Обхід верифікації віку у Bluesky виявляє прогалини конфіденційності

Як працює система підтвердження віку Bluesky і чому вона не спрацьовує

Bluesky, децентралізована соціальна мережа на протоколі AT, запровадила заходи з підтвердження віку, щоб відповідати нормам, які вимагають від платформ перевіряти, чи користувачі достатньо дорослі для перегляду певного контенту. На практиці система значною мірою покладається на географічні сигнали: якщо Bluesky виявляє, що користувач підключається з регіону, де діють закони про верифікацію віку, наприклад з Великої Британії, вона запитує перевірку віку перед наданням повного доступу.

Широко поширений технічний посібник, опублікований як GitHub gist, показує, наскільки легко обійти цю перевірку. Згідно з описом та підтвердженнями, що циркулюють у самому Bluesky, користувачі знайшли кілька способів обійти вимогу. Підключення через VPN, щоб виглядати так, ніби ви переглядаєте з іншої країни, як повідомляється, повністю обходить перевірку, оскільки віковий шлюз платформи прив’язаний до місцезнаходження, а не до постійного ідентифікатора. Інші зазначають, що простий фільтр блокування реклами в браузері може приховати запит на підтвердження, а також було створено спеціальне браузерне розширення, призначене для вимкнення географічних та модераційних обмежень Bluesky. Альтернативні фронтенди для протоколу AT, які дозволяють переглядати контент Bluesky без офіційного застосунку, повністю оминають віковий шлюз.

Іншими словами, механізм, покликаний не допускати неповнолітніх до певного контенту, можна обійти за допомогою інструментів, які не потребують спеціальних технічних навичок: підписка на VPN, браузерний додаток або зовсім інший вебсайт.

Що розкриває обхід про ризики конфіденційності при перевірці віку

Приклад Bluesky висвітлює закономірність, яка неодноразово виникала там, де запроваджували вимоги верифікації віку. Системи, призначені для запобігання доступу неповнолітніх до певного контенту, зазвичай будуються на сигналах, таких як IP-локація або самостійно вказана дата народження, які легко підробити. Тим часом користувачі, які дотримуються вимог — надають документи, завантажують селфі або підключають сторонні сервіси верифікації — беруть на себе новий ризик для конфіденційності.

Це неприємний компроміс, що лежить в основі більшості впроваджень підтвердження віку: люди, які найімовірніше є неповнолітніми або найбільш мотивовані уникати перевірки, також є найбільш технічно схильними знайти обхід. Люди, які дотримуються правил і чесно виконують вимоги, — це ті, хто передає конфіденційні дані стороннім постачальникам верифікації, дані, які потім потрібно десь зберігати, обробляти та захищати. Будь-яка слабка ланка в цьому ланцюжку, чи то погано захищена база даних постачальника, чи скомпрометований внутрішній інструмент, стає новою ціллю. Ширший урок не є унікальним для Bluesky. Він перегукується із занепокоєннями, висловленими в усій програмній індустрії щодо того, як швидко одна точка компрометації може перерости в набагато більший витік, подібно до того, як скомпрометований інструмент розробника призвів до масштабного витоку репозиторіїв на GitHub. Коли інфраструктуру верифікації додають поверх існуючих платформ, це створює нову поверхню атаки, не обов’язково досягаючи заявленої мети.

Регуляторний контекст: UK Online Safety Act та вимоги DSA ЄС щодо підтвердження віку

Віковий шлюз Bluesky не з’явився у вакуумі. Закон Великої Британії про безпеку в інтернеті вимагає від платформ, що розміщують певні категорії контенту, впроваджувати заходи «підтвердження віку» для користувачів з Великої Британії, а Закон про цифрові послуги ЄС рухається в подібному напрямку для платформ, що працюють на території блоку. Обидві рамки покладають тягар дотримання на платформи, підштовхуючи їх до географічного виявлення, самостійно задекларованих дат народження або сторонніх постачальників верифікації як практичних механізмів виконання.

Проблема в тому, що законодавці, які пишуть ці вимоги, здебільшого визначають результат — тримати неповнолітніх подалі від певного контенту — не вказуючи технічно надійного способу його досягнення. Ця прогалина змушує платформи впроваджувати те, що найшвидше та найдешевше, а це, як правило, означає перевірки на основі геолокації, які VPN долає за секунди. Регулятори можуть зрештою відповісти подальшим посиленням вимог, потенційно просуваючись до обов’язкової верифікації документів або біометрії для всіх користувачів незалежно від місцезнаходження. Це значно підвищить ставки, замінюючи легко обхідну систему на таку, що вимагає набагато більше конфіденційних персональних даних від усіх, включаючи дорослих, які не мають жодного інтересу щось обходити.

Що варто знати користувачам, які дбають про конфіденційність, перед підтвердженням віку в інтернеті

Якщо вам пропонують підтвердити свій вік у Bluesky або на будь-якій іншій платформі, варто зупинитися перед завантаженням посвідчення особи або проходженням сканування обличчя. Запитайте, які дані насправді збираються, хто їх обробляє і як довго вони зберігаються. Сторонні постачальники верифікації віку не захищені від витоків, і після подання документа або біометричного скану ви, як правило, не можете його повернути.

Для читачів, які хочуть мінімізувати свій ризик, використання надійного VPN для контролю того, з якого місцезнаходження платформа бачить ваше підключення, є одним із найпростіших доступних інструментів конфіденційності, хоча варто пам’ятати, що VPN — це захід конфіденційності, а не лазівка, на яку можна покладатися нескінченно, оскільки правозастосування розвивається. Поєднання VPN з уважним ставленням до того, які дозволи та дані насправді потрібні застосунку, залишається надійною базовою практикою незалежно від того, як виглядає віковий шлюз будь-якої окремої платформи сьогодні.

Що це означає для вас

Обхід верифікації віку в Bluesky є нагадуванням, що сучасні системи підтвердження віку часто більше схожі на виставу, ніж на безпеку. Їх може обійти будь-хто, достатньо мотивований, щоб знайти інструкцію, тоді як люди, які чесно дотримуються вимог, можуть розкривати більше персональних даних, ніж усвідомлюють. Оскільки UK Online Safety Act та DSA ЄС підштовхують більше платформ до цих систем, очікуйте продовження динаміки «кішки-мишки» між регуляторами та обхідними шляхами.

Перед тим як передавати скан посвідчення особи або біометричні дані для задоволення вікової перевірки, знайдіть хвилинку, щоб дослідити постачальника верифікації, зрозуміти, що насправді зберігається, і розгляньте, які інструменти, включаючи VPN та налаштування браузера, орієнтовані на конфіденційність, можуть допомогти вам обмежити непотрібний витік даних. Бути поінформованим про те, як ці системи насправді працюють, а не припускати, що вони функціонують, як рекламується, — це найпрактичніший крок, який будь-який користувач може зробити прямо зараз.