Varför ålderskontroller inte fungerar som planerat

Ny brittisk forskning har funnit att 39 % av barn i åldrarna 11 till 17 framgångsrikt har kringgått ålderskontroller online, trots att landets Online Safety Act kräver att plattformar verifierar användares åldrar innan de ger åtkomst till visst innehåll. Resultatet väcker obekväma frågor om huruvida den nuvarande vågen av åldersverifieringsteknik faktiskt skyddar minderåriga, eller bara skapar en falsk känsla av trygghet för tillsynsmyndigheter, föräldrar och plattformar.

Det som gör denna forskning särskilt anmärkningsvärd är inte bara rubriksiffran. Det är metoden. Enligt studien behövde de flesta barn inga sofistikerade verktyg eller tekniskt kunnande för att komma runt ålderskontroller. De ljög helt enkelt. Att ange ett falskt födelsedatum, ett som får dem att verka vara 18 år eller äldre, var det i särklass vanligaste sättet att kringgå kontrollen. Ingen hackning, ingen avancerad spoofing, bara några tangenttryckningar.

VPN:er spelar en mindre roll än du kanske tror

Med tanke på den pågående diskussionen om VPN:er och åldersverifieringslagar, särskilt sedan flera amerikanska delstater och nu Storbritannien har pressat plattformar att verifiera användares ålder innan de tillåter tillgång till vuxeninnehåll eller vissa sociala medie-funktioner, vore det lätt att anta att VPN:er är det främsta verktyget barn använder för att slinka förbi dessa hinder. Forskningen pekar på något annat.

VPN:er spelade en roll för vissa barn i studien, men den beskrevs som begränsad snarare än dominerande. Detta är viktigt eftersom en stor del av den offentliga debatten kring åldersverifieringslagar har fokuserat kraftigt på VPN-användning, där lagstiftare och plattformar behandlar VPN-trafik som en varningssignal för potentiellt kringgående. Verkligheten på fältet ser mycket enklare ut: de flesta barn omdirigerar inte sin trafik via en server i ett annat land. De skriver bara in ett annat födelseår.

Denna åtskillnad är viktig för beslutsfattare. Om den primära kringgåendemetoden är självrapporterad falsk information snarare än teknisk kringgång, så kan ökade resurser för att upptäcka VPN-användning bara hantera en liten del av det verkliga problemet. Den större utmaningen är att åldersverifieringssystem som bygger på självdeklaration, att helt enkelt be någon att uppge sin ålder, är i sig lätta att besegra för alla som är motiverade att ljuga, oavsett ålder.

Integritetsavvägningen bakom åldersverifiering

Strävan efter att stärka åldersverifieringen har inte begränsats till enkla fält för födelsedatum. Som svar på lagar som Online Safety Act har många plattformar börjat utforska mer ingripande verifieringsmetoder, inklusive uppladdning av dokument, ansiktsbaserad åldersuppskattning och tredjepartsidentitetskontroller. Dessa metoder är svårare att lura än en rullgardinsmeny, men de kräver också insamling och behandling av känsliga personuppgifter i stor skala.

Denna avvägning förtjänar mer uppmärksamhet än den vanligtvis får. Varje gång en plattform ber en användare, barn eller vuxen, att ladda upp en fotolegitimation eller genomgå biometrisk åldersuppskattning, skapas en ny pool av känsliga data som måste lagras, säkras och så småningom raderas. Historien har visat att koncentrerade lager av personuppgifter är attraktiva mål för angripare. Det senaste ShinyHunters-intrånget som drabbade Amazon One Medical är en påminnelse om hur även välresursstarka organisationer som hanterar känsliga personjournaler kan bli mål för storskalig datastöld. System för åldersverifiering riskerar, om de inte byggs och säkras noggrant, att bli nästa kategori av honungsburkar för just denna typ av intrång.

Vad detta innebär för dig

Om du är förälder är denna forskning en nyttig verklighetskontroll. Online Safety Act och liknande bestämmelser utformades för att lägga till friktion i hur minderåriga får tillgång till åldersbegränsat innehåll, men friktion är inte samma sak som en mur. En kringgåendegrad på 39 % tyder på att juridiska krav ensamma inte kan ersätta kontinuerliga samtal med barn om vad de gör online och varför vissa plattformar har åldersgränser från första början.

Om du är plattformsanvändare i vilken ålder som helst är det värt att förstå att starkare åldersverifiering ofta innebär att lämna ifrån sig mer personlig information, inte mindre. Innan du laddar upp en legitimation eller genomgår en ansiktsskanning för en webbplats, överväg om plattformen har en tydlig, publicerad policy för datalagring och radering. Om den inte har det, behandla det som en varningssignal, inte en formalitet.

Och om du är orolig över hur din egen webbinformation samlas in under dessa processer, är användning av integritetsfokuserade verktyg som ansedda VPN:er fortfarande ett legitimt sätt att begränsa spårning och dataexponering för laglig, vuxen användning, helt åtskilt från frågor om kringgående av åldersverifiering. Denna forskning skiljer på att ljuga om ålder (ett policy- och verkställighetsproblem) och tekniskt kringgående (en mycket mindre del av bilden), och den distinktionen är värd att komma ihåg nästa gång en rubrik blandar ihop de två.

Viktiga slutsatser

  • 39 % av tillfrågade brittiska barn i åldern 11–17 uppger att de kringgår ålderskontroller online, främst genom att ange falska födelsedatum snarare än att använda tekniska lösningar.
  • VPN:er användes av vissa barn men spelade en begränsad roll jämfört med enkel självrapporterad falsk information.
  • Starkare åldersverifieringsmetoder, som identitetsuppladdning eller biometriska kontroller, flyttar risken från åtkomstkontroll till datasäkerhet, eftersom de kräver insamling av känsliga personuppgifter.
  • Föräldrar bör se Online Safety Act som ett skyddslager, inte en ersättning för direkta samtal med barn om onlineinnehåll.
  • Alla som lämnar ifrån sig legitimation eller biometriska data för åldersverifiering bör kontrollera plattformens policy för datalagring innan de gör det.