El proyecto de verificación de edad de la UE exige certificación por 'hardware' y desata críticas del 'software' libre

El proyecto 'open source' de verificación de edad de la Unión Europea está provocando críticas después de que se haya confirmado que exige la certificación por 'hardware' como un requisito estructural, lo que dejaría fuera a sistemas operativos abiertos como GrapheneOS y Linux.

El sistema de identidad digital europea (EUDI), vinculado al Reglamento (UE) 910/2014, permite a los usuarios identificarse y realizar gestiones en cualquier país de la Unión Europea mediante una única identidad digital segura. Igualmente, facilita la verificación de edad sin revelar el nombre, la fecha exacta de nacimiento u otros datos personales con terceros.

Dentro de este sistema, los usuarios contarán con la Cartera Europea de Identidad Digital ('EUDI Wallet'), cuyo objetivo es ofrecer una plataforma "robusta e interoperable" para la identificación digital, la autenticación y las firmas electrónicas, basada en estándares comunes en toda la Unión Europea.

A pesar de su objetivo abierto, para evitar que las credenciales de la cartera se copien o se clonen, el proyecto se apoya en claves almacenadas en espacios de 'hardware' protegidos, como el Entorno de Ejecución Confiable (TEE) y el StrongBox -módulo de seguridad de 'hardware'- para Android o el Secure Enclave -chip de seguridad independiente- de Apple.

Esto hace que el sistema dependa del 'hardware' y, con ello, solo sea compatible con ciertos dispositivos y sistemas operativos, lo que ha abierto un debate en el repositorio de GitHub del proyecto, donde los usuarios argumentan que vincular las credenciales a entornos de 'hardware' específicos dificultaría el soporte a sistemas abiertos.

Como han manifestado algunos usuarios, "confiar en detalles específicos disponibles solo en un conjunto limitado de arquitecturas de 'hardware' para aferrarse a un proceso que, por definición, solo puede ser efectivo en un entorno cerrado no tiene ningún efecto positivo".

Ahora, uno de los colaboradores oficiales del proyecto ha respondido directamente al usuario que abrió la discusión sobre las implicaciones para el 'software' de código libre, confirmando que "la certificación ligada al 'hardware' es un requisito de este proyecto, no un detalle de implementación que simplemente se pueda eliminar".

Añadió además, que el proyecto está abierto a recibir propuestas concretas de mejora de la arquitectura, que pueden presentarse como sugerencias sobre la especificación técnica, y anunció que próximamente se publicará una revisión de seguridad y un modelo de amenazas que abordará este compromiso técnico en mayor profundidad.

Según el medio especializado en Linux Linuxiac, la especificación técnica del proyecto exige que las aplicaciones usen el 'hardware' criptográfico nativo cuando esté disponible, aunque las comprobaciones más estrictas (detección de 'root', Google Play Integrity o App Attest de Apple) no las impone de forma universal.

Las preocupaciones se han generado en torno a sistemas operativos como Linux, las ROMs personalizadas de Android como GrapheneOS y las aplicaciones compiladas de forma independiente de 'software' libre.

Como respuesta a la confirmación oficial, numerosos usuarios han demandado explicaciones sobre por qué se considera un requisito inamovible, cuando existen arquitecturas alternativas que permiten la atestación criptográfica por 'hardware'.

De hecho, varios usuarios ponen a GrapheneOS como ejemplo de la contradicción del sistema, al tratarse de una ROM de Android centrada en la privacidad y la seguridad que sí implementa la atestación ligada al 'hardware', pero que quedaría bloqueada por no pasar el sistema propietario de Google, Play Integrity.

Aun así, según el medio especializado, los usuarios de Linux podrían acceder a una web y escanear un código QR usando una 'app' wallet en el móvil, aunque la arquitectura no ofrece una 'app' de esta índole de forma nativa.

Cabe destacar que precisamente en el marco de esta iniciativa europea, los usuarios europeos podrán tener a un 'clic' en el móvil su DNI, permiso de conducir o título universitario en 2027, si bien ya a finales de este año tendrán la posibilidad de incorporar estos documentos a la 'EUDI Wallet'.