يُقترح ربط محافظ الهوية الرقمية للاتحاد الأوروبي مع التحقق من العمر عبر Google وApple، وظهرت اعتراضات واسعة النطاق على GitHub

مواصفات التحقق من العمر في محفظة الهوية الرقمية التابعة للاتحاد الأوروبي (EU Digital Identity Wallet)، والتي تخطط لربط تطبيقات الأجهزة بالكامل بعمليات التحقق من الأصالة والتحقق من التلاعب عبر Google Play Integrity API وApple App Attestation؛ وبعد تسريب الخبر، امتلأت سلسلة المناقشات الرسمية في GitHub بسرعة بالمنشورات، وعبّر مجتمع المطورين عن رفض شبه إجماعي.

أسباب رفض المطورين: لدى هولندا حل بديل مُثبت، وربط إلزامي ينتهك مبدأين رئيسيين

استناداً إلى تعليقات سلسلة المناقشات في GitHub، تتمثل الحجج الأساسية الثلاثة لدى الرافضين فيما يلي:

قدّمت هولندا Yivi حلاً غير تابع لـ Google: تطبيق الهوية في هولندا Yivi (النسخة السابقة من IRMA) لا يحتاج إلى الاعتماد على خدمات Google لإتمام التحقق من العمر، وقد تم نشره في متجر F-Droid مفتوح المصدر، ما يثبت مباشرة أن دمج Play Integrity ليس شرطاً تقنياً ضرورياً.

المواصفة تناقض نفسها: تحدد مواصفة محفظة الهوية الرقمية للاتحاد الأوروبي ثلاثة مبادئ ذاتية، ويُخالف الربط الإلزامي بخدمات التحقق الخاصة لكل من Google وApple في الوقت نفسه مبدئي «التوافق» و«المعايير المفتوحة».

إشكاليات السيادة الرقمية: لا ينبغي أن تعتمد الخدمات الحكومية على خدمات خارجية من جهات ثالثة؛ إذ إن أي تعديل في سياسات Google أو Apple أو سحبها للخدمة أو حدوث ثغرات منهجية قد يضطر الأجهزة الحكومية في كل دولة لإيقاف آليات التحقق من الهوية.

باحث أمن يختبر كسر App PIN خلال دقيقتين

وفقاً للتقرير، اكتشف باحث في أمن المعلومات أثناء اختبار عملي أنَّه في أجهزة Android، يكفي تعديل ملف تفضيلات نصي بسيط، وحذف إدخال PIN المشفر وإيقاف قيمة منطقية خاصة بالتحقق البيومتري، وضمن أقل من دقيقتين يمكن إعادة تعيين PIN للتطبيق وإيقاف تسجيل الدخول بالتحقق البيومتري، وما زالت بيانات الاعتماد المخزنة قابلة للاستخراج بالكامل؛ كما أعاد باحث ثانٍ إنتاج هذه الثغرة وسجل المزيد من المشكلات، بما في ذلك تخزين بيانات شخصية دون تشفير.

تُستخدم هذه المشكلات الأمنية من بعض التعليقات للطعن في المنطق القائل بأن تثبيت النظام بالكامل على الاعتماد على التحقق من العتاد يستحق العناء لمنع الاختراق عن بُعد؛ كما تساءل بعض المطورين عن سبب جعل التحقق من العمر كتطبيق أصلي، إذ يمكن تحقيق النتيجة نفسها باستخدام Web App حديث مع Digital Credentials API.

هولندا وإيطاليا تعتمدان Google Play Integrity

وفقاً للتقرير، تختلف مواقف حكومات الدول تجاه هذه الآلية: تعتمد هولندا وإيطاليا حالياً Google Play Integrity دون شروط؛ أما سويسرا فاستبدلتها بآلية تحقق مدمجة داخل Android بسبب اعتبارات حماية البيانات والسيادة على البيانات وحرية اختيار المستخدم، وتخلت مباشرة عن Play Integrity.

وبخصوص البدائل، صرحت جهة توريد تطبيق التحقق من العمر Scytales بأن فحوصات سلامة تطبيق التحقق من العمر الخاص بها داخل الاتحاد الأوروبي لا تعتمد على Google أو Apple؛ كما توفر «Unified Attestation» التي أطلقتها Volla Systeme GmbH رموزاً تكاملية قصيرة الأمد ووظائف تحقق دون اتصال، ويمكن أن تتعايش مع Play Integrity، وقد اعتبرها بعض التعليقات حلاً وسطاً.

الأسئلة الشائعة

لماذا يعارض المطورون ربط محفظة الهوية الرقمية التابعة للاتحاد الأوروبي بـ Google Play Integrity؟

استناداً إلى سلسلة مناقشات GitHub، تشمل الأسباب الرئيسية ما يلي: لقد أنجز تطبيق هولندا Yivi التحقق من العمر دون الاعتماد على خدمات Google، ما يثبت وجود بدائل؛ ويخالف الربط الإلزامي مبادئ «التوافق» و«المعايير المفتوحة» التي وضعتها مواصفة الاتحاد الأوروبي؛ واحتمال أن يؤدي اعتماد الخدمات الحكومية على منصات شركة خاصة إلى تعريض مخاطر السيادة الرقمية.

ما الذي تقصده تحذيرات DMA من Waag Futurelab تحديداً؟

وفقاً للتقرير، حذرت منظمة Waag Futurelab الهولندية غير الربحية في مقالها من أن تصميم Google Play Integrity API قد يجعل الحكومات تتحول إلى منفذ لسياسات منصة شركة خاصة، وقد يتعارض تصميمه مع قانون «الأسواق الرقمية» (DMA) في الاتحاد الأوروبي، وهو القانون المصمم للحد من احتكار الشركات الكبيرة.

ما الفروق في مواقف الدول تجاه دمج Google Play Integrity؟

وفقاً للتقرير، تعتمد هولندا وإيطاليا Google Play Integrity دون شروط؛ بينما استبدلت سويسرا بآلية تحقق مدمجة في Android انطلاقاً من اعتبارات حماية البيانات والسيادة على البيانات وحرية اختيار المستخدم، وتخلت عن Play Integrity.