Miksi ikätarkastukset eivät toimi suunnitellusti

Uusi brittiläinen tutkimus on havainnut, että 39 prosenttia 11–17-vuotiaista lapsista on onnistuneesti kiertänyt verkkoikätarkastukset, vaikka maan Online Safety Act -laki edellyttää alustoilta käyttäjien iän varmistamista ennen tietyn sisällön käyttöoikeuden myöntämistä. Havainto herättää epämukavia kysymyksiä siitä, suojeleeko nykyinen ikävarmistusteknologia todella alaikäisiä vai luoko se vain valheellisen turvallisuudentunteen niin sääntelijöille, vanhemmille kuin alustoillekin.

Se, mikä tekee tästä tutkimuksesta erityisen huomionarvoisen, ei ole pelkkä otsikossa näkyvä prosenttiluku. Kyse on keinosta. Tutkimuksen mukaan useimmat lapset eivät tarvinneet monimutkaisia työkaluja tai teknistä osaamista kiertääkseen ikätarkastukset. He yksinkertaisesti valehtelivat. Väärän syntymäajan syöttäminen, sellaisen, joka saa heidät näyttämään 18-vuotiailta tai vanhemmilta, oli ylivoimaisesti yleisin kiertokeino. Ei hakkerointia, ei monimutkaista harhauttamista – vain muutama näppäimistön painallus.

VPN:illä on pienempi rooli kuin voisi luulla

Kun otetaan huomioon jatkuva keskustelu VPN-palveluista ja ikävarmistuslaeista – erityisesti sen jälkeen, kun useat Yhdysvaltain osavaltiot ja nyt Yhdistynyt kuningaskunta ovat painostaneet alustoja varmistamaan käyttäjien iän ennen aikuissisällön tai tiettyjen sosiaalisen median ominaisuuksien käyttöoikeuden myöntämistä – olisi helppo olettaa, että VPN:t ovat lasten tärkein työkalu näiden esteiden kiertämiseen. Tutkimus antaa toisenlaisen kuvan.

VPN:t olivat joillakin tutkimukseen osallistuneilla lapsilla osittain käytössä, mutta niiden roolia kuvailtiin vähäiseksi, ei hallitsevaksi. Tällä on merkitystä, koska suuri osa ikävarmistuslakeja koskevasta julkisesta keskustelusta on keskittynyt voimakkaasti VPN-käyttöön, ja lainsäätäjät ja alustat pitävät VPN-liikennettä punaisena vahtina mahdollisesta kiertämisestä. Todellisuus paikan päällä vaikuttaa paljon yksinkertaisemmalta: useimmat lapset eivät ohjaa liikennettään toisessa maassa sijaitsevan palvelimen kautta. He vain kirjoittavat eri syntymävuoden.

Tämä ero on tärkeä päättäjille. Jos ensisijainen kiertokeino on itse ilmoitettu väärä tieto eikä tekninen kiertäminen, niin VPN-käytön havaitsemiseen käytettävien resurssien lisääminen voi korjata vain pienen osan todellisesta ongelmasta. Suurempi haaste on se, että itseilmoitukseen perustuvat ikävarmistusjärjestelmät – joissa vain pyydetään käyttäjää ilmoittamaan ikänsä – ovat lähtökohtaisesti helppoja kiertää kenelle tahansa, joka on motivoitunut valehtelemaan, iästä riippumatta.

Yksityisyyden ja iän varmistamisen välinen kompromissi

Pyrkimys vahvistaa ikävarmistusta ei ole rajoittunut yksinkertaisiin syntymäaikakenttiin. Vastauksena Online Safety Actin kaltaisiin lakeihin monet alustat ovat alkaneet tutkia tunkeutuvampia varmennusmenetelmiä, kuten asiakirjojen lataamista, iän arviointia kasvonpiirteiden perusteella ja kolmannen osapuolen henkilöllisyystarkastuksia. Näitä menetelmiä on vaikeampi huijata kuin avattavaa valikkoa, mutta ne edellyttävät myös arkaluonteisten henkilötietojen keräämistä ja käsittelyä laajassa mittakaavassa.

Tämä kompromissi ansaitsee enemmän huomiota kuin se yleensä saa. Joka kerta, kun alusta pyytää käyttäjää – olipa tämä lapsi tai aikuinen – lataamaan kuvallisen henkilöllisyystodistuksen tai suostumaan biometriseen iän arviointiin, syntyy uusi arkaluonteisten tietojen keskittymä, joka on tallennettava, suojattava ja lopulta poistettava. Historia on osoittanut, että keskitetyt henkilötietovarannot ovat houkuttelevia kohteita hyökkääjille. Äskettäinen ShinyHunters-tietomurto, joka koskee Amazon One Medical -palvelua, muistuttaa siitä, kuinka jopa hyvin resursoidut organisaatiot, jotka käsittelevät arkaluonteisia henkilötietoja, voivat joutua laajamittaisen tietovarkauden kohteeksi. Ikävarmistusjärjestelmät voivat, jollei niitä rakenneta ja suojata huolellisesti, muodostua seuraavaksi hunajapurkiksi juuri tällaisille tietomurroille.

Mitä tämä tarkoittaa sinulle

Jos olet vanhempi, tämä tutkimus on hyödyllinen todellisuustarkistus. Online Safety Act -laki ja vastaavat säädökset on suunniteltu lisäämään kitkaa alaikäisten tapoihin päästä ikärajoitettuun sisältöön, mutta kitka ei ole sama asia kuin muuri. 39 prosentin kiertämisaste viittaa siihen, että pelkät lakisääteiset määräykset eivät korvaa jatkuvia keskusteluja lasten kanssa siitä, mitä he tekevät verkossa ja miksi tietyillä alustoilla ylipäänsä on ikärajoja.

Jos olet minkä ikäinen tahansa alustan käyttäjä, on hyvä ymmärtää, että vahvempi ikävarmennus tarkoittaa usein enemmän henkilötietojen luovuttamista, ei vähemmän. Ennen kuin lataat henkilöllisyystodistuksen tai suostut kasvoskannaukseen verkkosivustolla, mieti, onko alustalla selkeä, julkaistu käytäntö tietojen säilytyksestä ja poistosta. Jos sellaista ei ole, pidä sitä varoitusmerkkinä, älä muodollisuutena.

Ja jos olet huolissasi siitä, miten omaa selausdataasi kerätään näiden prosessien aikana, yksityisyyteen keskittyvien työkalujen, kuten luotettavien VPN-palveluiden, käyttö on edelleen laillinen tapa rajoittaa seurantaa ja tietojen paljastumista laillisessa, aikuisten käytössä – täysin irrallaan ikävarmistuksen kiertämiskysymyksistä. Tämä tutkimus erottaa ikävalheet (toimintaperiaate- ja täytäntöönpano-ongelma) teknisestä kiertämisestä (paljon pienempi osa kokonaiskuvaa), ja tämä ero on syytä pitää mielessä seuraavan kerran, kun otsikko sekoittaa nämä kaksi asiaa.

Keskeiset havainnot

  • 39 % kyselyyn vastanneista 11–17-vuotiaista brittilapsista kertoo kiertäneensä verkkoikätarkastukset, pääasiassa ilmoittamalla väärän syntymäajan teknisen kiertämisen sijaan.
  • VPN:iä käytti osa lapsista, mutta niiden rooli oli vähäinen verrattuna yksinkertaiseen itse ilmoitettuun väärään tietoon.
  • Vahvemmat ikävarmistusmenetelmät, kuten henkilöllisyystodistuksen lataaminen tai biometriset tarkastukset, siirtävät riskin pääsynvalvonnasta tietoturvaan, sillä ne edellyttävät arkaluonteisten henkilötietojen keräämistä.
  • Vanhempien tulisi suhtautua Online Safety Act -lakiin yhtenä suojakerroksena, ei korvikkeena suorille keskusteluille lasten kanssa verkkosisällöistä.
  • Kaikkien, jotka luovuttavat henkilöllisyystodistuksen tai biometrisiä tietoja ikävarmennusta varten, tulisi tarkistaa alustan tietojen säilytyskäytäntö ennen tietojen antamista.