EFF: 영지식 증명은 연령 확인 문제를 해결하지 못한다

법적 문제에 대한 암호학적 해결책

연령 확인 법안이 미국 전역에 빠르게 확산되면서, 현재 약 절반의 주에서 온라인 연령 확인 요건을 시행하고 있습니다. 법률 제정자들이 플랫폼에 콘텐츠 접근 허용 전에 사용자의 나이를 확인하도록 압박하면서, 정책 입안자와 업계 그룹 사이에서 영지식 증명(ZKP)이라는 기술적 해결책이 주목을 받고 있습니다.

전자프런티어재단(EFF)은 영지식 증명이 연령 확인 의무에 내재된 프라이버시 문제를 해결한다는 증가하는 서사에 대해 상세한 반박을 발표했습니다. EFF에 따르면, 이 기술은 실제로는 프라이버시 방정식의 일부만 해결하고, 경우에 따라 옹호자들이 거의 언급하지 않는 새로운 추적 위험을 도입하는데도 불구하고 만능 해결책으로 과장 판매되고 있습니다.

영지식 증명의 실제 작동 방식

영지식 증명은 생년월일이나 정부 발급 ID 번호와 같은 근본 데이터를 공개하지 않고 18세 이상임을 증명하는 등의 사실을 입증할 수 있게 해주는 암호학적 방법입니다. 이론적으로 사용자는 자신의 나이를 보증하는 디지털 토큰을 발급받을 수 있고, 이 토큰은 다른 개인 정보를 노출하지 않고 웹사이트에 제시될 수 있습니다.

이는 많은 경우 운전면허증 업로드나 얼굴 스캔을 요구하는 현재의 연령 확인 방법보다 의미 있는 프라이버시 업그레이드처럼 들립니다. EFF는 영지식 증명이 실제로 단일 확인 이벤트 중 공유되는 명시적 개인 데이터의 양을 줄일 수 있음을 인정합니다. 조직에 따르면 문제는 해당 토큰이 발급된 후 반복적으로 사용될 때 발생합니다.

EFF의 핵심 비판은 이러한 토큰의 재사용성에 집중되어 있습니다. 사용자가 매번 동일한 ZKP 기반 자격 증명으로 플랫폼에 로그인하면, 해당 토큰은 이름이나 생년월일을 포함하지 않더라도 개인에게 연결되는 일관되고 추적 가능한 링크를 만들 수 있습니다. 세션과 서비스를 따라다니는 영구 식별자는 ZKP가 제공하기로 되어 있는 익명성을 훼손합니다. 다시 말해, 암호화는 무엇을 증명하는지 숨길 수 있지만, 특히 시간이 지나고 여러 사이트를 걸쳐 누가 증명하는지까지 반드시 숨기는 것은 아닙니다.

이 구분이 중요한 이유는 ZKP에 대한 정치적·업계 메시지의 상당수가 이를 자동적인 프라이버시 보장으로 취급하기 때문입니다. EFF의 분석은 이러한 프레임에 반박하며, 기술이 토큰 발급 방식, 재사용 빈도, 그리고 그 뒤에 있는 인프라를 통제하는 주체를 포함한 전체 검증 시스템의 맥락에서 평가되어야 한다고 주장합니다.

연령 확인의 더 큰 프라이버시 문제

EFF의 반박은 연령 확인 의무 전반에 대한 프라이버시 연구자와 디지털 권리 옹호자들의 광범위한 회의론과 맥락을 같이합니다. 비평가들은 오랫동안 이러한 법안이 이를 집행하는 기술적 방법과 무관하게 ID 스캔, 생체 인식 추정, 연령 보증과 연계된 행동 추적 등 새로운 민감 데이터 수집 범주를 만든다고 주장해 왔습니다.

이러한 회의론은 EFF에만 국한되지 않습니다. EDRi 자문위원이 연령 확인 프라이버시 주장이 타당하지 않다고 밝힌 것에 대한 보도에서 다루었듯이, 유럽 프라이버시 전문가들도 연령 확인 업체들이 약속하는 프라이버시 보호가 면밀한 검토에서 종종 유지되지 않는다는 유사한 우려를 제기했습니다. 업계의 반발도 예상치 못한 방향에서 나왔습니다: ID 연령 확인을 비난하는 Pornhub의 의회 서한에서 이 회사는 주법에 포함되는 현재의 확인 방법이 근본 기술과 무관하게 사용자에게 실질적인 보안 및 프라이버시 위험을 만든다고 주장했습니다.

이러한 비판들을 연결하는 공통점은 연령 확인이 어떻게 구현되든 한 가지 프라이버시 위험을 다른 위험으로 맞바꾸는 경향이 있다는 공유된 우려입니다. ID 카드 업로드는 유출 위험을 만듭니다. 생체 인식 추정은 감시 위험을 만듭니다. 그리고 EFF에 따르면, ZKP와 같은 프라이버시 보호 암호화도 토큰 재사용과 발급자 통제에 세심한 주의를 기울이지 않고 배포된다면 추적 위험을 만들 수 있습니다.

이것이 당신에게 의미하는 바

연령 확인 법안이 있는 주에 거주한다면, ID 업로드나 얼굴 스캔의 프라이버시 친화적 대안으로 마케팅되는 ZKP 기반 시스템을 접할 수 있습니다. 이 프레임이 부분적으로만 정확하다는 것을 이해할 가치가 있습니다. 이 기술은 단일 거래에서 노출되는 원시 개인 데이터의 양을 진정으로 줄일 수 있지만, 동일한 자격 증명이 세션 간 재사용된다면 플랫폼이나 발급자가 시간이 지남에 따라 활동 프로필을 구축하는 것을 자동으로 막지는 못합니다.

ZKP를 사용하든 다른 방법을 사용하든 어떤 연령 확인 시스템을 신뢰하기 전에 자격 증명이 어떻게 발급되는지, 만료되거나 교체되는지, 그리고 확인 인프라를 누가 통제하는지에 대한 정보를 찾아보세요. 사용할 때마다 새롭고 연결되지 않는 토큰을 재발급하는 시스템은 단일 재사용 가능한 자격 증명을 제공하는 시스템보다 훨씬 강력한 프라이버시를 제공합니다.

핵심 요점

영지식 증명은 기존의 일부 연령 확인 방법에 비해 진정한 암호학적 개선을 나타내지만, EFF의 분석은 이것이 자체로 완전한 프라이버시 해결책이 아니라는 점을 분명히 합니다. 연령을 확인해야 한다는 근본적인 법적 의무는 이전에는 존재하지 않았던 데이터 수집 지점을 여전히 만들며, 특정 ZKP 시스템의 구체적인 구현 세부 사항이 실제로 신원을 보호하는지 아니면 단순히 가리는지만 결정합니다. 더 많은 주가 연령 확인 요건을 채택함에 따라, 독자들은 이러한 시스템이 실제로 어떻게 작동하는지 정보를 유지하고, 플랫폼에 토큰 재사용과 데이터 보존에 대해 직접 질문하며, 프라이버시 보호 기술에 대한 마케팅 주장을 다른 데이터 수집 관행에 적용하는 것과 동일한 비판적 시각으로 대해야 합니다.