Solusi Kriptografi untuk Masalah Hukum

Undang-undang verifikasi usia telah menyebar dengan cepat di seluruh Amerika Serikat, dengan sekitar separuh negara bagian kini memberlakukan beberapa bentuk persyaratan pemeriksaan usia daring. Saat para pembuat undang-undang mendorong platform untuk memastikan usia pengguna mereka sebelum memberikan akses ke konten, sebuah solusi teknis telah mendapat perhatian di kalangan pembuat kebijakan dan kelompok industri: bukti tanpa pengetahuan, atau ZKP.

Electronic Frontier Foundation (EFF) telah menerbitkan bantahan terperinci terhadap narasi yang semakin berkembang bahwa ZKP menyelesaikan masalah privasi yang melekat dalam mandat verifikasi usia. Menurut EFF, teknologi ini terlalu diiklankan sebagai solusi pamungkas padahal sebenarnya hanya menjawab sebagian dari persamaan privasi, dan dalam beberapa kasus justru memperkenalkan risiko pelacakan baru yang jarang disebutkan oleh para pendukungnya.

Cara Kerja Bukti Tanpa Pengetahuan Sebenarnya

Bukti tanpa pengetahuan adalah metode kriptografi yang memungkinkan seseorang membuktikan suatu fakta, seperti berusia di atas 18 tahun, tanpa mengungkapkan data mendasar yang membuktikannya, seperti tanggal lahir atau nomor identitas pemerintah. Secara teori, seorang pengguna dapat diberikan token digital yang menjamin usia mereka, dan token tersebut dapat disajikan ke situs web tanpa mengekspos informasi pribadi lainnya.

Ini terdengar seperti peningkatan privasi yang signifikan dibandingkan metode verifikasi usia saat ini, yang banyak di antaranya mengharuskan unggah SIM atau pemindaian wajah. EFF mengakui bahwa ZKP memang dapat mengurangi jumlah data pribadi eksplisit yang dibagikan selama satu peristiwa verifikasi. Masalahnya, menurut organisasi tersebut, adalah apa yang terjadi setelah token itu diterbitkan dan digunakan berulang kali.

Kritik inti EFF berpusat pada penggunaan ulang token ini. Jika seorang pengguna masuk ke platform dengan kredensial berbasis ZKP yang sama setiap kali, token itu dapat menciptakan tautan yang konsisten dan dapat dilacak kembali ke individu tersebut, bahkan jika token itu sendiri tidak memuat nama atau tanggal lahir. Pengidentifikasi persisten yang mengikuti pengguna lintas sesi dan layanan merusak anonimitas yang seharusnya diberikan oleh ZKP. Dengan kata lain, kriptografi dapat menyembunyikan apa yang Anda buktikan, tetapi tidak serta-merta menyembunyikan siapa yang melakukan pembuktian, terutama seiring waktu dan di banyak situs.

Perbedaan ini penting karena sebagian besar pesan politik dan industri seputar ZKP memperlakukannya sebagai jaminan privasi otomatis. Analisis EFF menolak kerangka berpikir tersebut, dengan berargumen bahwa teknologi ini perlu dievaluasi dalam konteks seluruh sistem verifikasi, termasuk bagaimana token diterbitkan, seberapa sering digunakan ulang, dan siapa yang mengendalikan infrastruktur di baliknya.

Masalah Privasi yang Lebih Besar dalam Verifikasi Usia

Penolakan EFF ini sejalan dengan pola skeptisisme yang lebih luas dari para peneliti privasi dan advokat hak digital terhadap mandat verifikasi usia secara umum. Para kritikus telah lama berargumen bahwa undang-undang ini, apa pun metode teknis yang digunakan untuk menegakkannya, menciptakan kategori baru pengumpulan data sensitif, baik itu pemindaian identitas, estimasi biometrik, atau pelacakan perilaku yang terkait dengan jaminan usia.

Skeptisisme ini tidak terbatas pada EFF. Sebagaimana tercakup dalam laporan kami tentang bagaimana penasihat EDRi mengatakan klaim privasi verifikasi usia tidak masuk akal, para ahli privasi Eropa telah mengangkat kekhawatiran serupa bahwa perlindungan privasi yang dijanjikan oleh vendor verifikasi usia sering kali tidak bertahan saat diuji. Penolakan industri juga datang dari arah yang tidak terduga: dalam surat Pornhub kepada pembuat undang-undang yang mengecam pemeriksaan usia dengan identitas, perusahaan tersebut berargumen bahwa metode verifikasi saat ini yang ditulis ke dalam hukum negara menciptakan risiko keamanan dan privasi nyata bagi pengguna, apa pun teknologi yang mendasarinya.

Yang menyatukan kritik-kritik ini adalah kekhawatiran bersama bahwa verifikasi usia, bagaimanapun diterapkannya, cenderung menukar satu risiko privasi dengan risiko lainnya. Mengunggah kartu identitas menciptakan risiko kebocoran data. Estimasi biometrik menciptakan risiko pengawasan. Dan sekarang, menurut EFF, bahkan kriptografi yang menjaga privasi seperti ZKP pun dapat menciptakan risiko pelacakan jika diterapkan tanpa perhatian cermat pada penggunaan ulang token dan kendali penerbit.

Artinya Bagi Anda

Jika Anda tinggal di negara bagian dengan undang-undang verifikasi usia, Anda mungkin menemukan sistem berbasis ZKP yang dipasarkan sebagai alternatif ramah privasi dibandingkan unggah identitas atau pemindaian wajah. Perlu dipahami bahwa kerangka berpikir ini hanya sebagian akurat. Teknologi ini memang dapat mengurangi jumlah data pribadi mentah yang diekspos dalam satu transaksi, tetapi tidak secara otomatis mencegah platform atau penerbit membangun profil aktivitas Anda seiring waktu jika kredensial yang sama digunakan ulang lintas sesi.

Sebelum mempercayai sistem verifikasi usia apa pun, apakah menggunakan ZKP atau metode lain, carilah informasi tentang bagaimana kredensial diterbitkan, apakah kedaluwarsa atau berputar, dan siapa yang mengendalikan infrastruktur verifikasi. Sistem yang menerbitkan ulang token segar yang tidak dapat ditautkan untuk setiap penggunaan menawarkan privasi yang jauh lebih kuat daripada sistem yang memberi Anda satu kredensial yang dapat digunakan ulang.

Kesimpulan

Bukti tanpa pengetahuan mewakili peningkatan kriptografi yang nyata dibandingkan beberapa metode verifikasi usia yang ada, tetapi analisis EFF memperjelas bahwa bukti tersebut bukanlah solusi privasi yang lengkap dengan sendirinya. Mandat hukum yang mendasarinya untuk memverifikasi usia tetap menciptakan titik pengumpulan data yang sebelumnya tidak ada, dan detail implementasi spesifik dari sistem ZKP mana pun menentukan apakah sistem itu benar-benar melindungi identitas Anda atau sekadar mengaburkannya. Seiring semakin banyak negara bagian mengadopsi persyaratan verifikasi usia, pembaca harus tetap mendapat informasi tentang bagaimana sistem ini bekerja dalam praktiknya, mengajukan pertanyaan langsung kepada platform tentang penggunaan ulang token dan penyimpanan data, dan memperlakukan klaim pemasaran tentang teknologi yang menjaga privasi dengan skeptisisme yang sama seperti praktik pengumpulan data lainnya.