Cosa richiede effettivamente il coprifuoco britannico alle piattaforme

A partire da questa settimana, le autorità britanniche hanno reso obbligatorio per le principali piattaforme social, tra cui Instagram, TikTok e YouTube, applicare un coprifuoco predefinito da mezzanotte alle 6 del mattino sugli account appartenenti a ragazzi di 16 e 17 anni. A meno che un genitore o l'adolescente non disattivino esplicitamente l'opzione, l'account viene bloccato durante la notte. Le piattaforme devono anche disattivare le funzioni di riproduzione automatica e scorrimento infinito 24 ore su 24 per questa fascia d'età, non solo durante le ore di coprifuoco.

Si tratta di un cambiamento significativo rispetto all'approccio precedente del Regno Unito. Invece di vietare del tutto le VPN o imporre a tutti gli utenti controlli d'identità invasivi, le autorità hanno posto l'onere della conformità direttamente sulle piattaforme. Le aziende di social media sono ora tenute a sviluppare e mantenere l'infrastruttura che identifica quali account appartengono a minorenni, applica il coprifuoco per impostazione predefinita e intercetta i tentativi di aggirarlo. La norma considera di fatto la verifica dell'età e l'applicazione della legge una responsabilità fondamentale della piattaforma, piuttosto che qualcosa che il governo può imporre attraverso restrizioni tecniche generalizzate.

Come le piattaforme dovrebbero rilevare l'uso di VPN e strumenti di elusione

L'aspetto più complesso di questa norma non è il coprifuoco in sé, ma l'obbligo per le piattaforme di rilevare quando un adolescente utilizza una VPN, un proxy o strumenti simili per far sembrare che stia navigando da fuori del Regno Unito, aggirando così completamente i meccanismi di verifica dell'età e di coprifuoco. Poiché il governo britannico ha deciso di non limitare l'accesso alle VPN a livello di rete, la responsabilità di individuare le elusioni ricade interamente sulle piattaforme.

In pratica, ciò significa che le piattaforme dovranno sviluppare sistemi di rilevamento che vadano oltre la semplice geolocalizzazione IP. Segnali comportamentali, impronte digitali del dispositivo, schemi di accesso e incongruenze tra la posizione dichiarata dell'account e il suo traffico di rete saranno probabilmente gli strumenti a disposizione. Una connessione VPN di per sé non prova nulla, molti adulti la usano per motivi assolutamente legittimi, quindi le piattaforme devono valutare probabilità e rischio invece di emettere blocchi automatici. Questo è un problema ingegneristico molto più complesso che azionare un interruttore del coprifuoco a mezzanotte.

Perché il rilevamento VPN per i minori solleva questioni di privacy per tutti gli utenti

Ed è qui che la questione va oltre l'ora della buonanotte degli adolescenti. Costruire un sistema in grado di segnalare in modo affidabile l'uso di una VPN, anche se l'obiettivo è una fascia d'età ristretta, significa costruire un sistema in grado di segnalare l'uso della VPN in generale. Una volta che quell'infrastruttura di rilevamento esiste all'interno di una piattaforma, non c'è alcuna barriera tecnica che la confini agli account di 16 e 17 anni. Gli stessi segnali utilizzati per individuare un adolescente che aggira il coprifuoco potrebbero facilmente essere riutilizzati per contrassegnare qualsiasi account che utilizza una VPN, a prescindere dall'età o dallo scopo.

È questa la tensione che i sostenitori della privacy sollevano da anni ogni volta che vengono proposti sistemi di verifica dell'età: gli strumenti creati per proteggere un gruppo tendono a estendere la loro portata nel tempo. Un sistema di rilevamento del coprifuoco creato oggi per motivi di conformità potrebbe, domani, diventare un segnale di uso generale che le piattaforme o le autorità di regolamentazione utilizzano per considerare il traffico VPN come intrinsecamente sospetto. Si tratta di un cambiamento significativo nel modo in cui viene trattato l'anonimato online, e fa eco alle preoccupazioni sollevate riguardo all'approccio della Turchia per la fine dell'uso anonimo dei social media, dove i requisiti di verifica dell'identità hanno coinvolto molti più soggetti di quanto dichiarato.

Come si inserisce nella più ampia spinta contro l'accesso anonimo e crittografato

La norma sul coprifuoco non esiste isolatamente. Arriva insieme al Cyber Security and Resilience Bill del Regno Unito, che riclassifica i data center come infrastrutture critiche nazionali e porta una parte maggiore della dorsale digitale sotto la supervisione formale del governo. Oltremanica, il recente voto sul Chat Control 1.0 dell'UE mostra un istinto regolatorio simile: anziché vietare del tutto la crittografia o gli strumenti di anonimato, i legislatori spingono le piattaforme a sviluppare internamente capacità di rilevamento e monitoraggio. Nel loro insieme, queste mosse suggeriscono uno schema in cui l'accesso anonimo e crittografato non è vietato dalla legge, ma piuttosto aggirato tecnicamente dalle piattaforme che lo ospitano.

Cosa significa per te

Se sei un genitore, questo coprifuoco si applicherà probabilmente in automatico agli account dei tuoi figli adolescenti senza che tu debba fare nulla, anche se rimane la possibilità di disattivarlo. Se sei un adulto che usa una VPN nel Regno Unito, tecnicamente nulla qui limita il tuo accesso, poiché le autorità hanno scelto di non limitare le VPN a livello di rete. Ma vale la pena osservare come evolveranno gli strumenti di rilevamento VPN a livello di piattaforma, perché i sistemi creati per scopi di conformità raramente mantengono un ambito ristretto. Chiunque utilizzi una VPN o un servizio Smart DNS per motivi del tutto ordinari, streaming, sicurezza o privacy generale, potrebbe alla fine trovarsi segnalato da sistemi progettati con uno scopo molto più limitato.

Consigli pratici

I genitori dovrebbero controllare direttamente le impostazioni della piattaforma anziché dare per scontato che il coprifuoco sia infallibile, poiché l'applicazione dipende da un rilevamento a livello di account ancora in fase di sviluppo. Gli utenti adulti dovrebbero tenere d'occhio i termini di servizio delle piattaforme per eventuali riferimenti all'uso delle VPN, poiché è qui che i cambiamenti di politica tendono a manifestarsi per primi. E chiunque sia preoccupato per l'evoluzione dei sistemi di rilevamento VPN sui social media nel Regno Unito dovrebbe seguire le prossime dichiarazioni delle autorità di regolamentazione, dato che è improbabile che questo coprifuoco sia l'ultima parola su come verrà chiesto alle piattaforme di monitorare l'accesso anonimo.