” könnyen úgy hangzik, mintha minden felnőtteknek szóló oldal előtt személyit kellene fotózni, de a tervezett működés pont ezt akarja elkerülni.
Az alkalmazás előzetesen megszerzi az életkor igazolását, majd amikor egy weboldal kéri, csak egy digitális bizonyítékot ad át arról, hogy az adott korhatár teljesül. A szolgáltatásnak nem kell megtudnia a nevet, a pontos életkort vagy a születési dátumot. A rendszer zero-knowledge proof technológiát is használhat ehhez. A zero-knowledge proof (ZKP, azaz zéró-tudás bizonyítás) olyan titkosítási eljárás, amelyben az egyik fél (bizonyító) meg tudja győzni a másik felet (ellenőrzőt) arról, hogy egy állítás igaz, de közben semmilyen más információt nem árul el magáról az adatról.
Számítógépen sem feltétlenül kell külön EU-s alkalmazást telepíteni. A műszaki leírás számol azzal, hogy a weboldal QR kódot jelenít meg, ezt a telefonos életkor-ellenőrző alkalmazás beolvassa, majd azon keresztül történik meg az igazolás.
Ami biztos, és ami még nem
Az EU nem tiltotta be a rootolást, nem tiltotta be a LineageOS-t, és nincs olyan előírás sem, amely szerint csak Google által hitelesített Androiddal lehet majd életkort igazolni.
Az viszont valós kérdés, hogy az egyes országok milyen eszközintegritási ellenőrzést építenek a saját alkalmazásukba. Egy túl szigorúan Google Play Integrityre támaszkodó megoldás valóban kizárhatna olyan telefonokat, amelyek egyedi Androidot futtatnak. Technikailag azonban van lehetőség ennél nyitottabb megoldásra is.
Éppen ezért most még korai azt mondani, hogy egy GrapheneOS-es vagy LineageOS-es telefon biztosan használhatatlan lesz. A fontos rész majd akkor derül ki, amikor megjelennek az egyes országok tényleges alkalmazásai és azok konkrét eszközkövetelményei.
Az erősen terjedő „az EU betiltja a custom ROM-okat” állítás tehát nem állja meg a helyét. Az viszont teljesen jogos kérdés, hogy egy kötelezővé váló digitális szolgáltatásnál mennyi beleszólása marad a felhasználónak abba, milyen operációs rendszert használ a saját telefonján.
