L'app europea per la verifica dell'età richiederà hardware certificato: Linux e le ROM custom rischiano di restare fuori

di Roberto Pezzali -

03/08/2026 13:45 0

L'app europea per la verifica dell'età richiederà hardware certificato: Linux e le ROM custom rischiano di restare fuori

Un maintainer del progetto ha confermato il vincolo hardware del repository Android, poi ha chiuso la discussione come "completata". La discussione, però, non si è affatto chiusa: ricorda da vicino quella sull'app IO e il vincolo di Play Integrity.

Sul progetto open source dell'Unione Europea per la verifica dell'età online è in corso una discussione su GitHub che ricorda molto quella lunghissima relativa al requisito di Strong Integrity per i documenti all'interno dell'app IO, discussione tenuta in piedi dagli utenti che usano distribuzioni come GrapheneOS e vorrebbero poter scaricare i documenti solo su smartphone, cosa che al momento l'app non permette.

Il tema è lo stesso: i requisiti di sicurezza stringenti dell'app che possono avere conseguenze poco piacevoli per chi usa Linux, ROM Android alternative o build compilate in autonomia.

La discussione è iniziata nel repository dell'app Android, con un utente che ha contestato le scelte di richiedere "hardware-bound certificates", sostenendo che un'applicazione paneuropea che tutti devono poter usare finirebbe per dipendere da specifiche disponibili solo su un set ristretto di architetture hardware, di fatto un requisito che ha senso solo in un ambiente "locked down", rendendo ancora più difficile portare il sistema su piattaforme aperte.

Gli ha risposto un contributor del progetto, con una posizione netta: l'attestazione hardware-bound è un requisito del progetto, non è un dettaglio implementativo che si può eliminare. Il contributor ha aggiunto che eventuali proposte di modifica all'architettura sono benvenute come suggerimenti alla specifica tecnica e che una revisione di sicurezza dedicata e un threat model su questo specifico trade-off saranno pubblicati "presto", per poi chiudere la discussione segnando la questione come "completata".

Quella che era una questione "chiusa" per i gestori del progetto non è stata però ritenuta tale dagli utenti, che nei giorni successivi sono tornati a commentare, contestando sia il merito della risposta sia la scelta di chiudere la discussione senza un confronto più approfondito.

C'è chi contesta l'ambiguità delle specifiche: nel documento pubblicato sul sito infatti c'è scritto chiaramente che l'app deve affidarsi alle capacità crittografiche hardware native del dispositivo (TEE e StrongBox su Android, Secure Enclave su iOS), quando queste sono disponibili. Quella clausola condizionale, fanno notare gli utenti, sembrerebbe ammettere scenari in cui il supporto hardware per gestire le chiavi in locale non sia disponibile, ma l'app deve funzionare comunque. La risposta data nella discussione, "è un requisito, non un dettaglio che si può eliminare", sembra invece trattarlo come un vincolo obbligatorio.

C'è un secondo punto che riguarda proprio Graphene: GrapheneOS implementa l'attestazione hardware, gira su hardware Pixel con TEE e StrongBox regolari, semplicemente non supera la Play Integrity API di Google, che è un servizio proprietario e non un requisito hardware in sé. L'hardware necessario per l'attestazione può quindi esserci anche su una ROM alternativa, ma se il progetto finisce per appoggiarsi ai servizi di attestazione proprietari di Google o Apple invece che alla sola API hardware standard, GrapheneOS (e sistemi simili) restano comunque fuori, non per un limite tecnico dell'hardware, ma per una scelta implementativa su quale servizio di attestazione accettare lato server.

Se quindi al momento solo iOS e Android (via App Attest e Play Integrity) offrono l'infrastruttura di attestazione richiesta, un progetto nato sotto l'egida della sovranità digitale europea finirebbe per rendere i cittadini UE dipendenti da infrastrutture controllate da due aziende americane.

La questione noi italiani la conosciamo bene: l'app IO, che integra IT-Wallet e permette di caricare documenti come la patente, non usa su Android meccanismi di attestazione basati sulla sola attestazione hardware, ma si appoggia a Play Integrity, cosa che di fatto taglia fuori i possessori di Pixel con GrapheneOS. Quello italiano con l'app IO è lo stesso scenario che parte della community teme si ripeta con l'app di verifica dell'età europea.

Per gli utenti Linux non si tratta di un'esclusione totale: il modello europeo prevede anche l'uso da desktop tramite sito web, con la prova d'età ottenuta su un wallet mobile supportato e trasferita al sito, per esempio con un QR code. Il problema riguarda l'esecuzione diretta del wallet su Linux o su sistemi alternativi, dove la catena di fiducia hardware prevista dall'architettura potrebbe non essere disponibile, e quindi il sistema potrebbe non funzionare, quando invece funziona direttamente su macOS o Windows, senza passaggi intermedi.

La risposta che tutti aspettano è quindi se l'architettura finale si baserà sulla sola hardware attestation API (che in teoria non esclude ROM alternative) o finirà per appoggiarsi anche ai servizi proprietari di Play Integrity e App Attest, barriera che di fatto impedirebbe la creazione di un sistema realmente cross-platform, riconoscendo solo iOS e Android ufficiali.

C'è un secondo punto che merita attenzione: quanto può essere davvero aperto un sistema di identità digitale se il suo utilizzo dipende da elementi esterni, come appunto Play Integrity, il cui codice nessuno può leggere per capire se sia davvero sicuro?

Resta aggiornato sugli ultimi articoli di DDay.it

Mercato

L'app europea per la verifica dell'età richiederà hardware certificato: Linux e le ROM custom rischiano di restare fuori

Un maintainer del progetto ha confermato il vincolo hardware del repository Android, poi ha chiuso la discussione come "completata". La discussione, però, non si è affatto chiusa: ricorda da vicino quella sull'app IO e il vincolo di Play Integrity.

0 Commenti