Obcházení ověřování věku na Bluesky odhaluje mezery v soukromí

Jak funguje systém ověřování věku na Bluesky a proč selhává

Bluesky, decentralizovaná sociální síť postavená na AT Protocolu, zavedla opatření k ověřování věku, aby vyhověla předpisům, které platformám nařizují ověřovat, zda jsou uživatelé dostatečně staří k zobrazení určitého obsahu. V praxi se systém silně spoléhá na geografické signály: pokud Bluesky zjistí, že se uživatel připojuje z oblasti se zákony o ověřování věku, jako je Spojené království, vyzve ho k ověření věku před umožněním plného přístupu.

Široce sdílený technický návod, publikovaný jako GitHub gist, ukazuje, jak snadné je tuto kontrolu obejít. Podle textu a potvrzujících zpráv kolujících na samotném Bluesky uživatelé našli několik způsobů, jak požadavek obejít. Připojení přes VPN tak, aby to vypadalo, že prohlížíte z jiné země, údajně kontrolu zcela obejde, protože věková brána platformy je vázána na polohu, nikoli na trvalý identifikační znak. Jiní upozornili, že jednoduchý filtr reklam v prohlížeči může potlačit výzvu k ověření, a bylo vytvořeno speciální rozšíření prohlížeče přímo k deaktivaci geografických a moderačních omezení Bluesky. Alternativní front-endy pro AT Protocol, které uživatelům umožňují zobrazit obsah Bluesky bez použití oficiální aplikace, věkovou bránu zcela obcházejí.

Jinými slovy, mechanismus, který má bránit nezletilým v přístupu k určitému obsahu, lze překonat nástroji, které nevyžadují žádné zvláštní technické dovednosti: předplatné VPN, doplněk prohlížeče nebo úplně jiný web.

Co obcházení prozrazuje o rizicích pro soukromí při ověřování věku

Příklad Bluesky zdůrazňuje vzorec, který se opakovaně objevuje všude tam, kde byly zavedeny požadavky na ověřování věku. Systémy navržené k tomu, aby nezletilým bránily v přístupu k určitému obsahu, bývají postaveny na signálech, jako je poloha IP nebo samostatně uvedené datum narození, které lze snadno zfalšovat. Mezitím uživatelé, kteří pravidla dodržují a předkládají dokumenty, nahrávají selfie nebo se připojují ke službám ověřování třetích stran, na sebe berou nové riziko pro soukromí.

To je nepříjemný kompromis uprostřed většiny zavádění ověřování věku: lidé, u nichž je nejpravděpodobnější, že jsou nezletilí, nebo ti, kteří jsou nejvíce motivováni vyhnout se kontrole, jsou zároveň technicky nejzdatnější k nalezení obcházení. Lidé, kteří dodržují pravidla a poctivě spolupracují, odevzdávají citlivé údaje ověřovacím poskytovatelům třetích stran, údaje, které pak musí být někde uloženy, zpracovány a chráněny. Jakýkoli slabý článek v tomto řetězci, ať už jde o špatně zabezpečenou databázi dodavatele nebo kompromitovaný interní nástroj, se stává novým terčem. Širší ponaučení není jedinečné pro Bluesky. Odkazuje na obavy vznesené napříč softwarovým průmyslem o tom, jak rychle může jediný bod kompromitace přerůst v mnohem větší expozici, podobně jako když kompromitovaný vývojářský nástroj vedl k rozsáhlému úniku repozitářů na GitHubu. Když se ověřovací infrastruktura přidává na stávající platformy, zavádí novou útočnou plochu, aniž by nutně dosáhla svého stanoveného cíle.

Regulační kontext: britský Online Safety Act a nařízení EU o digitálních službách (DSA) ohledně ověřování věku

Věková brána Bluesky se neobjevila ve vzduchoprázdnu. Britský Online Safety Act vyžaduje, aby platformy hostující určité kategorie obsahu zavedly opatření k „ověřování věku“ pro uživatele ve Spojeném království, a nařízení EU o digitálních službách tlačí podobným směrem na platformy působící v celém bloku. Oba rámce kladou zátěž spojenou s dodržováním předpisů na platformy a tlačí je k detekci polohy, samostatně deklarovanému datu narození nebo poskytovatelům ověřování třetích stran jako k praktickým mechanismům vymáhání.

Problém je v tom, že zákonodárci, kteří tyto mandáty píší, převážně specifikují výsledek – držet nezletilé dál od určitého obsahu – aniž by předepisovali technicky robustní způsob, jak ho dosáhnout. Tato mezera nechává platformy implementovat to, co je nejrychlejší a nejlevnější, což obvykle znamená kontroly založené na geolokaci, které VPN během několika sekund porazí. Regulátoři mohou nakonec reagovat dalším zpřísněním požadavků, potenciálně tlačit k povinnému ověřování dokumentů nebo biometrie pro všechny uživatele bez ohledu na polohu. To by výrazně zvýšilo sázky a vyměnilo snadno obcházený systém za systém, který vyžaduje mnohem citlivější osobní údaje od všech, včetně dospělých, kteří nemají v úmyslu nic obcházet.

Co by uživatelé dbající na soukromí měli vědět před ověřením věku online

Pokud jste na Bluesky nebo jakékoli jiné platformě vyzváni k ověření věku, stojí za to se pozastavit před nahráním průkazu totožnosti nebo dokončením skenu obličeje. Zeptejte se, jaké údaje se skutečně shromažďují, kdo je zpracovává a jak dlouho jsou uchovávány. Poskytovatelé ověřování věku třetích stran nejsou imunní vůči únikům, a jakmile je dokument nebo biometrický sken odeslán, obvykle ho nelze vzít zpět.

Pro čtenáře, kteří chtějí minimalizovat svou expozici, je použití renomované VPN ke kontrole toho, z jaké polohy platforma vidí, že se připojujete, jedním z přímočařejších dostupných nástrojů na ochranu soukromí, i když je třeba mít na paměti, že VPN jsou opatřením na ochranu soukromí, nikoli skulinou, na kterou je možné se donekonečna spoléhat, jak se vymáhání vyvíjí. Kombinace VPN s pečlivou pozorností k tomu, jaká oprávnění a údaje aplikace skutečně vyžaduje, zůstává rozumným základním postupem bez ohledu na to, jak dnes vypadá věková brána jakékoli jednotlivé platformy.

Co to znamená pro vás

Obcházení ověřování věku na Bluesky je připomínkou, že současné systémy ověřování věku jsou často spíše divadlem než bezpečností. Mohou být obcházeny každým, kdo je dostatečně motivovaný k tomu, aby si našel návod, zatímco lidé, kteří poctivě spolupracují, mohou vystavovat více osobních údajů, než si uvědomují. Vzhledem k tomu, že britský Online Safety Act a nařízení EU o digitálních službách tlačí více platforem k těmto systémům, očekávejte, že hra na kočku a myš mezi regulátory a obcházeními bude pokračovat.

Než odevzdáte sken průkazu totožnosti nebo biometrické údaje k uspokojení kontroly věku, věnujte chvíli průzkumu poskytovatele ověřování, porozumějte, co se skutečně ukládá, a zvažte, jaké nástroje, včetně VPN a nastavení prohlížeče zaměřených na soukromí, vám mohou pomoci omezit zbytečné vystavení údajů. Zůstat informován o tom, jak tyto systémy skutečně fungují, spíše než předpokládat, že fungují tak, jak je inzerováno, je tím nejpraktičtějším krokem, který může každý uživatel právě teď udělat.