PIN- und biometrische Verifizierung können in der neuen EU-Anwendung zur Altersverifizierung umgangen werden

Návod:
[https://x.com/Paul_Reviews/status/2044723123287666921](https://x.com/Paul_Reviews/status/2044723123287666921)

Paul Moore – Security Consultant
u/Paul_Reviews

Počas nastavovania ťa aplikácia vyzve na vytvorenie PIN-u. Po jeho zadaní ho aplikáci*a zašifruje* a uloží do adresára `shared_prefs`.

Útočník teda môže jednoducho odstrániť hodnoty `PinEnc`/`PinIV` zo súboru `shared_prefs` a reštartovať aplikáciu.

Po zvolení nového PIN-u aplikácia zobrazí prihlasovacie údaje vytvorené pod starým profilom a umožní útočníkovi ich prezentovať ako platné.

Ďalšie problémy:

1. Rate limiting je len inkrementované číslo v tom istom konfiguračnom súbore. Stačí ho resetovať na 0 a skúšať ďalej.
2. „UseBiometricAuth“ je boolean, tiež v tom istom súbore. Nastavením na `false` sa tento krok jednoducho preskočí.