Australijski Komisarz ds. bezpieczeństwa w sieci chce, aby platformy blokowały VPN-y

Dokumenty uzyskane przez The Guardian na mocy przepisów o dostępie do informacji publicznej ujawniły, że australijski Komisarz ds. bezpieczeństwa w sieci (eSafety) oczekuje od dostawców usług aktywnego blokowania VPN-ów i innych obejść, które umożliwiają użytkownikom omijanie ograniczeń wiekowych i zakazów dotyczących mediów społecznościowych. Zgodnie z dokumentami „dostawcy usług muszą podejmować uzasadnione kroki, aby zapobiegać obejściom takim jak VPN-y, więc eSafety będzie to sprawdzać przy ocenie zgodności z kodeksami”.

Mówiąc wprost, organ regulacyjny nie tylko prosi platformy o weryfikację wieku przy rejestracji. Chce, aby firmy wykrywały i unieszkodliwiały narzędzia techniczne, przede wszystkim VPN-y, które umożliwiają wyglądanie na logującego się z innego miejsca lub jako zupełnie inna osoba. To jak dotąd najwyraźniejszy sygnał, że szersze działania Australii w zakresie weryfikacji wieku, którym przyglądaliśmy się w kontekście australijskiego prawa o weryfikacji wieku, rozszerzają się na narzędzia używane do ich omijania.

Dlaczego to podejście nie wytrzymuje krytyki

Podstawowy problem ma charakter techniczny, nie polityczny. VPN-y działają, szyfrując ruch użytkownika i kierując go przez serwer w innym miejscu, co sprawia, że połączenie wygląda, jakby pochodziło z innej lokalizacji. Z tej samej podstawowej funkcji codziennie korzystają miliony ludzi w całkowicie uzasadnionych celach: zdalnego dostępu do służbowego komputera, bezpiecznej bankowości na publicznym Wi-Fi czy po prostu zachowania prywatności historii przeglądania przed dostawcą internetu.

Nie ma niezawodnego sposobu, aby platforma odróżniła połączenie VPN używane do ominięcia weryfikacji wieku od połączenia VPN pracownika uzyskującego dostęp do sieci firmowej lub chroniącego swoje dane użytkownika dbającego o prywatność. Blokowanie ruchu VPN na szeroką skalę oznacza zablokowanie ogromnej liczby zwykłych, zgodnych z prawem działań razem z wąskim zachowaniem, które organy regulacyjne faktycznie próbują powstrzymać. To ta sama bariera technologiczna, na którą serwisy streamingowe wpadły dekadę temu, próbując zwalczać obejścia geoblokowania: dostawcy VPN dostosowują się szybciej, niż można tworzyć listy blokowanych adresów, a ten wyścig zbrojeń rzadko faworyzuje stronę usiłującą zablokować dostęp.

Istnieje też problem skali. Komercyjni dostawcy VPN obsługują ogromne, stale zmieniające się pule adresów IP właśnie po to, by wyprzedzać detekcję. Nawet dobrze wyposażone platformy z dedykowanymi zespołami przeciwdziałania nadużyciom miały w przeszłości trudności z dotrzymaniem im kroku. Oczekiwanie od każdego serwisu społecznościowego i dostawcy treści dla dorosłych w Australii utrzymywania takiego poziomu infrastruktury detekcyjnej w nieskończoność jest wygórowanym żądaniem, które grozi skłanianiem mniejszych platform do stosowania nieprecyzyjnych, zbyt szerokich środków blokowania, które dotykają znacznie więcej niewinnych użytkowników niż zamierzonych celów.

Niewygodny kompromis dotyczący prywatności

Poza przeszkodami technicznymi istnieje wymiar prywatności, który zasługuje na większą uwagę, niż dotychczas otrzymuje. Żądanie od platform wykrywania użycia VPN oznacza wymaganie od nich aktywnego monitorowania i oznaczania kategorii ruchu, na której wiele osób polega specjalnie w celu ochrony swojej prywatności. Tworzy to niewygodną strukturę zachęt: im skuteczniejsza staje się platforma w identyfikowaniu połączeń VPN, tym bardziej staje się zdolna do śledzenia i profilowania użytkowników, którzy mają pełne prawo przeglądać internet prywatnie.

Australijczycy mieli w ostatnich latach uzasadnione powody, by obawiać się, ile danych osobowych firmy gromadzą i jak dobrze je chronią. Incydenty takie jak groźba hakera Origin Energy dotycząca wycieku milionów plików klientów przypominają, że im więcej danych organizacja przechowuje o swoich użytkownikach, w tym sygnały behawioralne takie jak wzorce użycia VPN, tym większym staje się celem, jeśli te dane kiedykolwiek zostaną naruszone lub nadużyte. Polityka, która popycha platformy do budowy bardziej zaawansowanych systemów śledzenia użytkowników w imię bezpieczeństwa dzieci, może ostatecznie stworzyć nowe zagrożenia dla prywatności, które przetrwają pierwotny cel regulacyjny.

Co to oznacza dla Ciebie

Jeśli jesteś użytkownikiem internetu w Australii, ten rozwój sytuacji nie oznacza, że VPN-y zaraz znikną lub staną się nielegalne z dnia na dzień. VPN-y pozostają legalne w Australii i są powszechnie używane do uzasadnionych celów bezpieczeństwa i prywatności. Oznacza to natomiast, że niektóre platformy mogą zacząć eksperymentować z bardziej agresywnym wykrywaniem i blokowaniem ruchu VPN, co może okazjonalnie powodować zakłócenia nawet dla użytkowników nie zainteresowanych omijaniem weryfikacji wieku. Warto wiedzieć, jak Twój dostawca VPN radzi sobie z przeciwdziałaniem detekcji, i mieć świadomość, że zmiany serwerów lub zrywanie połączeń na niektórych stronach może stać się częstsze, gdy platformy będą dostosowywać się do presji regulacyjnej.

To także dobry moment, aby zwrócić uwagę na to, jak systemy weryfikacji wieku i tożsamości są wdrażane na stronach, z których korzystasz. Im bardziej platformy polegają na inwazyjnych metodach detekcji, aby zadowolić organy regulacyjne, tym więcej danych osobowych mogą ostatecznie gromadzić, czy to przez odciski palców urządzeń, historię adresów IP, czy analizę behawioralną. Czytanie polityk prywatności i selektywne powierzanie weryfikacji tożsamości platformom to rozsądne, niewymagające dużego wysiłku zabezpieczenie.

Kluczowe wnioski

  • Dokumenty FOI Komisarza ds. bezpieczeństwa w sieci wykazują wyraźne oczekiwanie, że platformy będą blokować obejścia VPN, a nie tylko weryfikować wiek przy rejestracji.
  • Technicznie nie ma niezawodnego sposobu na oddzielenie uzasadnionego użycia VPN od omijania weryfikacji wieku, co oznacza, że szerokie blokowanie grozi dotknięciem niewinnych użytkowników.
  • Budowa infrastruktury do wykrywania VPN-ów może popchnąć platformy w stronę bardziej inwazyjnego śledzenia użytkowników, tworząc własne kompromisy dotyczące prywatności.
  • Australijczycy powinni być na bieżąco informowani o tym, jak witryny, z których korzystają, podchodzą do weryfikacji wieku, i zachować ostrożność wobec danych osobowych gromadzonych przez te systemy.

Debata na temat australijskiej rozprawy z VPN-ami jest w rzeczywistości debatą o tym, czy narzędzia chroniące prywatność powinny być traktowane jako luki do zamknięcia, czy też jako uzasadnione zabezpieczenia, które należy zachować. W miarę rozwoju tej polityki to napięcie nie zniknie.