EFF: Zero-Kennisbewijzen Zullen Leeftijdsverificatie Niet Oplossen

Een Cryptografische Oplossing voor een Juridisch Probleem

Leeftijdsverificatiewetten hebben zich snel verspreid over de Verenigde Staten, waarbij ruwweg de helft van alle staten nu een vorm van online leeftijdscontrolevereiste handhaaft. Terwijl wetgevers platforms aansporen om te bevestigen hoe oud hun gebruikers zijn voordat ze toegang verlenen tot content, heeft een technische oplossing traction gekregen onder beleidsmakers en industriële groepen: zero-knowledge proofs, oftewel ZKP's.

De Electronic Frontier Foundation (EFF) heeft een gedetailleerde weerlegging gepubliceerd van het groeiende verhaal dat ZKP's de privacyproblemen oplossen die ingebakken zitten in leeftijdsverificatiemandaten. Volgens de EFF wordt de technologie oversold als een wondermiddel terwijl het eigenlijk slechts een deel van de privacyvergelijking aanpakt, en in sommige gevallen nieuwe trackingrisico's introduceert die voorstanders zelden noemen.

Hoe Zero-Knowledge Proofs Echt Werken

Zero-knowledge proofs zijn een cryptografische methode waarmee iemand een feit kan bewijzen, zoals ouder dan 18 zijn, zonder de onderliggende gegevens te onthullen die dat bewijzen, zoals een geboortedatum of een overheids-ID-nummer. In theorie zou een gebruiker een digitaal token kunnen krijgen dat instaat voor hun leeftijd, en dat token zou aan een website kunnen worden gepresenteerd zonder andere persoonlijke informatie bloot te geven.

Dit klinkt als een betekenisvolle privacy-upgrade ten opzichte van huidige leeftijdsverificatiemethoden, waarvan er veel vereisen dat je een rijbewijs uploadt of een gezicht scant. De EFF erkent dat ZKP's inderdaad de hoeveelheid expliciete persoonlijke gegevens kunnen verminderen die tijdens een enkele verificatiegebeurtenis worden gedeeld. Het probleem, volgens de organisatie, zit in wat er gebeurt nadat dat token is uitgegeven en herhaaldelijk wordt gebruikt.

De kernkritiek van de EFF richt zich op de herbruikbaarheid van deze tokens. Als een gebruiker elke keer inlogt op een platform met dezelfde ZKP-ondersteunde credential, kan dat token een consistente, traceerbare link terug naar het individu creëren, zelfs als het token zelf geen naam of geboortedatum bevat. Een persistent identificatiemiddel dat een gebruiker volgt over sessies en diensten heen ondermijnt de anonimiteit die ZKP's zouden moeten bieden. Met andere woorden, de cryptografie kan verbergen wat je bewijst, maar het verbergt niet noodzakelijkerwijs wie het bewijs levert, vooral niet na verloop van tijd en over meerdere sites heen.

Dit onderscheid is belangrijk omdat veel politieke en industriële berichtgeving rond ZKP's ze behandelt als een automatische privacygarantie. De analyse van de EFF zet zich af tegen die framing en stelt dat de technologie moet worden geëvalueerd in de context van het hele verificatiesysteem, inclusief hoe tokens worden uitgegeven, hoe vaak ze worden hergebruikt, en wie de infrastructuur erachter controleert.

Het Grotere Privacyprobleem van Leeftijdsverificatie

De tegenreactie van de EFF past in een breder patroon van scepsis van privacyonderzoekers en digitale-rechtenactivisten over leeftijdsverificatiemandaten in het algemeen. Critici hebben lang betoogd dat deze wetten, ongeacht de technische methode die wordt gebruikt om ze te handhaven, nieuwe categorieën van gevoelige gegevensverzameling creëren, of het nu gaat om ID-scans, biometrische schattingen, of gedragstracking gekoppeld aan leeftijdsassurance.

Deze scepsis beperkt zich niet tot de EFF. Zoals behandeld in onze berichtgeving over hoe een EDRi-adviseur zegt dat privacyclaims over leeftijdsverificatie geen stand houden, hebben Europese privacy-experts soortgelijke zorgen geuit dat de privacybescherming die leeftijdsverificatieleveranciers beloven vaak geen stand houdt onder nauwkeurige bestudering. Industrieel verzet komt ook uit onverwachte hoek: in Pornhub's brief aan wetgevers waarin ID-leeftijdscontroles worden bekritiseerd, betoogde het bedrijf dat de huidige verificatiemethoden die in staatswetgeving worden opgenomen echte veiligheids- en privacyrisico's creëren voor gebruikers, ongeacht de onderliggende technologie.

Wat deze kritieken verbindt, is een gedeelde zorg dat leeftijdsverificatie, hoe het ook wordt geïmplementeerd, geneigd is het ene privacyrisico in te ruilen voor het andere. Het uploaden van een ID-kaart creëert een datalekrisico. Biometrische schatting creëert een surveillance-risico. En nu, volgens de EFF, kan zelfs privacybevorderende cryptografie zoals ZKP's een trackingrisico creëren als het wordt ingezet zonder zorgvuldige aandacht voor tokenhergebruik en uitgeverscontrole.

Wat Dit Voor Jou Betekent

Als je in een staat woont met een leeftijdsverificatiewet, kun je systemen op basis van ZKP's tegenkomen die worden aangeprezen als een privacyvriendelijk alternatief voor ID-uploads of gezichtsscans. Het is de moeite waard om te begrijpen dat deze framing slechts gedeeltelijk accuraat is. De technologie kan echt de hoeveelheid ruwe persoonlijke gegevens verminderen die in een enkele transactie worden blootgesteld, maar het voorkomt niet automatisch dat platforms of uitgevers een profiel van je activiteit opbouwen na verloop van tijd als dezelfde credential wordt hergebruikt over sessies heen.

Voordat je een leeftijdsverificatiesysteem vertrouwt, of het nu ZKP's gebruikt of een andere methode, kijk dan naar informatie over hoe de credential wordt uitgegeven, of deze verloopt of roteert, en wie de verificatie-infrastructuur controleert. Een systeem dat voor elk gebruik verse, niet-koppelbare tokens opnieuw uitgeeft, biedt betekenend sterkere privacy dan een systeem dat je één herbruikbare credential geeft.

Conclusies

Zero-knowledge proofs vertegenwoordigen een echte cryptografische verbetering ten opzichte van sommige bestaande leeftijdsverificatiemethoden, maar de analyse van de EFF maakt duidelijk dat ze op zichzelf geen volledige privacyoplossing zijn. Het onderliggende wettelijke mandaat om leeftijd te verifiëren creëert nog steeds datacollectiepunten die er voorheen niet waren, en de specifieke implementatiedetails van elk ZKP-systeem bepalen of het je identiteit daadwerkelijk beschermt of slechts verhult. Naarmate meer staten leeftijdsverificatievereisten aannemen, moeten lezers geïnformeerd blijven over hoe deze systemen in de praktijk werken, platforms directe vragen stellen over tokenhergebruik en gegevensbewaring, en marketingclaims over privacybevorderende technologie met dezelfde nauwkeurigheid behandelen als elke andere gegevensverzamelingspraktijk.