EFF: Bằng chứng không tiết lộ (Zero-Knowledge Proofs) sẽ không khắc phục được việc xác minh độ tuổi

Một Giải Pháp Mật Mã Cho Một Vấn Đề Pháp Lý

Luật xác minh độ tuổi đã lan rộng nhanh chóng trên khắp nước Mỹ, với khoảng một nửa số bang hiện đang thực thi một số hình thức yêu cầu kiểm tra độ tuổi trực tuyến. Khi các nhà lập pháp thúc đẩy các nền tảng xác nhận người dùng của họ bao nhiêu tuổi trước khi cho phép truy cập nội dung, một giải pháp kỹ thuật đã nhận được sự quan tâm từ các nhà hoạch định chính sách và các nhóm ngành: bằng chứng không tiết lộ (zero-knowledge proofs), hay ZKP.

Quỹ Biên giới Điện tử (EFF) đã công bố một bài phản bác chi tiết đối với câu chuyện ngày càng phổ biến rằng ZKP giải quyết được các vấn đề quyền riêng tư vốn có trong các yêu cầu xác minh độ tuổi. Theo EFF, công nghệ này đang bị bán quá mức như một giải pháp vạn năng trong khi thực tế nó chỉ giải quyết một phần của bài toán quyền riêng tư, và trong một số trường hợp còn tạo ra những rủi ro theo dõi mới mà các nhà ủng hộ hiếm khi đề cập đến.

Cách Thức Hoạt Động Thực Sự Của Bằng Chứng Không Tiết Lộ

Bằng chứng không tiết lộ là một phương pháp mật mã cho phép một người chứng minh một sự thật, chẳng hạn như trên 18 tuổi, mà không tiết lộ dữ liệu cơ bản chứng minh điều đó, như ngày sinh hoặc số giấy tờ tùy thân do chính phủ cấp. Về lý thuyết, người dùng có thể được cấp một mã thông báo kỹ thuật số (token) xác nhận độ tuổi của họ, và mã thông báo đó có thể được trình lên một trang web mà không tiết lộ bất kỳ thông tin cá nhân nào khác.

Điều này nghe có vẻ là một bước nâng cấp quyền riêng tư có ý nghĩa so với các phương pháp xác minh độ tuổi hiện tại, nhiều phương pháp trong số đó yêu cầu tải lên bằng lái xe hoặc quét khuôn mặt. EFF thừa nhận rằng ZKP thực sự có thể giảm lượng dữ liệu cá nhân rõ ràng được chia sẻ trong một sự kiện xác minh duy nhất. Vấn đề, theo tổ chức này, là điều gì xảy ra sau khi mã thông báo đó được cấp và được sử dụng lặp đi lặp lại.

Sự chỉ trích cốt lõi của EFF tập trung vào khả năng tái sử dụng của các mã thông báo này. Nếu người dùng đăng nhập vào một nền tảng bằng cùng một thông tin xác thực hỗ trợ ZKP mỗi lần, mã thông báo đó có thể tạo ra một liên kết nhất quán, có thể theo dõi trở lại cá nhân đó, ngay cả khi bản thân mã thông báo không chứa tên hoặc ngày sinh. Một định danh bền bỉ đi theo người dùng qua các phiên và dịch vụ sẽ phá hoại tính ẩn danh mà ZKP được cho là mang lại. Nói cách khác, mật mã có thể che giấu những gì bạn đang chứng minh, nhưng nó không nhất thiết che giấu ai đang thực hiện việc chứng minh, đặc biệt là theo thời gian và trên nhiều trang web.

Sự khác biệt này quan trọng vì phần lớn thông điệp chính trị và ngành công nghiệp xung quanh ZKP coi chúng như một sự đảm bảo quyền riêng tư tự động. Phân tích của EFF phản bác lại cách định khung đó, lập luận rằng công nghệ cần được đánh giá trong bối cảnh của toàn bộ hệ thống xác minh, bao gồm cách mã thông báo được cấp, tần suất chúng được tái sử dụng và ai kiểm soát cơ sở hạ tầng đằng sau chúng.

Vấn Đề Quyền Riêng Tư Lớn Hơn Của Xác Minh Độ Tuổi

Sự phản bác của EFF nằm trong một khuôn mẫu rộng hơn về sự hoài nghi từ các nhà nghiên cứu quyền riêng tư và các nhà hoạt động vì quyền kỹ thuật số đối với các yêu cầu xác minh độ tuổi nói chung. Các nhà phê bình từ lâu đã lập luận rằng các luật này, bất kể phương pháp kỹ thuật nào được sử dụng để thực thi, đều tạo ra các loại thu thập dữ liệu nhạy cảm mới, có thể là quét giấy tờ tùy thân, ước tính sinh trắc học, hoặc theo dõi hành vi gắn liền với việc xác nhận độ tuổi.

Sự hoài nghi này không chỉ giới hạn ở EFF. Như đã được đưa tin trong bài viết của chúng tôi về việc một cố vấn EDRi nói rằng các tuyên bố về quyền riêng tư trong xác minh độ tuổi không đúng sự thật, các chuyên gia quyền riêng tư châu Âu cũng đã nêu ra những lo ngại tương tự rằng các đảm bảo quyền riêng tư mà các nhà cung cấp dịch vụ xác minh độ tuổi hứa hẹn thường không đứng vững khi bị xem xét kỹ lưỡng. Sự phản đối từ ngành công nghiệp cũng đến từ một hướng bất ngờ: trong lá thư của Pornhub gửi các nhà lập pháp lên án việc kiểm tra độ tuổi bằng giấy tờ tùy thân, công ty này lập luận rằng các phương pháp xác minh hiện tại đang được đưa vào luật tiểu bang tạo ra rủi ro bảo mật và quyền riêng tư thực sự cho người dùng, bất kể công nghệ cơ bản là gì.

Điều kết nối các chỉ trích này lại với nhau là mối lo ngại chung rằng xác minh độ tuổi, dù được triển khai theo cách nào, cũng có xu hướng đánh đổi một rủi ro quyền riêng tư này lấy một rủi ro quyền riêng tư khác. Tải lên thẻ căn cước tạo ra rủi ro vi phạm dữ liệu. Ước tính sinh trắc học tạo ra rủi ro giám sát. Và bây giờ, theo EFF, ngay cả mật mã bảo vệ quyền riêng tư như ZKP cũng có thể tạo ra rủi ro theo dõi nếu được triển khai mà không chú ý cẩn thận đến việc tái sử dụng mã thông báo và quyền kiểm soát của bên phát hành.

Điều Này Có Nghĩa Gì Đối Với Bạn

Nếu bạn sống ở một bang có luật xác minh độ tuổi, bạn có thể gặp phải các hệ thống dựa trên ZKP được tiếp thị như một lựa chọn thay thế thân thiện với quyền riêng tư so với việc tải lên giấy tờ tùy thân hoặc quét khuôn mặt. Điều đáng hiểu là cách định khung này chỉ chính xác một phần. Công nghệ này thực sự có thể giảm lượng dữ liệu cá nhân thô bị lộ trong một giao dịch duy nhất, nhưng nó không tự động ngăn chặn các nền tảng hoặc bên phát hành xây dựng hồ sơ về hoạt động của bạn theo thời gian nếu cùng một thông tin xác thực được tái sử dụng qua các phiên.

Trước khi tin tưởng bất kỳ hệ thống xác minh độ tuổi nào, dù sử dụng ZKP hay phương pháp khác, hãy tìm kiếm thông tin về cách thông tin xác thực được cấp, liệu nó có hết hạn hoặc thay đổi hay không, và ai kiểm soát cơ sở hạ tầng xác minh. Một hệ thống cấp lại mã thông báo mới, không thể liên kết cho mỗi lần sử dụng mang lại quyền riêng tư mạnh hơn đáng kể so với một hệ thống trao cho bạn một thông tin xác thực duy nhất có thể tái sử dụng.

Bài Học Rút Ra

Bằng chứng không tiết lộ là một cải tiến mật mã thực sự so với một số phương pháp xác minh độ tuổi hiện có, nhưng phân tích của EFF cho thấy rõ rằng chúng không phải là một giải pháp quyền riêng tư hoàn chỉnh khi đứng một mình. Yêu cầu pháp lý cơ bản để xác minh độ tuổi vẫn tạo ra các điểm thu thập dữ liệu chưa từng tồn tại trước đây, và các chi tiết triển khai cụ thể của bất kỳ hệ thống ZKP nào sẽ quyết định liệu nó thực sự bảo vệ danh tính của bạn hay chỉ che giấu nó. Khi nhiều bang áp dụng các yêu cầu xác minh độ tuổi, độc giả nên cập nhật thông tin về cách các hệ thống này hoạt động trên thực tế, đặt câu hỏi trực tiếp cho các nền tảng về việc tái sử dụng mã thông báo và lưu giữ dữ liệu, và đối xử với các tuyên bố tiếp thị về công nghệ bảo vệ quyền riêng tư bằng sự xem xét kỹ lưỡng tương tự như bất kỳ hoạt động thu thập dữ liệu nào khác.