Como funciona o sistema de verificação de idade do Bluesky e porque falha
Bluesky, a rede social descentralizada construída sobre o Protocolo AT, implementou medidas de verificação de idade para cumprir regulamentações que exigem que as plataformas confirmem que os utilizadores têm idade suficiente para ver determinado conteúdo. Na prática, o sistema depende fortemente de sinais geográficos: se o Bluesky detetar que um utilizador está a ligar-se a partir de uma região com leis de verificação de idade, como o Reino Unido, solicita uma verificação de idade antes de permitir o acesso total.
Um guia técnico amplamente partilhado, publicado como um gist do GitHub, mostra a facilidade com que essa verificação pode ser contornada. De acordo com o documento e relatos que circulam no próprio Bluesky, os utilizadores encontraram várias formas de contornar o requisito. Ligar-se através de uma VPN para simular que se está a navegar de outro país alegadamente contorna totalmente a verificação, uma vez que o bloqueio de idade da plataforma está ligado à localização, e não a qualquer marcador de identidade persistente. Outros apontaram que um simples filtro de bloqueador de anúncios no navegador pode suprimir o pedido de verificação, e foi criada uma extensão de navegador dedicada especificamente para desativar as restrições geográficas e de moderação do Bluesky. Front-ends alternativos para o Protocolo AT, que permitem ver conteúdo do Bluesky sem passar pela aplicação oficial, evitam completamente o bloqueio de idade.
Ou seja, o mecanismo destinado a manter os menores afastados de determinado conteúdo pode ser derrotado com ferramentas que não requerem competências técnicas especiais: uma subscrição de VPN, uma extensão de navegador ou um website completamente diferente.
O que esta forma de contornar revela sobre os riscos de privacidade da verificação de idade
O exemplo do Bluesky evidencia um padrão que tem surgido repetidamente sempre que as obrigações de verificação de idade são implementadas. Os sistemas concebidos para impedir o acesso de menores a determinados conteúdos tendem a basear-se em sinais, como a localização do IP ou datas de nascimento autodeclaradas, que são triviais de falsificar. Entretanto, os utilizadores que cumprem, fornecendo documentos, carregando selfies ou ligando serviços de verificação de terceiros, são aqueles que assumem uma nova exposição de privacidade.
É esta a troca desconfortável no centro da maioria das implementações de verificação de idade: as pessoas mais propensas a serem menores, ou mais motivadas para evitar o escrutínio, são também as mais tecnicamente inclinadas para encontrar uma forma de contornar. As pessoas que seguem as regras e cumprem honestamente são as que entregam dados sensíveis a fornecedores de verificação terceiros, dados que depois têm de ser armazenados, processados e protegidos algures. Qualquer elo fraco nessa cadeia, seja uma base de dados de fornecedor mal protegida ou uma ferramenta interna comprometida, torna-se um novo alvo. A lição mais ampla não é exclusiva do Bluesky. Ecoa preocupações levantadas em toda a indústria de software sobre a rapidez com que um único ponto de comprometimento se pode transformar numa exposição muito maior, semelhante a como uma ferramenta de desenvolvimento comprometida levou a uma violação em grande escala de repositórios no GitHub. Quando a infraestrutura de verificação é adicionada sobre plataformas existentes, introduz uma nova superfície de ataque sem necessariamente atingir o objetivo declarado.
Contexto regulatório: Lei de Segurança Online do Reino Unido e os mandatos de verificação de idade do RSD da UE
O bloqueio de idade do Bluesky não surgiu no vácuo. A Lei de Segurança Online do Reino Unido exige que as plataformas que alojam certas categorias de conteúdo implementem medidas de "verificação de idade" para utilizadores do Reino Unido, e o Regulamento dos Serviços Digitais da UE empurra numa direção semelhante para plataformas que operam em todo o bloco. Ambos os quadros colocam o ónus do cumprimento nas plataformas, empurrando-as para a deteção geográfica, datas de nascimento autodeclaradas ou fornecedores de verificação terceiros como mecanismos práticos de aplicação.
O problema é que os legisladores que escrevem estes mandatos estão essencialmente a especificar um resultado — manter os menores afastados de determinado conteúdo — sem ditar uma forma tecnicamente robusta de o alcançar. Essa lacuna deixa as plataformas a implementar o que for mais rápido e barato, o que tende a significar verificações baseadas em geolocalização que uma VPN derrota em segundos. Os reguladores podem eventualmente responder apertando ainda mais os requisitos, potencialmente empurrando para a verificação obrigatória por documento ou biometria para todos os utilizadores, independentemente da localização. Isso aumentaria consideravelmente os riscos, trocando um sistema facilmente contornável por um que exige dados pessoais muito mais sensíveis de todos, incluindo adultos que não têm qualquer interesse em contornar nada.
O que os utilizadores preocupados com a privacidade devem saber antes de verificar a idade online
Se lhe for pedido que verifique a sua idade no Bluesky ou em qualquer outra plataforma, vale a pena fazer uma pausa antes de carregar um documento de identificação ou fazer um scan facial. Pergunte que dados estão realmente a ser recolhidos, quem os processa e durante quanto tempo são retidos. Os fornecedores de verificação de idade terceiros não estão imunes a violações, e uma vez submetido um documento ou scan biométrico, geralmente não é possível recuperá-lo.
Para os leitores que pretendem minimizar a sua exposição, usar uma VPN respeitável para controlar a localização a partir da qual a plataforma o vê ligar-se é uma das ferramentas de privacidade mais simples disponíveis, embora valha a pena lembrar que as VPNs são uma medida de privacidade, não uma lacuna em que se possa confiar indefinidamente à medida que a aplicação evolui. Combinar uma VPN com atenção cuidadosa às permissões e dados que uma aplicação realmente exige continua a ser uma prática de base sólida, independentemente do aspeto atual do bloqueio de idade de uma plataforma.
O que isto significa para si
O bypass da verificação de idade do Bluesky é um lembrete de que os sistemas atuais de verificação de idade são muitas vezes mais teatro do que segurança. Podem ser contornados por qualquer pessoa suficientemente motivada para procurar um guia, enquanto as pessoas que cumprem honestamente podem estar a expor mais dados pessoais do que se apercebem. À medida que a Lei de Segurança Online do Reino Unido e o RSD da UE empurram mais plataformas para estes sistemas, é de esperar que a dinâmica de gato e rato entre reguladores e formas de contornar continue.
Antes de entregar um scan de identificação ou dados biométricos para satisfazer uma verificação de idade, tire um momento para pesquisar o fornecedor de verificação, perceber o que é realmente armazenado e considerar que ferramentas, incluindo VPNs e definições de navegador focadas na privacidade, podem ajudar a limitar a exposição desnecessária de dados. Manter-se informado sobre como estes sistemas realmente funcionam, em vez de assumir que funcionam como anunciado, é o passo mais prático que qualquer utilizador pode tomar neste momento.
