- कई प्लेटफ़ॉर्म पर आयु सत्यापन प्रक्रिया को अपने-आप वयस्क के रूप में पास करा देने वाली स्क्रिप्ट
- Discord कंसोल में कोड पेस्ट करके चलाने पर, यह अपने-आप
/age-verification/verify API अनुरोध भेजता है और सत्यापन पूर्ण पेज पर ले जाता है
- Twitch, Kick, Snapchat जैसे अन्य प्लेटफ़ॉर्म पर भी QR कोड URL दर्ज करके इसी तरीके से सत्यापन संभव
- यह टूल k-id सिस्टम की face data processing संरचना का दुरुपयोग करके, असली चेहरा बिना भी वैध metadata जनरेट करता है
- AES-GCM encryption और predictive data structure की नकल करके verification प्रक्रिया पास करने का तरीका अपनाता है, और इसे global age verification विस्तार के अनुरूप बनाया गया है
Discord में सत्यापन प्रक्रिया
- Discord web app के developer console (F12) में एक विशेष script पेस्ट करके चलाने का तरीका
- script Discord के webpack module cache को निकालता है, internal API client ढूंढता है, और
/age-verification/verify endpoint पर अनुरोध भेजता है
- अनुरोध के परिणाम में मिले
verification_webview_url को age-verifier.kibty.town पर redirect करता है
- उपयोगकर्ता को captcha हल करने के बाद पेज पर “success” दिखने तक इंतज़ार करना होता है
- इस प्रक्रिया से Discord account adult verified स्थिति में दिखाया जाता है
अन्य प्लेटफ़ॉर्म (Twitch, Kick, Snapchat आदि) पर सत्यापन तरीका
- हर प्लेटफ़ॉर्म के आयु सत्यापन पेज पर ‘selfie’ विकल्प चुनें, और दिख रहा QR code URL कॉपी करें
- उस URL को
age-verifier.kibty.town के input box में पेस्ट करें और ‘verify’ बटन क्लिक करें
- इसके बाद सत्यापन प्रक्रिया अपने-आप चलती है और success message दिखता है
काम करने का सिद्धांत
- Discord द्वारा इस्तेमाल किया जाने वाला k-id age verification system चेहरे का वीडियो सर्वर पर भेजता नहीं है, बल्कि चेहरे से जुड़ा metadata और process details ही भेजता है
- इसी संरचना की वजह से, वैध दिखने वाला metadata बदलकर भेजने पर असली चेहरा बिना भी सत्यापन पास किया जा सकता है
- पहले amplitudes का k-id verifier सार्वजनिक होने के बाद, partner कंपनी faceassure ने verification मज़बूत किया था, लेकिन यह टूल नए तरीके से उसे बायपास करता है
तकनीकी विस्तृत चरण
- चरण 1: encryption parameters की नकल
- वैध अनुरोध से तुलना करने पर, गायब
encrypted_payload, auth_tag, timestamp, iv की पहचान की गई
- AES-GCM encryption में key को
nonce + timestamp + transaction_id से HKDF(SHA-256) द्वारा derive किया जाता है
- उसी संरचना को दोबारा बनाकर गायब parameters तैयार किए जाते हैं
- चरण 2: prediction data में हेरफेर
- encryption को पूरी तरह कॉपी करने पर भी असफलता मिलने के बाद, यह पता चला कि verification ‘prediction arrays’(outputs, primaryOutputs, raws) पर निर्भर है
raws data के आधार पर z-score से outlier हटाकर outputs और primaryOutputs बनाए जाते हैं- इसके अलावा नीचे दी गई शर्तों की भी जाँच होती है
xScaledShiftAmt, yScaledShiftAmt मान सिर्फ दो विकल्पों में से एक हो सकते हैं- media name (camera) वास्तविक device list से मेल खाना चाहिए
- state completion time timeline से मेल खाना चाहिए
- इन सभी प्रक्रियाओं को लागू करने वाला open source code सार्वजनिक है, और कोई भी इसे देख सकता है
सार्वजनिक रिलीज़ और निर्माण पृष्ठभूमि
- निर्माता ने xyzeva और Dziurwa, तथा पहले संबंधित काम करने वाले amplitudes को धन्यवाद दिया
- बताया गया है कि Discord मार्च में global age verification को पूरी तरह लागू करने वाला है, इसलिए इसके अनुरूप नई verification bypass विधि की पड़ताल की गई
अभी कोई टिप्पणी नहीं है.