Vérification d'âge EU, hackée en 2 minutes, la surveillance mal codée
Paul Moore bypasse l'app de vérification d'âge de la Commission européenne en moins de 2 minutes. Le standard EUDI prévoyait du zero-knowledge. L'implémentation stocke le PIN dans un XML éditable.
L’app de vérification d’âge de la Commission européenne, lancée le 14 avril 2026, a été contournée en moins de deux minutes. Le vrai scandale n’est pas le bug, c’est le choix d’implémentation.
Les faits
Le 14 avril, la Commission dévoile son app de vérification d’âge, pilier du dispositif de protection des mineurs en ligne dans les 27 États membres. Trois jours plus tard, le consultant britannique Paul Moore publie une démo, bypass complet en moins de deux minutes. Le cryptographe français Olivier Blazy confirme le diagnostic. Un moratoire signé par 400+ chercheurs avait déjà alerté en mars. Personne n’a écouté.
Les trois failles
- Config éditable, le PIN chiffré est stocké dans
eudi-wallet.xml, modifiable localement. - Biométrie en booléen, un flag
true/falsegouverne l’auth biométrique. Flip, skip. - PIN non lié au vault, un attaquant redéfinit le PIN en réutilisant les credentials d’un profil précédent.
L’alternative existait, dans le standard lui-même
Le standard EUDI Wallet prévoit la divulgation sélective via SD-JWT VC (Selective Disclosure JSON Web Token Verifiable Credentials), prouver qu’on est majeur sans révéler sa date de naissance, ni lien entre deux sessions, via des preuves à connaissance nulle. Des implémentations tournent déjà en production, IRMA/Yivi (Radboud University), AnonCreds (Hyperledger), Google ZK age assurance.
L’UE a écrit le bon standard. L’app de référence l’a trahi en stockant le PIN dans un XML éditable.
Le pattern
Même logique que Chat Control / CSAR, Bruxelles pousse une infrastructure de surveillance, personne n’audite en amont, faille de niveau débutant. L’EUDI Wallet gérera bientôt permis, ordonnances, signatures fiscales de 450 millions d’Européens. Une faille triviale aujourd’hui n’est pas un incident, c’est un avertissement.
Souveraineté numérique, c’est le droit de ne pas prouver son âge à chaque clic. Et si on doit le prouver, alors par ZKP, pas par un XML modifiable au doigt mouillé.
À lire sur MacSouverain
À lire : Chat Control 2, l’espionnage de masse qui ne dit pas son nom
À lire : NIS2 vs CSAR, deux logiques opposées de la sécurité