La “app” europea de “verificación de edad” obliga a todos a usar Android o iOS
(github.com/eu-digital-identity-wallet)- En el README de la especificación técnica al momento de abrirse la discusión se indicaba la verificación de app y dispositivo mediante Google Play Integrity API y Apple App Attestation, y se planteó la oposición de que, si eso se vuelve un requisito previo para la verificación de edad, se terminaría dependiendo de plataformas estadounidenses y de sistemas operativos móviles específicos.
- Se argumentó que exigir atestación de un proveedor concreto excluye a dispositivos sin software de Google o Apple, distribuciones alternativas de Android y usuarios sin smartphone, y que eso choca con los principios de accesibilidad e interoperabilidad de que cualquiera pueda usarlo, que el usuario mantenga el control y que funcione con varios sistemas operativos y wallets.
- Como alternativas se mencionaron Yivi, la atestación estándar de hardware en Android, una web app basada en Digital Credentials API, un método en el que el proveedor nacional de identidad firma un desafío de un solo uso, y Unified Attestation; pero también se respondió que tanto Yivi como Unified Attestation concentran la confianza en un emisor central, servicios biométricos externos u otros proveedores de atestación.
- Se citaron como ejemplo múltiples problemas relacionados con Play Integrity en la wallet digital italiana, además de la dependencia de una cuenta de Google y de una ROM oficial; también siguieron las críticas sobre su efectividad, señalando que los atacantes pueden esquivar la atestación o pedirle a otra persona que escanee el código QR, por lo que solo se termina limitando a los usuarios legítimos.
- El eje del reclamo es que los servicios públicos deben basarse en estándares abiertos que cualquiera pueda implementar, y no en tecnologías de empresas concretas; en la discusión aportada no aparece una decisión oficial ni un resultado final sobre integrar o no las atestaciones de Google y Apple.
La verificación propuesta de app y dispositivo, y la objeción central
- En el README al momento de abrirse la discusión se indicaba como siguiente paso la “verificación de app y dispositivo basada en Google Play Integrity API y Apple App Attestation”.
- La preocupación de partida era que vincular la verificación de edad a esos servicios aumentaría la dependencia de la UE respecto de empresas tecnológicas estadounidenses y el control de internet por parte de EE. UU.
- Se planteó que, por soberanía digital, debe evitarse la dependencia misma de servicios externos de terceros, y que cada nueva dependencia también crea un ecosistema adicional de potenciales problemas de seguridad.
- Después, un participante respondió que esa redacción ya no estaba en el README, pero en el texto aportado no figura el motivo del cambio ni una decisión oficial.
- Esta discusión fue convertida en Discussion el 31 de julio de 2025 en el issue #18, y en el contenido no aparece un resultado final de adopción o retiro.
Accesibilidad, control del usuario e interoperabilidad
- La verificación de edad atada a un sistema operativo y a un proveedor concretos fue criticada por entrar en conflicto con los siguientes principios que la propia organización dice defender:
- que esté disponible para cualquiera que quiera usarla
- que el usuario mantenga el control
- Se señaló que el principio de interoperabilidad de la especificación técnica exige una integración fluida entre distintos sistemas operativos de dispositivos, apps de wallet y servicios en línea, por lo que no encaja con un diseño dependiente de atestaciones específicas de Android o iOS.
- Usuarios que no usan software de Google o Apple, regiones del sur de Europa con muchos teléfonos sin Google, usuarios de ROM alternativas o de microG, y personas sin smartphone podrían quedar excluidos.
- Siguieron las preguntas sobre si alguien que usa un Nokia 3310 o solo una laptop también podría acceder, y si se puede convertir en requisito para usar servicios ciudadanos tener smartphone, cuenta de Google y un dispositivo cargado.
- También se criticó que, aunque el código se publique como open source, si todos los participantes fuerzan la atestación, un fork modificado no sería aceptado por los servicios reales, por lo que desaparece la posibilidad práctica de hacer fork.
Implementaciones existentes y casos de Play Integrity
- Se mencionó como caso alternativo la app de identidad neerlandesa Yivi, que puede usarse para verificación de edad gubernamental sin dependencia de Google.
- Antes se llamaba IRMA y también está disponible en tiendas de apps open source como F-Droid.
- En algunas plataformas compatibles puede usarse para verificación de edad gubernamental, lo que se presentó como evidencia de que Play Integrity no es indispensable.
- Sin embargo, también se respondió que el registro de pasaporte por NFC en Yivi tampoco es una arquitectura sin dependencias.
- Envía grupos de datos NFC sin procesar al servidor central del emisor.
- Requiere el MRZ completo de DG1 y la imagen facial de DG2, y el servidor analiza nombre, número de documento, nacionalidad, fecha de nacimiento y sexo.
- La coincidencia facial utiliza una API de terceros de Regula.
- Aunque los datos se procesen temporalmente y el emisor pueda autoalojarse, la respuesta fue que eso concentra la confianza de forma centralizada, solo que de una manera distinta a la atestación del dispositivo.
- En la wallet digital italiana se vincularon múltiples problemas reales relacionados con Play Integrity.
- En la wallet Android de EUDI también se enlazó una discusión aparte que proponía eliminar el requisito de Google Play Integrity o usar la API estándar de atestación de hardware de Android que no obliga una licencia de Google Mobile Services.
Alternativas sin app
- Se planteó que primero habría que revisar si realmente hace falta una app nativa separada y cuál es el modelo de amenazas realista.
- Se propuso implementarlo como una web app moderna usando Digital Credentials API, para evitar el esquema de “instalar una app por cada servicio”.
- También se propuso de forma concreta un método basado en navegador en el que el proveedor nacional de identidad firma un desafío aleatorio de un solo uso.
- El usuario entra a un sitio web con restricción de edad.
- El sitio detecta que el visitante está en la UE.
- Descarga un archivo con una cadena aleatoria.
- Redirige al usuario al sitio gubernamental de verificación de edad.
- El usuario inicia sesión con el proveedor nacional de identidad y sube el archivo.
- El servicio gubernamental firma el desafío y lo devuelve al navegador.
- El usuario sube el archivo firmado al sitio original.
- El sitio web verifica que la firma sea de una autoridad en la que confía.
- Como el desafío es de un solo uso, no habría necesidad de proteger el resultado firmado a largo plazo, y se explicó que la estructura es parecida a la autenticación por SSH o WebAuthn.
- También se mencionó como alternativa otra propuesta #18 para usar credenciales nacionales en un sitio web controlado por la UE.
Unified Attestation y el problema de la concentración de confianza
- Se propuso Unified Attestation de la alemana Volla Systeme GmbH como alternativa gratuita y open source a Google Play Integrity.
- Un backend único emite tokens de integridad de vida corta.
- El servidor de la app verifica los tokens offline.
- Un servicio autorizado del sistema Android solicita los tokens.
- Se presentó como algo que puede usarse junto con Play Integrity y cuya integración en app y servidor es simple.
- La réplica fue que Unified Attestation solo traslada a otro grupo empresarial el mismo poder que hoy tiene Google, y no resuelve el problema de fondo de un actor central de atestación.
- Siguió el reclamo de que, en lugar de cambiar una tecnología corporativa por otra, los sistemas gubernamentales deberían basarse en estándares abiertos que cualquiera pueda implementar e integrar.
El choque entre atestación de hardware y open source
- Se criticó que Play Integrity en la práctica exige ROM oficial, Google Play Services y dispositivos aprobados por el proveedor, debilitando el derecho del usuario a controlar directamente el hardware y software que posee.
- Incluso si el código fuente de la app se publica libremente, si una build modificada no pasa la atestación, se limita la utilidad práctica de las builds reproducibles y los forks.
- Se compartió un elemento de trabajo relacionado que sugiere que la implementación alemana no planea ofrecer builds reproducibles.
- Junto con eso se señaló que esta dirección podría estar influida por la guía OWASP MASVS Resilience, y también se enlazó la discusión crítica de OWASP/masvs#757.
- Se advirtió que fijar servicios públicos a una tecnología, sistema operativo o tienda de apps específicos puede volver muy difícil salir de ahí en el largo plazo, creando un bloqueo parecido a la antigua dependencia surcoreana de IE6.
Eficacia de seguridad y posibilidades de evasión
- Se cuestionó si la amenaza que busca frenar la atestación de hardware realmente es realista.
- Aun si el objetivo son atacantes o servicios automatizados de verificación de identidad, se criticó que las formas de evadir la atestación pueden reaparecer después de cada parche, de modo que solo se imponen restricciones a los usuarios legítimos.
- Se dio el ejemplo de que, si un menor quiere entrar a un sitio restringido, puede pedirle a otra persona que escanee el código QR por él, por lo que la atestación del dispositivo no resuelve ese caso.
- También se expresó la preocupación de que la venta de cuentas verificadas o la autenticación por terceros pueden darse exista o no exista atestación.
- La opinión que siguió fue que, si las personas técnicamente capaces seguirán eludiendo la medida mientras se bloquea a usuarios legítimos que no quieren dispositivos Google o Apple ni smartphone, entonces sería mejor no aplicar esa medida de seguridad.
Oposición a la verificación de edad en sí
- Algunos participantes consideraron que, más allá de elegir Play Integrity o no, la verificación estricta de edad en línea en sí misma no es útil.
- Se enlazó otra discusión que propone incentivar a los padres a usar los filtros del lado del cliente que ya existen en los smartphones.
- También surgió la preocupación de que la verificación de edad obligatoria empuje a adolescentes hacia Tor u otros medios de evasión.
- Se planteó que, si para resolver un solo problema se causan grandes daños a la privacidad, la accesibilidad y el control sobre la computación, entonces directamente no debería implementarse.
- Dentro del alcance de la discusión aportada no se confirma una conclusión oficial final sobre la app de verificación de edad, el método de atestación del dispositivo ni la integración con Google o Apple.
1 comentarios
Comentarios de Hacker News
Es un problema clave que, en el enorme debate sobre la soberanía digital de la UE, en realidad se está ignorando. Las instituciones de la UE por fin empiezan a aceptar que deben migrar fuera de las nubes estadounidenses, pero como el costo es enorme, todavía persiste el ánimo de querer volver a lo de antes.
En cambio, casi no hay interés en las plataformas móviles. No existe una alternativa como Linux en escritorio, no se financian las alternativas existentes, y ni siquiera hay una discusión sobre obligar a que, para vender teléfonos Android en la UE, se publique el firmware y se permita instalar sistemas operativos alternativos. En el backend se entendió en cierta medida qué significa la soberanía, pero parece que hace falta mucha más educación sobre la dependencia digital que generan los dispositivos de usuario final.
Todavía tienen que competir con el lobby de las empresas de IA, que dicen que la IA soberana es más importante que los sistemas operativos móviles, pero el interés está creciendo. Una alternativa a Android basada en Linux quizá no sea tan difícil en sí misma, pero convencer a los fabricantes de hardware de crear dispositivos dedicados sí lo es. Parece que el gobierno tendría que impulsarlo primero como dispositivos públicos de seguridad.
La billetera de identidad digital también hace que los Estados miembros pierdan el control de la infraestructura de identidad y que la UE se apodere de ella. Casi no quedará soberanía a nivel nacional.
No deberíamos caer en la trampa de pensar cómo imponer técnicamente la verificación de edad a todo el mundo. Lo primero que hay que preguntar es por qué se quiere obligar a todos a hacerlo, y ni tú ni yo hemos aceptado eso.
Hay un problema grave con una estructura de gobierno en la que los políticos siguen cambiando todo el mundo que nos rodea sin que los ciudadanos tengan voz. Esta medida es una gran amenaza para Internet y la sociedad, y aun así avanza sin un debate ni una resistencia reales. Una democracia de verdad no debería funcionar así.
https://old.reddit.com/r/Twitter/comments/1uk6a98/lets_confi...
Actualmente Labour y Conservative en el Reino Unido también están fuera de control en estos temas, pero al menos en teoría sé cómo influir en sus políticas.
Estoy totalmente de acuerdo con el argumento del issue de GitHub, pero no hace falta ver con puro escepticismo una app de verificación de edad emitida por el gobierno en sí misma. El método actual es mucho peor.
Mi hijo de 13 años crea juegos en Roblox, y desde hace unos meses tiene que verificar su edad para compartir un juego con un amigo. En Roblox debe entregar un modelo 3D de su rostro a una empresa estadounidense sospechosa, que solo promete borrarlo después. No quiero darle los datos biométricos ni el pasaporte de mi hijo a una empresa tecnológica estadounidense que puede venderlos arbitrariamente.
Prefiero una app gubernamental que garantice la protección de datos personales, que no tenga incentivos comerciales para venderlos y que permita comprobar qué información se transmite a empresas como Roblox. Esto solo funciona si el gobierno es más confiable que una empresa tecnológica estadounidense, pero creo que hoy la UE y muchos Estados miembros lo son. Ya existen apps públicas con buena protección de la privacidad, como la app neerlandesa de rastreo de COVID.
Durante la Segunda Guerra Mundial, el registro civil neerlandés registraba meticulosamente la religión, y eso contribuyó en gran medida a que alrededor del 75% de los judíos neerlandeses, la proporción más alta de Europa occidental ocupada, fueran asesinados. En 1942, el Census Bureau de Estados Unidos, pese a las garantías de confidencialidad, entregó información por zonas sobre estadounidenses de origen japonés, y estudios posteriores revelaron que incluso compartió nombres y direcciones. En Ruanda, la administración colonial belga registró en los documentos de identidad de la década de 1930 si alguien era hutu o tutsi, y 60 años después eso se convirtió en una herramienta clave en los puestos de control durante el genocidio.
Aunque la Europa actual parezca segura, la información recopilada para un fin específico puede usarse con propósitos completamente distintos cuando cambian los tiempos. No sabemos qué etnias, creencias, conductas o historias personales señalará un gobierno futuro, y todos los datos que permitimos registrar acabarán en sus manos. Los gobiernos europeos hicieron cosas así hace apenas unas décadas, y la actual era de paz es históricamente excepcional y probablemente temporal para mucha gente.
No hay necesidad de usar Roblox, que está lleno de patrones oscuros y ecosistemas cerrados.
Como material relacionado, está “La app de verificación de edad de la UE que bloquea todos los sistemas Android no aprobados por Google”, del 27 de julio de 2025
https://www.reddit.com/r/BuyFromEU/comments/1mah79o/eu_age_v...
Además, el 24 de septiembre de 2025 también se trató “La app de verificación de edad de la UE que no planea dar soporte a escritorio”
https://news.ycombinator.com/item?id=45359074
No debería usarse ni siquiera considerarse. Hay que dejar claro por todos los medios posibles que no se va a usar este sistema, y recomendarles lo mismo a los amigos
Hablan de soberanía mientras hacen exactamente lo contrario. Aunque apoyes plenamente a la UE, si no puedes frenar a la Comisión con el voto, debes mostrar tu rechazo con acciones
Es curioso cómo en los últimos años desapareció la preocupación por la exclusión digital de las personas mayores que no pueden usar smartphones
Las personas mayores que no tienen teléfono, no saben usarlo o no tienen a quién pedir ayuda irán disminuyendo rápidamente. Por lo que he visto, se superponen sobre todo con la generación que recuerda la Segunda Guerra Mundial
Una regulación que no se revisa adecuadamente puede producir consecuencias inesperadas, tenga buenas o malas intenciones. Incluso ahora, en cada sitio web que visito tengo que aceptar una y otra vez consentimientos legales relacionados con cookies, así que ya no les presto atención y aprieto cualquier botón
https://addons.mozilla.org/en-US/firefox/addon/consent-o-mat...
Lo uso en varios dispositivos y teléfonos, funciona bastante bien y casi no veo pop-ups de cookies
Las empresas que ganan dinero con el capitalismo de vigilancia obviamente eligen el banner. Se podría haber prohibido el rastreo por completo, pero no se hizo porque perjudicaría a los negocios
Ya sea que uses Android o iOS, no está bien que te obliguen a usar una plataforma específica para acceder a casi todos los servicios de internet
Me pregunto cómo este enfoque es compatible con las leyes que protegen a las personas con discapacidad, las personas mayores y ciertas creencias religiosas. Los trámites gubernamentales siempre han funcionado con múltiples vías, ofreciendo obligatoriamente otros medios, incluidos representantes o papel, pero este es un enfoque excesivamente duro
Me inclino a dejar de usar por completo los servicios que se vean obligados a implementar verificación de edad
Más que las redes sociales, lo preocupante es el impacto de esta certificación digital en servicios esenciales. No se resuelve simplemente con la actitud de no usarla
Los niños no fueron el objetivo desde el principio; solo se los usa como excusa para desviar la atención de la gente