- Un script qui fait automatiquement passer comme adulte les procédures de vérification d’âge sur plusieurs plateformes
- En collant du code dans la console de Discord puis en l’exécutant, il envoie automatiquement une requête à l’API
/age-verification/verify puis redirige vers la page de fin de vérification
- La vérification peut aussi être effectuée sur d’autres plateformes comme Twitch, Kick et Snapchat en saisissant l’URL du code QR, selon le même procédé
- Cet outil exploite la structure de traitement des données faciales du système k-id pour générer des métadonnées valides sans visage réel
- Il reproduit le chiffrement AES-GCM et une structure de données prédictive afin de franchir la procédure de validation, dans le contexte de l’extension mondiale de la vérification d’âge
Procédure de vérification sur Discord
- La méthode consiste à coller et exécuter un script dans la console développeur (F12) de l’application web Discord
- Le script extrait le cache des modules webpack de Discord, trouve le client API interne, puis envoie une requête vers l’endpoint
/age-verification/verify
- Il redirige ensuite l’
verification_webview_url reçu en réponse vers age-verifier.kibty.town
- L’utilisateur doit résoudre le captcha puis attendre que la page affiche “success” pour que la vérification soit terminée
- À l’issue du processus, le compte Discord apparaît comme vérifié en tant qu’adulte
Méthode de vérification sur d’autres plateformes (Twitch, Kick, Snapchat, etc.)
- Sur la page de vérification d’âge de chaque plateforme, il faut sélectionner l’option « selfie », puis copier l’URL du code QR affiché
- Il faut ensuite coller cette URL dans le champ de saisie de
age-verifier.kibty.town puis cliquer sur le bouton “verify”
- La procédure de vérification se lance alors automatiquement jusqu’à l’affichage du message de réussite
Principe de fonctionnement
- Le système de vérification d’âge k-id utilisé par Discord n’envoie pas la vidéo du visage au serveur, mais uniquement des métadonnées liées au visage et des détails du processus
- Grâce à cette structure, il est possible de manipuler et transmettre des métadonnées d’apparence légitime afin de franchir la vérification sans visage réel
- Après la publication par le passé du k-id verifier d’amplitudes, le partenaire faceassure avait renforcé la validation, mais cet outil la contourne cette fois avec une nouvelle méthode
Étapes techniques détaillées
- Étape 1 : reproduction des paramètres de chiffrement
- En comparant avec une requête légitime, les paramètres manquants
encrypted_payload, auth_tag, timestamp et iv ont été identifiés
- Le chiffrement utilise AES-GCM, avec une clé dérivée de
nonce + timestamp + transaction_id via HKDF(SHA-256)
- La même structure est reproduite pour générer les paramètres manquants
- Étape 2 : manipulation des données de prédiction
- Même avec une reproduction parfaite du chiffrement, l’échec persistait, ce qui a permis de constater que la validation dépendait des « prediction arrays » (
outputs, primaryOutputs, raws)
- Les données
raws servent de base pour supprimer les valeurs aberrantes via un z-score, puis générer outputs et primaryOutputs
- Les conditions suivantes sont également vérifiées
- Les valeurs
xScaledShiftAmt et yScaledShiftAmt ne peuvent prendre que l’une de deux possibilités
- Le nom du média (caméra) doit correspondre à la liste réelle des appareils
- L’heure de fin des statuts doit correspondre à la chronologie
- Le code open source implémentant l’ensemble du processus est publié, et peut être consulté par tous
Publication et contexte de création
- L’auteur remercie xyzeva, Dziurwa et amplitudes, qui avait déjà travaillé auparavant sur des sujets liés
- Il est expliqué que Discord prévoit un déploiement mondial complet de la vérification d’âge en mars, ce qui a motivé l’exploration d’une nouvelle méthode de contournement de la validation
Aucun commentaire pour le moment.