Bu teknik makale, Discord'un k-id tabanlı yaş doğrulama sistemini atlatmak için geliştirilen yeni bir yöntemi detaylandırıyor. Geliştiriciler xyzeva ve Dziurwa tarafından oluşturulan bu araç, kullanıcıların Discord hesaplarını otomatik olarak "yetişkin" olarak doğrulamalarını sağlıyor. Yöntem, kullanıcıların Discord web uygulamasında F12 tuşuna basarak konsolu açıp belirli bir JavaScript kodunu yapıştırmasını ve ardından çıkan CAPTCHA'yı çözmesini gerektiriyor. Bu adımların ardından, sistem kullanıcıyı bir doğrulama web görünümüne yönlendiriyor ve başarılı bir doğrulama mesajı ile süreci tamamlıyor. Bu bypass, Mart ayında küresel olarak yaygınlaşacak olan yaş doğrulama gereksinimleri öncesinde veya mevcut bölgelerde kullanılabiliyor.
Makale, k-id sisteminin yüz verilerini sunucularında saklamadığını, bunun yerine yüz hakkında meta veriler ve genel işlem detayları gönderdiğini belirtiyor. Geliştiriciler, bu meta veri tabanlı yaklaşımın, sisteme "meşru görünen" ancak gerçek olmayan meta veriler göndererek atlatılabileceğini keşfetti. Geçmişte bu tür bypass'lar daha kolayken, k-id'nin yüz doğrulama ortağı FaceAssure'un güvenlik önlemlerini artırmasıyla zorlaşmıştı. Ancak Discord'un yaş doğrulama gereksinimini küresel hale getirme kararı, geliştiricileri yeni yöntemler aramaya itti.
Yeni bypass yöntemi, önceki uygulamaların eksik bıraktığı encrypted_payload, auth_tag, timestamp ve iv gibi alanların eksikliğini fark ederek geliştirildi. Geliştiriciler, meşru bir isteğin gövdesinde bu şifrelenmiş verilerin bulunduğunu, ancak kendi oluşturdukları yükte bunların eksik olduğunu gözlemledi. Bu bulgu, yeni bypass mekanizmasının temelini oluşturdu ve k-id'nin güvenlik katmanlarını aşmak için bir yol sağladı. Bu yöntem, kullanıcı gizliliğini korurken sistemin zayıflıklarını ortaya koyuyor.
Bu yöntem, Discord'un küresel yaş doğrulama sistemindeki potansiyel güvenlik açıklarını ve meta veri tabanlı doğrulama sistemlerinin nasıl manipüle edilebileceğini gözler önüne seriyor.