Недавний выпуск подкаста Американского института предпринимательства (AEI) ставит острый вопрос: можем ли мы подтвердить возраст, не отказываясь от своей приватности? Ведущий Шейн вместе со Скоттом Вином, Гарри Оппенгеймером и Полом Лекасом обсуждают международные законы о проверке возраста, проблемы кибербезопасности и связанные с ними темы. Опубликованное резюме краткое, поэтому в этом посте не делается попытка передать, что сказал каждый гость. Вместо этого он использует вопрос выпуска как отправную точку для объяснения основных подходов к проверке возраста и приватности, а также того, что читатели могут с этим сделать.

Почему проверка возраста — это проблема приватности

Законы об ограничении доступа по возрасту задают простой вопрос: достаточно ли стар этот посетитель? Однако надёжный ответ на него обычно означает сбор чего-то чувствительного. Флажок «Мне больше 18» легко обойти, поэтому законодатели во многих местах хотят более сильных доказательств. Такими доказательствами могут быть государственное удостоверение личности, сканирование лица или данные из другого доверенного источника.

Каждый вариант создаёт компромисс. Чем больше сервис уверен в вашем возрасте, тем больше он, как правило, узнаёт о вас. А как только документы, удостоверяющие личность, или биометрические данные собраны, они становятся чем-то, что можно хранить, утечь или использовать неправомерно. В этом и заключается проблема кибербезопасности, лежащая в основе этих дебатов.

Сравнение трёх подходов

Единого стандарта того, как проверять возраст онлайн, не существует. Наиболее часто обсуждаемые методы различаются тем, сколько информации они раскрывают.

Загрузка удостоверения личности. Пользователь отправляет фотографию водительских прав или паспорта, иногда вместе с селфи. Это просто реализовать сайту, но такой подход концентрирует особо чувствительные документы у того, кто их обрабатывает. Пользователи должны доверять как сайту, так и любому подрядчику, которого он использует для обработки и удаления этих данных.

Токены третьих сторон. Отдельный поставщик один раз подтверждает ваш возраст, а затем выдаёт токен или учётные данные, которые сайты могут принять. Сайт узнаёт только то, что вы прошли проверку. Риск смещается к эмитенту токена, который может знать о вас много, и к тому, насколько хорошо система предотвращает отслеживание между сайтами.

Доказательства с нулевым разглашением. Эта криптографическая техника позволяет вам доказать утверждение (например, «мне больше 18»), не раскрывая исходные данные, такие как ваша дата рождения или имя. Теоретически это обеспечивает самую сильную приватность. На практике это зависит от выдачи доверенных учётных данных в первую очередь и от широкого внедрения сайтами и устройствами.

Ни один из этих подходов не идеален. Дружественные к приватности решения, как правило, сложнее внедрять, а простые во внедрении решения, как правило, собирают больше данных.

Законы множатся, а ответственность оспаривается

Политическая картина меняется быстро. В Соединённых Штатах распространение законов штатов было значительным: наш материал о 27 штатах, принявших законы о проверке возраста, показывает, насколько широко распространилась эта тенденция и как некоторые создатели контента оказывают сопротивление. Во Флориде сайты для взрослых обязаны проверять посетителей в соответствии с HB 3, и мы объяснили, как закон Флориды о проверке возраста трактует использование VPN.

На международном уровне ЕС также рассматривает этот вопрос. Европейская комиссия, как сообщается, готовит EU Kids Act, который может принудить к проверке возраста в онлайн-играх. Между тем, кто несёт ответственность за эти проверки, само по себе является предметом споров: Apple и Google, как сообщается, лоббировали исключение ответственности из законопроектов о проверке возраста. То, на кого ляжет ответственность, определит, какой технический подход выберут компании.

Акцент выпуска AEI на международных законах соответствует этой картине. Разные юрисдикции прибегают к разным инструментам, и результаты для приватности во многом зависят от деталей.

Что это значит для вас

Для большинства людей практический эффект заключается в большем количестве запросов на подтверждение возраста и большей неопределённости относительно того, что происходит с предоставленными вами данными. Стоит иметь в виду несколько моментов:

  • Спрашивайте, что собирается и хранится. Ищите заявления о том, удаляются ли изображения удостоверений или сканы лица после проверки.
  • Предпочитайте методы, которые раскрывают меньше. Если сервис предлагает выбор, вариант, подтверждающий только «старше 18», как правило, предпочтительнее того, который хранит полный документ.
  • Ожидайте, что VPN будут частью разговора. Законы об ограничении доступа по возрасту привязаны к местоположению, поэтому использование VPN может с ними взаимодействовать. VPN меняет ваше видимое местоположение, но не меняет юридические обязательства сайта, и правила различаются в зависимости от юрисдикции. Проверяйте конкретный закон, применимый к вам, вместо того чтобы делать предположения.
  • Остерегайтесь похожих проверок. Поддельные страницы проверки могут имитировать настоящие, чтобы собирать документы. Убедитесь, что вы попали на сайт по ссылке, которой доверяете.

Выводы

Обсуждение в AEI задаёт правильный вопрос, и честный ответ таков: всё зависит от дизайна. Проверка возраста и приватность могут сосуществовать только в том случае, если системы минимизируют собираемые данные, ограничивают хранение и избегают отслеживания пользователей между сайтами. Пока такие решения не станут обычным делом, относитесь к каждому запросу удостоверения личности или биометрии как к решению, над которым стоит приостановиться.

Чтобы защитить себя: делитесь минимумом необходимого, используйте надёжные и уникальные пароли для любых аккаунтов, созданных во время проверки, и следите за тем, как развиваются законы в вашем регионе. Осведомлённость — лучшая защита, пока правила и технологии продолжают устаканиваться.