Transcript · English → French
EU Age Verification App Security Analysis
Le principe de l'application de vérification d'âge de l'UE est de présenter un code QR à l'utilisateur
mais elle suppose ensuite que c'est l'utilisateur qui le scanne pour réussir ou échouer la vérification.
Mais le concept et les spécifications ne peuvent pas protéger contre une attaque par relais
par lequel le code QR est envoyé à un tiers à distance ou même à un service web
qui valide la vérification au nom de l'enfant et pour ce faire,
ils n'ont pas besoin de pirater la plateforme, ils ont juste besoin d'un appareil avec l'application installée.
Il s'agit de la dernière version en date du 27 juillet 2026
et voilà.
L'enfant a maintenant réussi la vérification à l'aide d'un appareil entièrement automatisé.
Personne n'a besoin d'interagir avec lui, il scanne simplement n'importe quel code QR
qui lui est présenté et se valide ensuite en tant que cet enfant.
End of transcript · 147 words · machine translated
Original transcript (English)
The premise of the EU age verification app is to present a QR code to the user but then assume it's the user that scans it in order to pass or fail verification. But the concept and the specification can't protect against a relay attack whereby the QR code is sent to a remote third party or even a web service that passes verification on the child's behalf and in order to do that
they don't need to hack the platform they just need a device with the app installed. This is the latest version as of the 27th of the 7th 2026 and there we go. The child's now passed verification using an entirely automated device. No one needs to interact with it it simply scans any QR code
that is presented to it and then verifies as that child.
