EFF: Le Prove a Conoscenza Zero Non Risolveranno la Verifica dell'Età

Una Soluzione Crittografica per un Problema Legale

Le leggi sulla verifica dell'età si sono diffuse rapidamente negli Stati Uniti, con circa la metà degli stati che ora applicano qualche forma di requisito di controllo dell'età online. Mentre i legislatori spingono le piattaforme a confermare quanti anni hanno i loro utenti prima di concedere l'accesso ai contenuti, una soluzione tecnica ha guadagnato terreno tra policymaker e gruppi industriali: le prove a conoscenza zero, o ZKP.

La Electronic Frontier Foundation (EFF) ha pubblicato una confutazione dettagliata alla narrazione crescente secondo cui le ZKP risolvono i problemi di privacy incorporati nei mandati di verifica dell'età. Secondo l'EFF, la tecnologia viene venduta come una soluzione magica quando in realtà affronta solo una parte dell'equazione della privacy e, in alcuni casi, introduce nuovi rischi di tracciamento che i sostenitori raramente menzionano.

Come Funzionano Realmente le Prove a Conoscenza Zero

Le prove a conoscenza zero sono un metodo crittografico che consente a qualcuno di dimostrare un fatto, come avere più di 18 anni, senza rivelare i dati sottostanti che lo provano, come una data di nascita o un numero di documento d'identità governativo. In teoria, un utente potrebbe ricevere un token digitale che attesta la sua età, e quel token potrebbe essere presentato a un sito web senza esporre altre informazioni personali.

Questo sembra un miglioramento significativo della privacy rispetto agli attuali metodi di verifica dell'età, molti dei quali richiedono il caricamento di una patente di guida o la scansione del viso. L'EFF riconosce che le ZKP possono effettivamente ridurre la quantità di dati personali espliciti condivisi durante un singolo evento di verifica. Il problema, secondo l'organizzazione, è ciò che accade dopo che quel token viene emesso e utilizzato ripetutamente.

La critica centrale dell'EFF si concentra sulla riusabilità di questi token. Se un utente accede a una piattaforma con la stessa credenziale basata su ZKP ogni volta, quel token può creare un collegamento coerente e tracciabile all'individuo, anche se il token stesso non contiene un nome o una data di nascita. Un identificatore persistente che segue un utente attraverso sessioni e servizi mina l'anonimato che le ZKP dovrebbero fornire. In altre parole, la crittografia può nascondere ciò che stai dimostrando, ma non nasconde necessariamente chi sta dimostrando, specialmente nel tempo e attraverso più siti.

Questa distinzione è importante perché gran parte della comunicazione politica e industriale sulle ZKP le tratta come una garanzia automatica di privacy. L'analisi dell'EFF contrasta questa narrativa, sostenendo che la tecnologia deve essere valutata nel contesto dell'intero sistema di verifica, inclusi come vengono emessi i token, quanto spesso vengono riutilizzati e chi controlla l'infrastruttura dietro di essi.

Il Problema Più Grande della Privacy nella Verifica dell'Età

La controreplica dell'EFF si inserisce in un più ampio schema di scetticismo da parte di ricercatori sulla privacy e sostenitori dei diritti digitali riguardo ai mandati di verifica dell'età in generale. I critici hanno a lungo sostenuto che queste leggi, indipendentemente dal metodo tecnico utilizzato per farle rispettare, creano nuove categorie di raccolta di dati sensibili, che si tratti di scansioni di documenti d'identità, stime biometriche o tracciamento comportamentale legato alla certezza dell'età.

Questo scetticismo non è limitato all'EFF. Come riportato nel nostro articolo su come un consigliere dell'EDRi afferma che le affermazioni sulla privacy nella verifica dell'età non reggono, gli esperti europei di privacy hanno sollevato preoccupazioni simili sul fatto che le protezioni della privacy promesse dai fornitori di verifica dell'età spesso non reggono a un esame attento. La controreazione dell'industria è arrivata anche da una direzione inaspettata: nella lettera di Pornhub ai legislatori che critica i controlli dell'età tramite documento d'identità, l'azienda ha sostenuto che gli attuali metodi di verifica incorporati nella legge statale creano rischi reali per la sicurezza e la privacy degli utenti, indipendentemente dalla tecnologia sottostante.

Ciò che accomuna queste critiche è una preoccupazione condivisa che la verifica dell'età, comunque venga implementata, tenda a scambiare un rischio per la privacy con un altro. Caricare una carta d'identità crea un rischio di violazione dei dati. La stima biometrica crea un rischio di sorveglianza. E ora, secondo l'EFF, anche la crittografia che preserva la privacy come le ZKP può creare un rischio di tracciamento se viene implementata senza un'attenzione attenta al riutilizzo dei token e al controllo dell'emittente.

Cosa Significa Questo Per Te

Se vivi in uno stato con una legge sulla verifica dell'età, potresti imbatterti in sistemi basati su ZKP commercializzati come un'alternativa rispettosa della privacy al caricamento di documenti d'identità o alle scansioni facciali. Vale la pena capire che questa narrativa è solo parzialmente accurata. La tecnologia può effettivamente ridurre la quantità di dati personali grezzi esposti in una singola transazione, ma non impedisce automaticamente alle piattaforme o agli emittenti di costruire un profilo della tua attività nel tempo se la stessa credenziale viene riutilizzata tra sessioni.

Prima di fidarti di qualsiasi sistema di verifica dell'età, che utilizzi ZKP o un altro metodo, cerca informazioni su come viene emessa la credenziale, se scade o ruota, e chi controlla l'infrastruttura di verifica. Un sistema che riemette token freschi e non collegabili per ogni utilizzo offre una privacy significativamente più forte rispetto a uno che ti consegna una singola credenziale riutilizzabile.

Punti Chiave

Le prove a conoscenza zero rappresentano un miglioramento crittografico genuino rispetto ad alcuni metodi esistenti di verifica dell'età, ma l'analisi dell'EFF chiarisce che non sono una soluzione completa per la privacy da sole. Il mandato legale sottostante di verificare l'età crea ancora punti di raccolta dati che non esistevano prima, e i dettagli specifici di implementazione di qualsiasi sistema ZKP determinano se protegge davvero la tua identità o semplicemente la oscura. Man mano che più stati adottano requisiti di verifica dell'età, i lettori dovrebbero rimanere informati su come funzionano questi sistemi nella pratica, fare domande dirette alle piattaforme su riutilizzo dei token e conservazione dei dati, e trattare le affermazioni di marketing sulle tecnologie che preservano la privacy con lo stesso scetticismo applicato a qualsiasi altra pratica di raccolta dati.