Worldcoin publiceert nieuwe auditrapporten met opgeloste beveiligingsproblemen

Op 28 juli heeft Worldcoin auditrapporten vrijgegeven als reactie op de toenemende kritiek op hun gegevensverzamelingspraktijken. Deze recente rapporten zijn opgesteld door de beveiligingsadviesbureaus ‘Nethermind’ en ‘Least Authority’.

26 beveiligingsproblemen gevonden

Volgens een begeleidende aankondiging van Worldcoin ontdekte Nethermind in totaal 26 beveiligingsproblemen in het protocol. Hiervan werden 24 problemen tijdens de verificatiefase geïdentificeerd als “opgelost”, terwijl één probleem daadwerkelijk werd verholpen. Een ander werd nog erkend waardoor het totaal op 26 is uitgekomen.

Least Authority bracht 3 problemen aan het licht en deed 6 suggesties ter verbetering, waarvan allemaal werd vermeld dat ze ‘reeds zijn opgelost of dat er geplande oplossingen zijn’, aldus de aankondiging.

Voor het eerst aangekondigd in 2021

In 2021 kwam Worldcoin voor het eerst in de schijnwerpers toen het aankondigde gratis tokens weg te geven aan gebruikers die hun menselijkheid zouden verifiëren. Deze verificatie kon worden bereikt door hun iris te laten scannen met behulp van een apparaat dat bekendstaat als “The Orb.” Het project werd mede opgericht door Sam Altman, de mede-oprichter van AI-ontwikkelaar OpenAI.

Op dat moment benadrukten Altman en andere teamleden dat AI-bots een groeiend probleem zouden vormen op het internet, tenzij er een manier zou zijn voor mensen om hun menselijkheid te verifiëren zonder hun privacy op te geven. Volgens de documentatie van het protocol genereert The Orb een hash van de irisscan van de gebruiker, maar bewaart het geen kopie van de daadwerkelijke irisscan.

Afgelopen 25 juli ging Worldcoin officieel live na bijna 2 jaar van ontwikkeling en bètatesten, maar het project werd vrijwel onmiddellijk geconfronteerd met kritiek. Volgens berichten was het Britse Information Commissioner’s Office (ICO) bezig met het beslissen over een mogelijk onderzoek naar het project wegens vermeende schendingen van de gegevensbeschermingswetten van het land. Het Franse gegevensbeschermingsbureau CNIL plaatste ook vraagtekens bij de wettigheid van Worldcoin.

Verdeling van crypto-community

De lancering van het project verdeelde de crypto-community, waarbij sommige deelnemers het zagen als het begin van een dystopische toekomst waarin privacy zou verdwijnen, terwijl anderen het beschouwden als een noodzakelijke stap om mensen te beschermen tegen kwaadaardige AI’s.

In reactie op de kritiek heeft Worldcoin nu nieuwe auditrapporten gepresenteerd die verschillende beveiligingsonderwerpen behandelen, waaronder weerstand tegen DDoS-aanvallen, implementatiefouten in specifieke gevallen, juiste opslag en beheer van codering en sleutelondertekening, gegevenslekken en informatie-integriteit, en andere aspecten. Enkele van de geïdentificeerde problemen waren te wijten aan afhankelijkheden van Semaphore en Ethereum, zoals “ondersteuning voor precompilatie van elliptische curve of Poseidon-hashfunctieconfiguratie”, zoals vermeld in de aankondiging.

Bijna alle problemen zijn inmiddels opgelost, verholpen of er zijn plannen voor oplossingen. Het enige beveiligingsprobleem dat op het moment van verificatie nog niet was opgelost, wordt als slot geclassificeerd als ‘onbepaald’ in termen van ernst en wordt vermeld als ‘erkend’.