EFF: Доказателствата с нулево разгласяване няма да решат проблема с проверката на възрастта

Криптографско решение за правен проблем

Законите за проверка на възрастта се разпространиха бързо в Съединените щати, като около половината от всички щати сега прилагат някаква форма на онлайн изискване за проверка на възрастта. Докато законодателите притискат платформите да потвърждават колко годишни са потребителите им, преди да им предоставят достъп до съдържание, техническо решение придоби популярност сред политиците и индустриалните групи: доказателства с нулево разгласяване, или ZKP.

Фондацията „Електронна граница“ (EFF) публикува подробно опровержение на нарастващия разказ, че ZKP решават проблемите с поверителността, вградени в изискванията за проверка на възрастта. Според EFF технологията се продава надценено като универсално решение, когато всъщност тя адресира само част от уравнението за поверителност, а в някои случаи въвежда нови рискове за проследяване, които защитниците рядко споменават.

Как всъщност работят доказателствата с нулево разгласяване

Доказателствата с нулево разгласяване са криптографски метод, който позволява на някого да докаже факт, като например че е над 18 години, без да разкрива основните данни, които го доказват, като дата на раждане или номер на лична карта. Теоретично потребител би могъл да получи цифров токен, който удостоверява възрастта му, и този токен би могъл да бъде представен на уебсайт, без да се излага никаква друга лична информация.

Това звучи като значително подобрение на поверителността в сравнение с настоящите методи за проверка на възрастта, много от които изискват качване на шофьорска книжка или сканиране на лице. EFF признава, че ZKP наистина могат да намалят количеството изрично споделени лични данни по време на еднократна проверка. Проблемът, според организацията, е какво се случва след като този токен бъде издаден и използван многократно.

Основната критика на EFF е насочена към многократната използваемост на тези токени. Ако потребител влезе в платформа със същите ZKP-базирани идентификационни данни всеки път, този токен може да създаде постоянна, проследима връзка към индивида, дори ако самият токен не съдържа име или дата на раждане. Постоянен идентификатор, който следва потребителя през сесии и услуги, подкопава анонимността, която ZKP се предполага, че осигуряват. С други думи, криптографията може да скрие какво доказвате, но не е задължително да скрие кой доказва, особено с течение на времето и през множество сайтове.

Това разграничение има значение, защото много от политическите и индустриалните послания около ZKP ги третират като автоматична гаранция за поверителност. Анализът на EFF се противопоставя на тази рамка, като твърди, че технологията трябва да се оценява в контекста на цялата система за проверка, включително как се издават токените, колко често се използват повторно и кой контролира инфраструктурата зад тях.

По-големият проблем с поверителността при проверката на възрастта

Опровержението на EFF се вписва в по-широк модел на скептицизъм от изследователи по поверителност и защитници на цифровите права относно изискванията за проверка на възрастта като цяло. Критиците отдавна твърдят, че тези закони, независимо от техническия метод, използван за прилагането им, създават нови категории събиране на чувствителни данни, било то сканиране на документи за самоличност, биометрични оценки или поведенческо проследяване, обвързано с потвърждаване на възрастта.

Този скептицизъм не се ограничава до EFF. Както е отразено в нашия репортаж за това как съветник на EDRi казва, че твърденията за поверителност при проверка на възрастта не издържат, европейски експерти по поверителност повдигнаха подобни опасения, че обещанията за поверителност, давани от доставчиците на проверка на възрастта, често не издържат при проверка. Отпор от индустрията дойде и от неочаквана посока: в писмото на Pornhub до законодателите, осъждащо проверките на възрастта чрез лични карти, компанията твърди, че настоящите методи за проверка, заложени в щатското законодателство, създават реални рискове за сигурността и поверителността на потребителите, независимо от основната технология.

Това, което свързва тези критики, е споделената загриженост, че проверката на възрастта, както и да бъде приложена, има тенденцията да разменя един риск за поверителността с друг. Качването на лична карта създава риск от пробив на данни. Биометричната оценка създава риск от наблюдение. А сега, според EFF, дори криптография, запазваща поверителността, като ZKP, може да създаде риск от проследяване, ако бъде разгърната без внимателно отношение към повторната употреба на токените и контрола върху издателя.

Какво означава това за вас

Ако живеете в щат със закон за проверка на възрастта, може да срещнете системи, базирани на ZKP, които се рекламират като алтернатива, щадяща поверителността, на качването на документи за самоличност или лицеви сканирания. Струва си да разберете, че тази рамка е само частично точна. Технологията наистина може да намали количеството сурови лични данни, изложени в еднократна трансакция, но не предотвратява автоматично платформите или издателите да изградят профил на вашата активност с течение на времето, ако същите идентификационни данни се използват повторно през сесии.

Преди да се доверите на която и да е система за проверка на възрастта, независимо дали използва ZKP или друг метод, потърсете информация за това как се издава идентификационният документ, дали изтича или се ротира, и кой контролира инфраструктурата за проверка. Система, която издава нови, несвързани токени за всяка употреба, предлага значително по-силна поверителност от тази, която ви дава един многократно използваем идентификационен документ.

Изводи

Доказателствата с нулево разгласяване представляват истинско криптографско подобрение спрямо някои съществуващи методи за проверка на възрастта, но анализът на EFF показва ясно, че те не са цялостно решение за поверителност сами по себе си. Основното правно изискване за проверка на възрастта все още създава точки за събиране на данни, които не са съществували преди, и конкретните детайли на прилагането на всяка ZKP система определят дали тя действително защитава вашата самоличност или просто я замъглява. Тъй като все повече щати приемат изисквания за проверка на възрастта, читателите трябва да остават информирани за това как работят тези системи на практика, да задават директни въпроси на платформите относно повторната употреба на токени и задържането на данни, и да третират маркетинговите твърдения за технологии, запазващи поверителността, със същия скептицизъм, прилаган към всяка друга практика за събиране на данни.