Заобикалянето на проверката за възраст в Bluesky разкрива пропуски в поверителността

Как работи системата за удостоверяване на възраст в Bluesky и защо не успява

Bluesky, децентрализираната социална мрежа, изградена върху AT Protocol, въведе мерки за удостоверяване на възраст, за да спази регулации, които изискват платформите да потвърждават, че потребителите са достатъчно големи, за да разглеждат определено съдържание. На практика системата разчита силно на географски сигнали: ако Bluesky установи, че даден потребител се свързва от регион със закони за проверка на възрастта, като Обединеното кралство, тя изисква проверка на възрастта, преди да предостави пълен достъп.

Широко споделено техническо ръководство, публикувано като GitHub gist, показва колко лесно може да бъде заобиколена тази проверка. Според описанието и потвърждаващите доклади, циркулиращи в самия Bluesky, потребителите са открили множество начини да заобиколят изискването. Свързването чрез VPN, за да изглежда, че сърфирате от различна държава, според съобщенията напълно премахва проверката, тъй като възрастовото ограничение на платформата е обвързано с местоположението, а не с постоянен идентификатор. Други посочват, че обикновен филтър за реклами в браузъра може да потисне подканата за проверка, а специално разширение за браузъра е създадено точно за да деактивира географските и модерационните ограничения на Bluesky. Алтернативни фронтендове за AT Protocol, които позволяват на потребителите да разглеждат съдържание от Bluesky без да минават през официалното приложение, напълно заобикалят възрастовата бариера.

С други думи, механизмът, предназначен да държи непълнолетните далеч от определено съдържание, може да бъде преодолян с инструменти, които не изискват специални технически умения: VPN абонамент, добавка за браузъра или просто различен уебсайт.

Какво разкрива заобикалянето за рисковете за поверителността при проверките на възраст

Примерът с Bluesky подчертава модел, който се появява многократно навсякъде, където са въведени изисквания за проверка на възрастта. Системите, проектирани да спрат непълнолетните да достъпват определено съдържание, обикновено се изграждат около сигнали, като IP местоположение или самообявена рождена дата, които са лесно подправяеми. Междувременно потребителите, които спазват правилата, предоставяйки документи, качвайки селфита или свързвайки услуги за проверка от трети страни, са тези, които поемат нов риск за поверителността.

Това е неудобният компромис в основата на повечето внедрявания на удостоверяване на възраст: хората, които най-вероятно са непълнолетни или най-мотивирани да избегнат контрол, са и най-технически склонни да намерят заобиколен път. Хората, които спазват правилата и дават данни честно, са тези, които предават чувствителни данни на доставчици за проверка от трети страни – данни, които след това трябва да се съхраняват, обработват и защитават някъде. Всяка слаба връзка във веригата, независимо дали е лошо защитена база данни на доставчика или компрометиран вътрешен инструмент, се превръща в нова цел. По-широкият урок не е уникален за Bluesky. Той отразява опасенията, повдигнати в цялата софтуерна индустрия относно това колко бързо една-единствена точка на компрометиране може да прерасне в много по-голямо разкриване, подобно на начина, по който компрометиран инструмент за разработчици доведе до мащабно проникване в хранилища в GitHub. Когато инфраструктура за проверка се добавя върху съществуващи платформи, тя въвежда нова повърхност за атака, без непременно да постига заявената цел.

Регулаторен контекст: Законът за онлайн безопасност на Обединеното кралство и изискванията за удостоверяване на възраст в Регламента за цифровите услуги на ЕС

Възрастовата бариера на Bluesky не се появи във вакуум. Законът за онлайн безопасност на Обединеното кралство изисква от платформите, хостващи определени категории съдържание, да внедрят мерки за „удостоверяване на възраст“ за потребителите в Обединеното кралство, а Регламентът за цифровите услуги на ЕС натиска в подобна посока за платформите, работещи в целия блок. И двете рамки поставят тежестта за спазване върху платформите, тласкайки ги към географско откриване, самообявени рождени дати или доставчици за проверка от трети страни като практически механизми за прилагане.

Проблемът е, че законодателите, създаващи тези мандати, до голяма степен определят резултат – държане на непълнолетните далеч от определено съдържание – без да предписват технически надежден начин за постигането му. Тази празнина оставя платформите да внедряват каквото е най-бързо и евтино, което обикновено означава проверки, базирани на геолокация, които VPN побеждава за секунди. Регулаторите може в крайна сметка да реагират, като затегнат изискванията допълнително, потенциално натискайки към задължителна проверка с документи или биометрични данни за всички потребители, независимо от местоположението. Това значително ще вдигне залозите, заменяйки лесна за заобикаляне система с такава, която изисква далеч по-чувствителни лични данни от всички, включително от възрастни, които нямат никакъв интерес да заобикалят нещо.

Какво трябва да знаят потребителите, които държат на поверителността, преди да потвърдят възрастта си онлайн

Ако бъдете помолени да потвърдите възрастта си в Bluesky или на която и да е друга платформа, струва си да спрете, преди да качите лична карта или да направите сканиране на лице. Попитайте какви данни всъщност се събират, кой ги обработва и колко дълго се съхраняват. Доставчиците за проверка на възраст от трети страни не са имунизирани срещу пробиви, а веднъж щом документ или биометрично сканиране бъде предоставено, обикновено не можете да го върнете обратно.

За читателите, които искат да минимизират излагането си на риск, използването на реномиран VPN, за да контролирате какво местоположение вижда платформата, е един от по-лесните налични инструменти за поверителност, въпреки че си струва да се помни, че VPN е мярка за поверителност, а не вратичка, на която да се разчита безкрайно, докато прилагането се развива. Комбинирането на VPN с внимателно внимание към това кои разрешения и данни действително изисква дадено приложение, остава солидна основна практика, независимо от това как изглежда възрастовата бариера на която и да е отделна платформа днес.

Какво означава това за вас

Заобикалянето на проверката за възраст в Bluesky е напомняне, че настоящите системи за удостоверяване на възраст често са повече театър, отколкото сигурност. Те могат да бъдат заобиколени от всеки, който е достатъчно мотивиран да потърси ръководство, докато хората, които спазват честно, може да излагат повече лични данни, отколкото осъзнават. С натиска на Закона за онлайн безопасност на Обединеното кралство и Регламента за цифровите услуги на ЕС повече платформи към тези системи, очаквайте динамиката на котка и мишка между регулаторите и заобиколните пътища да продължи.

Преди да предадете сканиране на лична карта или биометрични данни, за да удовлетворите проверка на възрастта, отделете момент да проучите доставчика на проверка, да разберете какво всъщност се съхранява и да обмислите какви инструменти, включително VPN и настройки на браузъра, ориентирани към поверителност, могат да ви помогнат да ограничите ненужното излагане на данни. Да сте информирани за това как реално работят тези системи, вместо да предполагате, че функционират както е обявено, е най-практичната стъпка, която всеки потребител може да предприеме в момента.