Opfølgning på aldersverifikation i e-boks

Jeg lavede et opslag i sidste uge hvor jeg kritiserede den nye aldersverifikation i e-Boks fordi den - stik imod hvad de lover - tillader bevismodtagere at bruge aldersbeviserne til at tracke brugernes færden.

Jeg slettede imidlertid indlægget da jeg på Reddit modtog et svar fra en person som jeg antager er involveret i udviklingen, og denne person sendte et link til en teknisk designbeskrivelse som de påstod modbeviste det jeg sagde. Jeg blev lidt nervøs for at de havde ret, og slettede derfor mit indlæg indtil jeg havde verificeret alle påstande, idet jeg ikke er interesseret i at sprede misinformation.

Det viser sig at jeg ikke tog fejl i min hovedkritik, nemlig at implementation af aldersverifikation i e-Boks genbruger det samme aldersbevis i op til et halvt år og dermed effektivt set er en tracking cookie. Der hvor jeg havde taget fejl var om hvilken standard der var blevet anvendt i implementationen (overordnet set en irrelevant detalje i den store sammenhæng, men det er stadig vigtigt at få detaljerne korrekte), og derudover at det ikke var rigtigt at kopiering af aldersbeviserne er trivielt. Det beskytter e-Boks rent faktisk imod, det var bare ikke tydeligt hvornår ens præsentation af aldersbeviset blev gendannet, og jeg overså det derfor.

Jeg har lavet en app der kan demonstrere problemet og har også skrevet en længere gennemgang af både AltID og e-Boks aldersverifikation her: https://github.com/agecredentialscanner/scanner