Dlaczego weryfikacja wieku nie działa zgodnie z planem

Nowe brytyjskie badania wykazały, że 39% dzieci w wieku od 11 do 17 lat skutecznie ominęło internetową weryfikację wieku, mimo że tamtejsza Ustawa o bezpieczeństwie online wymaga od platform weryfikowania wieku użytkowników przed udzieleniem dostępu do określonych treści. To odkrycie rodzi niewygodne pytania o to, czy obecna fala technologii weryfikacji wieku faktycznie chroni nieletnich, czy raczej stwarza fałszywe poczucie bezpieczeństwa u regulatorów, rodziców i samych platform.

Tym, co czyni te badania szczególnie godnymi uwagi, nie jest jedynie liczba z nagłówka, ale metoda. Zgodnie z badaniem większość dzieci nie potrzebowała zaawansowanych narzędzi ani wiedzy technicznej, aby obejść weryfikację wieku. Po prostu kłamały. Podanie fałszywej daty urodzenia, takiej, która wskazuje, że mają 18 lub więcej lat, było zdecydowanie najczęstszym obejściem. Żadnego hakowania, żadnego skomplikowanego spoofingu — wystarczyło kilka stuknięć w klawisze.

Sieci VPN odgrywają mniejszą rolę, niż mogłoby się wydawać

Biorąc pod uwagę trwającą dyskusję na temat VPN-ów i przepisów dotyczących weryfikacji wieku—zwłaszcza odkąd kilka stanów USA, a teraz także Wielka Brytania, naciska na platformy, aby weryfikowały wiek użytkowników przed umożliwieniem dostępu do treści dla dorosłych lub niektórych funkcji mediów społecznościowych—łatwo byłoby przypuszczać, że VPN-y są głównym narzędziem, za pomocą którego dzieci prześlizgują się przez te bariery. Badania sugerują co innego.

VPN-y rzeczywiście odegrały pewną rolę u części dzieci w badaniu, ale została ona określona jako ograniczona, a nie dominująca. Ma to znaczenie, ponieważ znaczna część debaty publicznej na temat przepisów o weryfikacji wieku koncentrowała się mocno na korzystaniu z VPN-ów, a ustawodawcy i platformy traktują ruch VPN jako sygnał ostrzegawczy potencjalnego obchodzenia zabezpieczeń. Rzeczywistość wydaje się znacznie prostsza: większość dzieci nie przekierowuje swojego ruchu przez serwer w innym kraju. Po prostu wpisują inny rok urodzenia.

Ta różnica ma znaczenie dla decydentów. Jeśli główną metodą omijania jest podawanie fałszywych informacji, a nie techniczne obchodzenie systemu, to przeznaczanie większych zasobów na wykrywanie ruchu VPN może rozwiązać tylko niewielki wycinek rzeczywistego problemu. Większym wyzwaniem jest to, że systemy weryfikacji wieku oparte na samodeklaracji—zwykłym zapytaniu kogoś o wiek—są z natury łatwe do pokonania dla każdego, kto jest zmotywowany do kłamstwa, niezależnie od wieku.

Kompromis prywatności związany z weryfikacją wieku

Dążenie do wzmocnienia weryfikacji wieku nie ogranicza się do prostych pól z datą urodzenia. W odpowiedzi na przepisy takie jak Ustawa o bezpieczeństwie online wiele platform zaczęło badać bardziej inwazyjne metody weryfikacji, w tym przesyłanie dokumentów, szacowanie wieku na podstawie twarzy i kontrole tożsamości przez strony trzecie. Takie metody są trudniejsze do oszukania niż rozwijane menu, ale wymagają również gromadzenia i przetwarzania wrażliwych danych osobowych na dużą skalę.

Ten kompromis zasługuje na więcej uwagi, niż zwykle otrzymuje. Za każdym razem, gdy platforma prosi użytkownika—dziecko czy dorosłego—o przesłanie dowodu tożsamości ze zdjęciem lub poddanie się biometrycznemu szacowaniu wieku, tworzy nowy zbiór wrażliwych danych, który musi być przechowywany, zabezpieczany i ostatecznie usunięty. Historia pokazuje, że skoncentrowane zasoby danych osobowych są atrakcyjnymi celami dla atakujących. Niedawne naruszenie danych Amazon One Medical przez ShinyHunters przypomina, że nawet dobrze zabezpieczone organizacje przetwarzające wrażliwe dane osobowe mogą stać się celem kradzieży danych na dużą skalę. Systemy weryfikacji wieku, jeśli nie zostaną starannie zaprojektowane i zabezpieczone, mogą stać się kolejną kategorią atrakcyjnych celów dla tego rodzaju naruszeń.

Co to oznacza dla Ciebie

Jeśli jesteś rodzicem, te badania są użytecznym sprawdzeniem rzeczywistości. Ustawa o bezpieczeństwie online i podobne regulacje miały na celu zwiększenie trudności, z jaką nieletni uzyskują dostęp do treści objętych ograniczeniami wiekowymi, ale utrudnienie to nie to samo co mur. 39-procentowy wskaźnik obejść sugeruje, że same nakazy prawne nie zastąpią ciągłych rozmów z dziećmi na temat tego, do czego uzyskują dostęp online i dlaczego niektóre platformy w ogóle mają limity wiekowe.

Jeśli jesteś użytkownikiem platformy w dowolnym wieku, warto zrozumieć, że silniejsza weryfikacja wieku często oznacza przekazywanie większej ilości danych osobowych, a nie mniejszej. Przed przesłaniem dowodu tożsamości lub poddaniem się skanowi twarzy na potrzeby strony internetowej, zastanów się, czy platforma posiada jasną, opublikowaną politykę przechowywania i usuwania danych. Jeśli nie, potraktuj to jako ostrzeżenie, a nie formalność.

A jeśli obawiasz się, w jaki sposób podczas tych procesów gromadzone są dane o Twojej własnej aktywności przeglądania, korzystanie z narzędzi chroniących prywatność, takich jak renomowane VPN-y, pozostaje uzasadnionym sposobem na ograniczenie śledzenia i ekspozycji danych w celu zgodnego z prawem, dorosłego użytkowania—zupełnie oddzielnie od kwestii obchodzenia weryfikacji wieku. Badania te oddzielają kłamstwo na temat wieku (problem związany z polityką i egzekwowaniem) od technicznego obchodzenia zabezpieczeń (znacznie mniejszy wycinek obrazu), a to rozróżnienie warto zapamiętać następnym razem, gdy nagłówek połączy te dwie rzeczy.

Kluczowe wnioski

  • 39% ankietowanych dzieci w Wielkiej Brytanii w wieku 11–17 lat zgłasza obchodzenie internetowych kontroli wieku, przede wszystkim poprzez podawanie fałszywych dat urodzenia, a nie techniczne obejścia.
  • VPN-y były używane przez niektóre dzieci, ale odegrały ograniczoną rolę w porównaniu z prostym podaniem fałszywych informacji.
  • Silniejsze metody weryfikacji wieku, takie jak przesyłanie dokumentów czy kontrole biometryczne, przesuwają ryzyko z kontroli dostępu na bezpieczeństwo danych, ponieważ wymagają one gromadzenia wrażliwych danych osobowych.
  • Rodzice powinni traktować Ustawę o bezpieczeństwie online jako jedną warstwę ochrony, a nie substytut bezpośrednich rozmów z dziećmi na temat treści online.
  • Każdy, kto przekazuje dokument tożsamości lub dane biometryczne w celu weryfikacji wieku, powinien najpierw sprawdzić politykę przechowywania danych danej platformy.