Come funziona il sistema di garanzia dell'età di Bluesky e perché fallisce
Bluesky, il social network decentralizzato costruito sul protocollo AT, ha introdotto misure di garanzia dell'età per conformarsi alle normative che richiedono alle piattaforme di confermare che gli utenti siano abbastanza grandi per visualizzare determinati contenuti. In pratica, il sistema si basa fortemente su segnali geografici: se Bluesky rileva che un utente si connette da una regione con leggi sulla verifica dell'età, come il Regno Unito, richiede un controllo dell'età prima di consentire l'accesso completo.
Una guida tecnica ampiamente condivisa, pubblicata come GitHub gist, illustra quanto sia facile aggirare quel controllo. Secondo la guida e le segnalazioni che circolano su Bluesky stessa, gli utenti hanno trovato diversi modi per eludere il requisito. Connettersi tramite VPN per far sembrare di navigare da un paese diverso aggira completamente il controllo, poiché il blocco dell'età della piattaforma è legato alla posizione anziché a un marcatore di identità persistente. Altri hanno fatto notare che un semplice filtro adblock del browser può sopprimere la richiesta di verifica, ed è stata creata un'estensione browser dedicata appositamente per disabilitare le restrizioni geografiche e di moderazione di Bluesky. Front-end alternativi per il protocollo AT, che consentono di visualizzare i contenuti di Bluesky senza passare attraverso l'app ufficiale, aggirano del tutto il blocco dell'età.
In altre parole, il meccanismo pensato per tenere i minori lontani da determinati contenuti può essere sconfitto con strumenti che non richiedono alcuna competenza tecnica particolare: un abbonamento VPN, un'estensione del browser o un sito web completamente diverso.
Cosa rivela la soluzione alternativa sui rischi per la privacy dei controlli dell'età
L'esempio di Bluesky evidenzia uno schema ricorrente ovunque siano state implementate misure di verifica dell'età. I sistemi progettati per impedire ai minori di accedere a determinati contenuti tendono a basarsi su segnali, come la posizione IP o le date di nascita autodichiarate, che sono facili da falsificare. Nel frattempo, gli utenti che si conformano, inserendo documenti, caricando selfie o collegando servizi di verifica di terze parti, sono quelli che si espongono a nuovi rischi per la privacy.
È questo lo scomodo compromesso al centro della maggior parte delle implementazioni di garanzia dell'età: le persone che più probabilmente sono minorenni, o più motivate a evitare controlli, sono anche le più propense a trovare un modo per aggirarli. Le persone che seguono le regole e si conformano onestamente sono quelle che consegnano dati sensibili a fornitori di verifica di terze parti, dati che poi devono essere archiviati, elaborati e protetti da qualche parte. Qualsiasi anello debole in quella catena, che si tratti di un database di un fornitore scarsamente protetto o di uno strumento interno compromesso, diventa un nuovo bersaglio. La lezione più ampia non è esclusiva di Bluesky. Fa eco alle preoccupazioni sollevate in tutto il settore del software su quanto rapidamente un singolo punto di compromissione possa trasformarsi in un'esposizione molto più ampia, simile a come uno strumento di sviluppo compromesso abbia portato a una violazione di repository su larga scala su GitHub. Quando un'infrastruttura di verifica viene aggiunta sopra le piattaforme esistenti, introduce una nuova superficie di attacco senza necessariamente raggiungere l'obiettivo dichiarato.
Contesto normativo: l'Online Safety Act del Regno Unito e i mandati di garanzia dell'età del DSA dell'UE
Il blocco dell'età di Bluesky non è apparso dal nulla. L'Online Safety Act del Regno Unito richiede che le piattaforme che ospitano determinate categorie di contenuti implementino misure di "garanzia dell'età" per gli utenti britannici, e il Digital Services Act dell'UE spinge in una direzione simile per le piattaforme che operano in tutto il blocco. Entrambi i quadri normativi pongono l'onere della conformità sulle piattaforme, spingendole verso il rilevamento geografico, le date di nascita autodichiarate o i fornitori di verifica di terze parti come meccanismi pratici per l'applicazione.
Il problema è che i legislatori che scrivono questi mandati specificano in gran parte un risultato (tenere i minori lontani da determinati contenuti) senza dettare un modo tecnicamente robusto per raggiungerlo. Questa lacuna lascia alle piattaforme la possibilità di implementare ciò che è più veloce ed economico, che tende a significare controlli basati sulla geolocalizzazione che una VPN sconfigge in pochi secondi. Le autorità di regolamentazione potrebbero alla fine rispondere inasprendo ulteriormente i requisiti, spingendo potenzialmente verso una verifica obbligatoria dei documenti o biometrica per tutti gli utenti, indipendentemente dalla posizione. Ciò alzerebbe notevolmente la posta in gioco, sostituendo un sistema facilmente aggirabile con uno che richiede dati personali molto più sensibili da parte di tutti, compresi gli adulti che non hanno alcun interesse a eludere nulla.
Cosa dovrebbero sapere gli utenti attenti alla privacy prima di verificare l'età online
Se ti viene chiesto di verificare la tua età su Bluesky o su qualsiasi altra piattaforma, vale la pena fermarsi un attimo prima di caricare un documento d'identità o completare una scansione facciale. Chiedi quali dati vengono effettivamente raccolti, chi li elabora e per quanto tempo vengono conservati. I fornitori di verifica dell'età di terze parti non sono immuni da violazioni e, una volta inviato un documento o una scansione biometrica, generalmente non si può più tornare indietro.
Per i lettori che vogliono ridurre al minimo la propria esposizione, l'uso di una VPN affidabile per controllare da quale posizione una piattaforma ti vede connetterti è uno degli strumenti di privacy più semplici disponibili, anche se vale la pena ricordare che le VPN sono una misura di privacy, non una scappatoia su cui fare affidamento a tempo indeterminato man mano che l'applicazione delle norme evolve. Combinare una VPN con un'attenzione scrupolosa a quali permessi e dati un'app richiede effettivamente rimane una pratica di base valida, indipendentemente dall'aspetto attuale del blocco dell'età di una singola piattaforma.
Cosa significa questo per te
Il bypass della verifica dell'età di Bluesky ci ricorda che gli attuali sistemi di garanzia dell'età sono spesso più una messinscena che una vera sicurezza. Possono essere aggirati da chiunque sia abbastanza motivato da cercare una guida, mentre le persone che si conformano onestamente potrebbero esporre più dati personali di quanto credano. Man mano che l'Online Safety Act del Regno Unito e il DSA dell'UE spingono più piattaforme verso questi sistemi, aspettatevi che la dinamica del gatto e del topo tra autorità di regolamentazione e soluzioni alternative continui.
Prima di consegnare la scansione di un documento o dati biometrici per soddisfare un controllo dell'età, prenditi un momento per informarti sul fornitore della verifica, capire cosa viene effettivamente archiviato e considerare quali strumenti, tra cui VPN e impostazioni del browser incentrate sulla privacy, potrebbero aiutarti a limitare l'esposizione non necessaria dei dati. Rimanere informati su come funzionano realmente questi sistemi, anziché presumere che funzionino come pubblicizzato, è il passo più pratico che qualsiasi utente possa compiere in questo momento.
