Una solución criptográfica para un problema legal

Las leyes de verificación de edad se han extendido rápidamente por Estados Unidos, y aproximadamente la mitad de los estados ya aplican algún tipo de requisito de verificación de edad en línea. Mientras los legisladores presionan a las plataformas para que confirmen cuántos años tienen sus usuarios antes de conceder acceso al contenido, una solución técnica ha ganado terreno entre responsables políticos y grupos industriales: las pruebas de conocimiento cero, o ZKP.

La Electronic Frontier Foundation (EFF) ha publicado una refutación detallada a la narrativa creciente de que las ZKP resuelven los problemas de privacidad inherentes a los mandatos de verificación de edad. Según la EFF, la tecnología se está vendiendo en exceso como una bala de plata cuando en realidad aborda solo una parte de la ecuación de privacidad y, en algunos casos, introduce nuevos riesgos de rastreo que los defensores rara vez mencionan.

Cómo funcionan realmente las pruebas de conocimiento cero

Las pruebas de conocimiento cero son un método criptográfico que permite a alguien demostrar un hecho, como ser mayor de 18 años, sin revelar los datos subyacentes que lo prueban, como una fecha de nacimiento o un número de identificación gubernamental. En teoría, a un usuario se le podría emitir un token digital que garantice su edad, y ese token podría presentarse a un sitio web sin exponer ninguna otra información personal.

Esto suena como una mejora significativa de privacidad frente a los métodos actuales de verificación de edad, muchos de los cuales requieren subir una licencia de conducir o escanear un rostro. La EFF reconoce que las ZKP pueden efectivamente reducir la cantidad de datos personales explícitos compartidos durante un solo evento de verificación. El problema, según la organización, es lo que ocurre después de que ese token se emite y se usa repetidamente.

La crítica central de la EFF se centra en la reutilización de estos tokens. Si un usuario inicia sesión en una plataforma con la misma credencial respaldada por ZKP cada vez, ese token puede crear un vínculo consistente y rastreable hacia el individuo, incluso si el token en sí no contiene un nombre o fecha de nacimiento. Un identificador persistente que sigue al usuario a través de sesiones y servicios socava el anonimato que se supone que las ZKP deben proporcionar. En otras palabras, la criptografía puede ocultar lo que estás demostrando, pero no necesariamente oculta quién está haciendo la demostración, especialmente con el tiempo y a través de múltiples sitios.

Esta distinción importa porque gran parte del mensaje político e industrial en torno a las ZKP las trata como una garantía automática de privacidad. El análisis de la EFF cuestiona ese marco, argumentando que la tecnología debe evaluarse en el contexto de todo el sistema de verificación, incluido cómo se emiten los tokens, con qué frecuencia se reutilizan y quién controla la infraestructura detrás de ellos.

El problema de privacidad más amplio de la verificación de edad

El cuestionamiento de la EFF se inscribe en un patrón más amplio de escepticismo por parte de investigadores de privacidad y defensores de derechos digitales sobre los mandatos de verificación de edad en general. Los críticos han argumentado durante mucho tiempo que estas leyes, independientemente del método técnico utilizado para aplicarlas, crean nuevas categorías de recopilación de datos sensibles, ya sea escaneos de documentos de identidad, estimaciones biométricas o seguimiento conductual vinculado a la confirmación de edad.

Este escepticismo no se limita a la EFF. Como se cubrió en nuestro informe sobre cómo un asesor de EDRi dice que las afirmaciones de privacidad en la verificación de edad no se sostienen, expertos europeos en privacidad han planteado preocupaciones similares de que las protecciones de privacidad prometidas por los proveedores de verificación de edad a menudo no resisten el escrutinio. El rechazo de la industria también ha venido desde una dirección inesperada: en la carta de Pornhub a los legisladores criticando las verificaciones de edad con identificación, la empresa argumentó que los métodos de verificación actuales que se están incorporando a la ley estatal crean riesgos reales de seguridad y privacidad para los usuarios, independientemente de la tecnología subyacente.

Lo que une estas críticas es una preocupación compartida de que la verificación de edad, sin importar cómo se implemente, tiende a intercambiar un riesgo de privacidad por otro. Subir un documento de identidad crea un riesgo de filtración. La estimación biométrica crea un riesgo de vigilancia. Y ahora, según la EFF, incluso la criptografía que preserva la privacidad como las ZKP puede crear un riesgo de rastreo si se despliega sin prestar atención cuidadosa a la reutilización de tokens y al control del emisor.

Qué significa esto para ti

Si vives en un estado con una ley de verificación de edad, es posible que encuentres sistemas basados en ZKP que se comercializan como una alternativa respetuosa con la privacidad frente a la subida de documentos o los escaneos faciales. Vale la pena entender que este marco es solo parcialmente preciso. La tecnología puede reducir genuinamente la cantidad de datos personales brutos expuestos en una sola transacción, pero no previene automáticamente que las plataformas o emisores construyan un perfil de tu actividad con el tiempo si la misma credencial se reutiliza entre sesiones.

Antes de confiar en cualquier sistema de verificación de edad, ya sea que use ZKP u otro método, busca información sobre cómo se emite la credencial, si caduca o rota, y quién controla la infraestructura de verificación. Un sistema que reemite tokens frescos y no vinculables para cada uso ofrece una privacidad significativamente más sólida que uno que te entrega una única credencial reutilizable.

Conclusiones

Las pruebas de conocimiento cero representan una mejora criptográfica genuina frente a algunos métodos existentes de verificación de edad, pero el análisis de la EFF deja claro que no son una solución completa de privacidad por sí solas. El mandato legal subyacente de verificar la edad aún crea puntos de recopilación de datos que no existían antes, y los detalles específicos de implementación de cualquier sistema ZKP determinan si realmente protege tu identidad o simplemente la oscurece. A medida que más estados adopten requisitos de verificación de edad, los lectores deben mantenerse informados sobre cómo funcionan estos sistemas en la práctica, hacer preguntas directas a las plataformas sobre la reutilización de tokens y la retención de datos, y tratar las afirmaciones de marketing sobre tecnología que preserva la privacidad con el mismo escrutinio aplicado a cualquier otra práctica de recopilación de datos.