Australias eSafety-kommissær vil at plattformer skal blokkere VPN-er

Dokumenter innhentet av The Guardian under offentlighetslovgivningen har avslørt at Australias eSafety-kommissær forventer at tjenesteleverandører aktivt blokkerer VPN-er og andre omgåelsesmetoder som lar brukere omgå aldersbegrenset innhold og sosiale medier-forbud. Ifølge dokumentene «må tjenesteleverandører ta rimelige skritt for å forhindre omgåelser som VPN-er, så eSafety vil se på dette når de vurderer overholdelse av retningslinjene.»

Enkelt sagt ber ikke regulatoren bare plattformer om å verifisere alder ved registrering. Den ønsker at selskaper oppdager og stenger de tekniske verktøyene, med VPN-er i spissen, som gjør det mulig å se ut som om du logger inn fra et annet sted, eller som en helt annen person. Dette er det klareste signalet hittil om at Australias bredere satsing på aldersverifisering, som vi har dekket i forbindelse med Australias aldersverifiseringslov, utvides til å rette seg mot verktøyene folk bruker for å omgå den.

Hvorfor denne tilnærmingen ikke holder

Kjerneproblemet er teknisk, ikke politisk. VPN-er fungerer ved å kryptere en brukers trafikk og rute den gjennom en server et annet sted, noe som får tilkoblingen til å se ut som om den kommer fra et annet sted. Det er den samme grunnleggende funksjonen som brukes av millioner av mennesker hver dag av helt legitime grunner: ekstern tilgang til en jobbdatamaskin, sikker bank på offentlig Wi-Fi, eller rett og slett å holde surfevaner private for en internettleverandør.

Det finnes ingen pålitelig måte for en plattform å skille en VPN-tilkobling som brukes til å omgå en alderssjekk fra en VPN-tilkobling som brukes av en ansatt som får tilgang til et bedriftsnettverk, eller en personvernbevisst bruker som beskytter dataene sine. Å blokkere VPN-trafikk bredt betyr å blokkere et stort spekter av vanlig, lovlig aktivitet sammen med den snevre atferden regulatorene faktisk prøver å stoppe. Dette er den samme tekniske veggen strømmetjenestene møtte for ti år siden da de prøvde å bekjempe geo-blokkeringsomgåelser: VPN-leverandører tilpasser seg raskere enn blokkeringslister kan bygges, og våpenkappløpet gir sjelden fordeler til parten som prøver å blokkere tilgang.

Det er også et skaleringsproblem. Kommersielle VPN-leverandører opererer enorme, stadig skiftende bassenger av IP-adresser nettopp for å holde seg foran deteksjon. Selv godt utstyrte plattformer med dedikerte anti-svindel-team har historisk slitt med å holde tritt. Å forvente at hvert sosiale medieselskap og vokseninnholdsleverandør i Australia opprettholder et slikt deteksjonsinfrastruktur på ubestemt tid, er en stor oppgave som risikerer å presse mindre plattformer mot grove, altfor brede blokkeringstiltak som fanger langt flere uskyldige brukere enn tilsiktede mål.

Personvernavveiningen ingen ba om

Utover de tekniske hindringene er det en personverndimensjon som fortjener mer oppmerksomhet enn den får. Å be plattformer om å oppdage VPN-bruk betyr å be dem aktivt overvåke og flagge en kategori trafikk som mange mennesker stoler på nettopp for å beskytte personvernet sitt. Det skaper en ubehagelig insentivstruktur: jo mer effektiv en plattform blir til å identifisere VPN-tilkoblinger, desto bedre blir den i stand til å spore og profilere brukere som har full juridisk rett til å surfe privat.

Australiere har hatt god grunn de siste årene til å være på vakt mot hvor mye personopplysninger selskaper samler inn og hvor godt de beskytter dem. Hendelser som Origin Energy-hackerens trussel om å lekke millioner av kundefiler er en påminnelse om at jo mer data en organisasjon har om brukerne sine, inkludert atferdssignaler som VPN-bruksmønstre, desto større mål blir den hvis dataene noen gang blir utsatt for brudd eller misbruk. En politikk som presser plattformer til å bygge mer sofistikerte brukersporingssystemer i barns sikkerhets navn, kan ende opp med å skape nye personvernrisikoer som varer lenger enn det opprinnelige politiske målet.

Hva dette betyr for deg

Hvis du er en australsk internettbruker, betyr ikke denne utviklingen at VPN-er er i ferd med å forsvinne eller bli ulovlige over natten. VPN-er forblir lovlige i Australia og brukes mye til legitime sikkerhets- og personvernformål. Det det betyr er at noen plattformer kan begynne å eksperimentere med mer aggressiv deteksjon og blokkering av VPN-trafikk, noe som av og til kan forårsake forstyrrelser selv for brukere som ikke har noen interesse av å omgå alderskontroller. Det er verdt å forstå hvordan VPN-leverandøren din håndterer deteksjonsmottiltak, og være klar over at serverbytte eller tilkoblingsfall på visse nettsteder kan bli vanligere etter hvert som plattformene tilpasser seg overholdelsespresset.

Det er også et godt tidspunkt å følge med på hvordan aldersverifiserings- og identitetskontrollsystemer implementeres på nettstedene du bruker. Jo mer plattformer støtter seg på invasive deteksjonsmetoder for å tilfredsstille regulatorer, desto mer personopplysninger kan de ende opp med å samle inn, enten det er enhetsfingeravtrykk, IP-historikk eller atferdsanalyse. Å lese personvernerklæringer og være selektiv med hvilke plattformer du stoler på med identitetsverifisering er en fornuftig, lavinnsats beskyttelse.

Hovedpunkter

  • eSafety-kommissærens FOI-dokumenter viser en klar forventning om at plattformer blokkerer VPN-omgåelser, ikke bare verifiserer alder ved registrering.
  • Teknisk sett finnes det ingen pålitelig måte å skille legitim VPN-bruk fra omgåelse av alderskontroll, noe som betyr at bred blokkering risikerer å fange uskyldige brukere.
  • Å bygge infrastruktur for VPN-deteksjon kan presse plattformer mot mer invasiv brukersporing og skape egne personvernavveininger.
  • Australiere bør holde seg informert om hvordan nettstedene de bruker håndterer aldersverifisering og være forsiktige med personopplysningene disse systemene samler inn.

Debatten om Australias VPN-nedslag er egentlig en debatt om hvorvidt personvernverktøy skal behandles som smutthull som skal tettes eller som legitime beskyttelsesmekanismer som skal bevares. Etter hvert som denne politikken utvikler seg, vil ikke den spenningen forsvinne.