EUの年齢認証の何が問題なのか？（何もない）

オンラインでの年齢確認について、多くの議論があります。批判がEUのアプローチに向けられるとき、それは情報不足であるか、意図的に誤解を招くものである傾向があります。私たちはオンラインでの年齢確認を必要とするのでしょうか？これは部分的にはイデオロギー的な問題です。もし年齢確認が全く存在すべきではないと考えるなら、技術的な詳細は何の意味も持ちません。年齢制限そのものに反対しているのであって、特定のメカニズムに反対しているわけではないため、どのような実装も受け入れられないでしょう。私はその立場ではありません。9歳、10歳、14歳の子供は、制限なくオープンなインターネットをさまよう準備ができていません。これは単なる親の好みの問題ではありません。子供やティーンエイジャーは、操作、中毒ループ、性的なコンテンツ、ギャンブルの仕組み、グルーミング、嫌がらせ、アルゴリズムによる過激化など、大人自身もよく苦労する事柄に対処するために必要な認知、感情、社会的なスキルをまだ発達させている途中です。制限を設けるのは家族の仕事ではないのですか？イエスでもありノーでもあります。子供が非常に幼い頃は、親は厳格な境界を設定できます。しかし、子供がティーンエイジャーになると、親はそれを緩める義務もあります。ティーンエイジャーは、親の監視なしに独立して行動し、意思決定し、他者と話せる場所、つまり世界を学ぶ場所を必要とします。問題は、その段階的な自由が可能なオンライン空間を構築できるかどうかです。「私は子供たちを賢く、自信を持って育てたので、彼らがXをすることはないでしょう。」おそらくそうでしょう。私もそうしたと願っています。しかし、すべての子供が同じではありません。彼らは同じ気質、サポート、自信、親、または保護を共有していません。そして、たとえしっかりしていて知的なティーンエイジャーでも、時には脆弱です。私たちはすでに他の場所で年齢制限を受け入れています。子供は特定の年齢になるまで運転したり、飲酒したり、ギャンブルをしたり、特定の場所に入場したりすることはできません。インターネットの一部も年齢制限されるべきだと考えるのは absurd なことではありません。難しい問題は、年齢制限が合法であるかどうかではなく、インターネットを身元確認のチェックポイントに変えることなく、それらをどのように施行するかです。 年齢確認は大規模なオンライン監視への第一歩なのか？そうなる可能性もあります。ほとんどの人は、年齢確認とはIDをスキャンしたり、パスポートをアップロードしたり、自撮り写真を撮ったり、顔認証を受けたりすることだと考えています。そしてそれは、多くのサービスがすでに求めていることと全く同じです。そのように実装された場合、批判者が警鐘を鳴らすのは正しいことです。ポルノサイト、ギャンブルサイト、オンラインの酒屋、あるいは宗教フォーラムに自分が大人であることを証明するために、自分の氏名、生年月日、ID番号、顔、住所、パスポートを渡す必要があってはなりません。それは、いかなるプライベートなウェブサイト、ましてや機密性の高いコンテンツを扱うサイトに渡すには危険な量の情報です。もう一つのよくあるパターンがあります。信頼できる第三者でサインインすることです。サイトは、銀行、GoogleやAppleのアカウント、携帯電話会社、または政府の身元確認サービスを通じて認証を要求するかもしれません。これにより、サイトに書類を渡すことは避けられますが、別の問題が生じます。今度は、身元情報プロバイダーが、私がどの年齢制限サイトを訪問したかを知ることになります。これはあまり良くありません。あるバージョンでは、ウェブサイトが私が誰であるかを知ります。別のバージョンでは、身元情報プロバイダーが私がどこに行くかを知ります。どちらも恐ろしいことです。しかし、どちらもこれを実現する唯一の方法ではありません。 より良い原始的な方法：署名された年齢証明 より良い設計は、シンプルなアイデアから始まります。証明する必要があることだけを証明するのです。ウェブサイトは私の氏名、生年月日、ID番号、あるいは私が19歳、37歳、74歳のいずれであるかを知る必要はありません。必要とするのは、私が特定の閾値をクリアしているかどうかだけです。 年齢 >= 必要な年齢 これを最も簡単に想像できるのは、デジタル署名された証明です。オフラインのバージョンを考えてみましょう。政府機関に行きます。パスポートや国民IDを見せます。彼らは「18歳以上」とだけ書かれたカードを発行します。そのカードには公的な印鑑、署名、偽造防止機能が付いています。年齢制限のある場所の入口でそのカードを見せます。その場所は、あなたの氏名、生年月日、ID番号を知ることなく、カードが本物であることを確認できます。デジタル版も同じアイデアで、暗号技術を使用します。認可された発行者があなたの年齢を一度確認し、署名された資格情報を発行します。 ```json { "claim": "age_over_18", "value": true, "issuer": "Trusted Age Attestation Provider", "valid_until": "2027-12-31" } ``` 発行者がそれに署名します。 signature = Sign(issuer_private_key, attestation) ウェブサイトは後でそれを検証できます。 Verify(issuer_public_key, attestation, signature) 重要な特性：ウェブサイトは発行者に連絡する必要がありません。証明が信頼できる発行者によって署名され、有効期限内であることを知るだけでよいのです。そして、発行者はあなたがそれをどこで、あるいは使ったかどうかを知ることはありません。これがEUのアプローチの核です。EUの年齢確認ブループリントは、年齢証明書、依存当事者、証明書プロバイダー、年齢確認アプリ、および信頼リストに基づいたシステムを記述しています。これは欧州デジタルIDウォレットのアーキテクチャと一致しており、ユーザーが正確な年齢や身元を開示することなく、特定の年齢以上であることを証明できるようにします。1 2 3 選択的開示とゼロ知識証明 署名された証明は、あらゆるサイトにIDをアップロードするよりもはるかに優れています。しかし、微妙なプライバシーリスクが残ります。もしウォレットが同じ署名された資格情報を多くのウェブサイトに提示した場合、それらのサイトは訪問を関連付けることができるかもしれません。私の名前がなくても、同じ匿名の大人がサイトA、サイトB、サイトCを訪問したことを知ることができるでしょう。だからこそ、より強力なバージョンでは選択的開示またはゼロ知識証明を使用します。基礎となる証明を見せる代わりに、ウォレットはそれについての声明を証明します。 私は、信頼できる発行者によって署名された、年齢が18歳以上であることを証明する有効な年齢証明書を保有しています。 ...証明書自体を開示することなく。EUの技術文書では、これを年齢証明書からゼロ知識証明を生成することとして記述しています。アプリは証明書を回路へのプライベート入力としてエンコードし、証明書プロバイダーの公開鍵などの公開入力を使用し、zkSNARK証明を生成します。4 5 これは大きなことです。つまり、プライバシー保護バージョンは次のようにはなりません。 私のIDです。 私の生年月日です。 私の署名された年齢資格情報ですらありません。 それは次により近いものです。 私は18歳以上であることを証明する有効な資格情報を保有しているという暗号学的証明です。あなたは証明を検証できますが、私が誰であるかについては何も学習しません。 これが正しい方向であり、EUがそれを正しく理解している兆候があります。 プライバシー擁護者が焦点を当てるべきこと これらすべてがEUシステムを自動的に安全にするわけではありません。プライバシー保護アーキテクチャは、悪い実装によって台無しになる可能性があります。約束を破るであろう事柄： 複数のウェブサイトで再利用される安定した識別子 すべての年齢確認時に発行者に連絡されること 検証イベントの一元化されたログ ウォレットがどの依存当事者が証明を要求したかを記録するテレメトリー ウェブサイトが必要以上に多くの属性を要求すること 弱いウォレットセキュリティ ユーザーに過剰な共有を促す貧弱なUX 他の匿名証明をリンクするブラウザまたはデバイスのフィンガープリンティング 資格情報が使用された場所を明らかにする失効チェック クローズドで監査されていない国内実装 したがって、プライバシーを保護するように構築されたシステムと戦うのではなく、実装が実際にそれを尊重することを保証する適切なチェックを導入するために戦うべきです。EU年齢確認ソリューションの文書は、このシステムがデジタルサービス法、eIDAS 2.0、および欧州デジタルIDウォレットアーキテクチャと参照フレームワークに準拠しており、相互運用性のために証明書形式、プロトコル、および信頼モデルバインディングを使用していると説明しています。<a href="https://ageverification.dev/" rel="nofollow">https://ageverification.dev/</a> ↩ 委員会は、年齢確認ブループリントにより、ユーザーは他の個人情報を開示することなく、制限付き成人向けコンテンツに対して18歳以上であることを証明できると述べており、オープンソース技術に基づいており、将来の欧州デジタルIDウォレットと相互運用できるように設計されているとしています。<a href="https://digital-strategy.ec.europa.eu/en/news/commission-makes-available-age-verification-blueprint" rel="nofollow">https://digital-strategy.ec.europa.eu/en/news/commission-makes-available-age-verification-blueprint</a> ↩ 委員会の共通アプローチ文書は、ブループリントがユーザーに15歳、18歳などの特定の年齢以上であることを証明することを可能にすると述べています。