กฎหมายยืนยันอายุ: ประตูหลังสู่การสอดส่อง

• เมื่ออายุมากขึ้น ก็ทำให้นึกถึงช่วงเวลาที่มีการเสนอร่างกฎหมายยืนยันอายุภายใต้ข้ออ้างว่า "ช่วยปกป้องเด็กจากสื่อลามก" กฎหมายเหล่านี้เริ่มต้นจากเจตนาที่ผิดพลาด และท้ายที่สุดก็กลายสภาพเป็นระบบสอดส่องที่คุกคามเสรีภาพดิจิทัล

ร่างกฎหมายยืนยันอายุ: ประตูหลังของการสอดส่อง

• ร่างกฎหมายยืนยันอายุไม่ได้มีเป้าหมายแค่ปกป้องเด็กเท่านั้น แต่ยังต้องการระบบที่เก็บรวบรวมข้อมูลส่วนบุคคลจำนวนมหาศาลจากผู้ใช้ทุกคน สิ่งนี้ไม่ได้ทำให้อินเทอร์เน็ตปลอดภัยขึ้น แต่ทำให้ผู้ใช้ทุกคนต้องยืนยันตัวตนเพื่อเข้าถึงคอนเทนต์หรือสินค้าพื้นฐาน

• กฎหมายลักษณะนี้เริ่มต้นจากมาตรการความปลอดภัยที่ปลอมตัวเป็นระบบสอดส่อง และขณะนี้กำลังถูกเสนอเป็นร่างกฎหมายในหลายรัฐมากขึ้นเรื่อย ๆ

• สกินแคร์: ร่างกฎหมาย AB-728 ของแคลิฟอร์เนียกำหนดให้ต้องยืนยันอายุเมื่อซื้อผลิตภัณฑ์สกินแคร์ที่มีสารเคมีบางชนิด ฟังดูอาจไม่มีพิษมีภัย แต่ในทางปฏิบัติกลับเป็นการสร้างระบบติดตามและเก็บข้อมูลผ่านการรวบรวมข้อมูลส่วนบุคคลที่อ่อนไหว

• แอปหาคู่: ร่างกฎหมาย A3323 ของนิวยอร์กกำหนดให้บริการหาคู่ออนไลน์ต้องตรวจสอบอายุ ตัวตน และตำแหน่งที่ตั้งของผู้ใช้ ซึ่งก่อให้เกิดปัญหาความเป็นส่วนตัวจากการบังคับให้ผู้ใช้ส่งมอบข้อมูลส่วนบุคคลที่อ่อนไหว

• ผลิตภัณฑ์ลดน้ำหนัก: ร่างกฎหมาย SB 5622 ของรัฐวอชิงตันจำกัดการขายยาลดน้ำหนักและอาหารเสริมสำหรับผู้ที่มีอายุต่ำกว่า 18 ปี ซึ่งมองข้ามความเสี่ยงด้านความเป็นส่วนตัวในกระบวนการยืนยันอายุ

ปัญหาของการยืนยันอายุ: ไม่มีทางออกที่ปลอดภัย

• ไม่มีวิธีการยืนยันอายุแบบใดที่ทั้งปกป้องความเป็นส่วนตัวและแม่นยำได้อย่างสมบูรณ์ ทุกวิธีล้วนมีความเสี่ยงของตัวเอง และทำให้ผู้ใหญ่ที่ท่องอินเทอร์เน็ตหรือซื้อของใช้ในชีวิตประจำวันต้องเผชิญกับการเก็บข้อมูลจำนวนมหาศาล

• ระบบที่บังคับให้ใช้บัตรประจำตัวที่ออกโดยรัฐหรือการสแกนใบหน้าจะเก็บข้อมูลชีวมิติหรือข้อมูลส่วนบุคคลที่อ่อนไหว ซึ่งคุกคามทั้งความเป็นส่วนตัวและความปลอดภัย ข้อมูลเหล่านี้มีโอกาสสูงที่จะถูกนำไปใช้ในทางที่ผิด และก็เคยมีกรณีถูกแฮ็กมาแล้ว

• ต้องหยุดยั้งไม่ให้ร่างกฎหมายยืนยันอายุสร้างระบบสอดส่องและละเมิดเสรีภาพของประชาชน แม้จะเข้าใจเจตนาที่ต้องการปกป้องเด็ก แต่ผลลัพธ์กลับเป็นการละเมิดความเป็นส่วนตัว ความปลอดภัย และเสรีภาพในการแสดงออก

• EFF จะยังคงปกป้องความเป็นส่วนตัวดิจิทัล ความปลอดภัย และเสรีภาพในการแสดงออก พร้อมเรียกร้องให้ผู้ร่างกฎหมายให้ความสำคัญกับแนวทางแก้ไขที่รักษาคุณค่าเหล่านี้ เพื่อให้อินเทอร์เน็ตยังคงเป็นพื้นที่สำหรับการเรียนรู้ การเชื่อมต่อ และการสร้างสรรค์

[GN⁺]

ความเห็นจาก Hacker News

• โดยพื้นฐานแล้วอินเทอร์เน็ตไม่ควรมีการจัดเรต และควรเป็นพื้นที่สำหรับผู้ใหญ่ ซึ่งก็เหมือนกับพื้นที่สาธารณะ (คุณจะยอมให้เด็กอายุ 8 ขวบเดินคนเดียวทั่วนิวยอร์กซิตี้ไหม? จะถกเรื่องพื้นที่ที่มีการควบคุมมากกว่านี้ก็ได้ แต่...)

  • หากคุณดูแลเว็บไซต์และต้องการให้เด็กเข้าดูได้ ก็ควรประกาศผ่าน header ว่าเว็บไซต์นั้นมีการจัดเรตและมีการกำกับดูแลอยู่ ตัวจัดทำดัชนีหลายรายสามารถเก็บข้อมูลนี้ได้
  • ข้อร้องเรียนสามารถส่งต่อไปยังหน่วยงานรัฐที่เกี่ยวข้องได้ (เช่น กรณีเว็บไซต์ที่ตั้งอยู่ในสหรัฐฯ ก็ FTC ในข้อหาโฆษณาอันเป็นเท็จ) หรือส่งไปยังหน่วยงานอื่นสำหรับอาชญากรรมประเภทอื่น
  • ผู้ปกครองสามารถตั้งค่าบัญชีคอมพิวเตอร์ให้เป็นบัญชีเด็ก และตั้งค่าเบราว์เซอร์ให้ปฏิบัติตามรายการกฎการกรองที่ผู้ปกครองหรือผู้ดูแลปัจจุบัน (เช่น โรงเรียน) เลือกไว้
  • พูดอีกอย่างคือ อินเทอร์เน็ตคือพื้นที่เสรีที่ไม่มีการจัดเรต == โหมดเด็กคือเนื้อหาที่ถูกกรองด้วย allowlist

• ร่างกฎหมาย AB-728 ของแคลิฟอร์เนียบังคับให้ต้องมีการยืนยันอายุเมื่อซื้อผลิตภัณฑ์สกินแคร์หรือเครื่องสำอางที่มีสารเคมีบางชนิด (เช่น วิตามินเอ หรือ alpha hydroxy acids) ฟังเผิน ๆ อาจดูไม่เป็นพิษเป็นภัย—จะมีใครไม่อยากปกป้องผู้เยาว์จากสารเคมีอันตรายล่ะ?

  • แล้วทำไมถึงอยากปกป้องผู้เยาว์จาก "สารเคมีอันตราย" แต่ไม่ใช่ผู้ใหญ่? ถ้าครีมบำรุงผิวที่มีวิตามินเอหรือ alpha hydroxy acids อันตรายจริง และผมก็ไม่ได้เชื่อเลยว่ามันอันตรายในความเข้มข้นที่สมเหตุสมผล ก็แค่เลิกขายมันไปเลย

• ควรใช้เรื่องนี้เป็นตัวอย่างที่ชัดเจนว่า "slippery slope" ไม่ใช่เหตุผลวิบัติโดยเนื้อแท้ อย่างที่หลายคนชอบอ้าง: มันเป็นเพียงรูปแบบของข้อโต้แย้งที่อาจกลายเป็นเหตุผลวิบัติได้เมื่อสาเหตุถูกแยกขาดจากกัน ผู้คนระแวงมันมากเกินไป และตอบสนองต่อสมมติฐานของข้อสรุปโดยไม่วิเคราะห์ก่อนว่าความชันของทางลาดนั้นชันแค่ไหนก่อนจะปัดทิ้งไอเดีย

• สงสัยว่าเทคโนโลยีอย่าง Verifiable Credentials[0] จะมีโอกาสถูกนำมาใช้เพราะกฎหมายแบบนี้หรือไม่ ผมคิดว่ามี use case ที่ชอบธรรมสำหรับการพูดว่า "มีหน่วยงานอำนาจบุคคลที่สามบางแห่งที่รับรองฉันแทนได้" และไม่ต้องเปิดเผยต่อบุคคลที่สามที่มาขอการตรวจสอบว่าใครเป็นคนร้องขอ รวมทั้งไม่ต้องเปิดเผยต่อฝ่ายที่ขอการตรวจสอบเกินกว่าข้ออ้างเฉพาะที่จำเป็น (กรณีนี้คืออายุ)

  • [0] https://en.wikipedia.org/wiki/Verifiable_credentials

• สงสัยว่านี่จะแก้ปัญหาผู้เยาว์ซื้อสินค้าที่ไม่ควรซื้อได้ไหม ผู้ขายอาจกำหนดให้ชำระเงินด้วยบัตรเครดิตเท่านั้น และกำหนดให้ขายได้ก็ต่อเมื่อที่อยู่จัดส่งตรงกับที่อยู่ในบัญชีบัตรเครดิต

  • เด็กอาจยืมบัตรของผู้ใหญ่มาใช้ได้ แต่ถ้าเป็นแบบนั้นสินค้าก็จะถูกส่งไปยังที่อยู่ของผู้ใหญ่คนนั้น ทำให้เด็กได้รับของโดยที่ผู้ใหญ่ไม่รู้ตัวยากขึ้น
  • รายการซื้อจะไปปรากฏในใบแจ้งยอดบัตรเครดิตรอบถัดไป ทำให้มีโอกาสมากขึ้นที่ผู้ใหญ่จะสังเกตว่าเด็กกำลังแอบใช้บัตรเครดิตของตน
  • อาจถึงขั้นกำหนดให้มีหมายเหตุเด่นชัดในใบแจ้งยอดบัตรเครดิตว่าเดือนนั้นมีการซื้อสินค้าที่จำกัดอายุ
  • มันอาจหยุดการซื้อได้ไม่ครบทั้งหมด แต่ควรทำให้ยากขึ้นและทำให้พ่อแม่สังเกตเห็นได้ง่ายขึ้น

• บัตร eID ที่รัฐของเราออกให้มีความสามารถในการยืนยันอายุแบบไม่ระบุตัวตนต่อฝ่ายที่เชื่อถือได้ วิธีทำงานคือ: ฝ่ายผู้ร้องขอส่งคำขอไปยังบัตรประจำตัว โดยลงนามด้วยใบรับรองที่รัฐออกให้ จากนั้นบัตรจะตรวจสอบความแท้จริงของคำขอและตอบกลับด้วยลายเซ็นยืนยันอายุตามกฎหมาย แล้วผู้ร้องขอก็ตรวจสอบลายเซ็นนั้นได้

  • ไม่มีการแชร์ข้อมูลส่วนบุคคล
  • แม้ผมจะไม่เห็นด้วยกับการจำกัดอายุในวงกว้าง แต่นี่ก็เป็นวิธีแก้เชิงเทคนิคที่ดีสำหรับการยืนยันอายุโดยคุ้มครองความเป็นส่วนตัว

• ใครจะคาดเดาเรื่องนี้ได้กันนะ? ถ้ามีเทพบรรษัทผู้เปี่ยมเมตตาที่พร้อมจะให้บริการตัวตนระดับโลกที่เชื่อถือได้

  • ถ้าสิ่งนี้ไม่ได้โผล่มาแบบกะทันหัน บางทีตอนนี้คงมีใครสักคนทำให้ตัวตนของคุณเคลื่อนที่ไปพร้อมกับคุณได้ทั่วอินเทอร์เน็ตแล้วก็ได้ อาจมีลายนิ้วมือดิจิทัลที่มองไม่เห็นและหนังสือเดินทาง ทำให้ผู้คนไม่ต้องพิสูจน์ตัวเองซ้ำแล้วซ้ำเล่า
  • มันอาจเป็นวิธีแก้ปัญหาที่กำลังหาปัญหามารองรับก็ได้

• ไม่สนับสนุนการยืนยันอายุ (คิดว่ามันไม่ช่วยแก้อะไรเลย) สินค้าสองหมวดที่เป็นเป้าหมายคือสกินแคร์และอาหารลดน้ำหนัก/อาหารเสริม เป็นหนึ่งในหมวดที่ผมเห็นลงโฆษณาหนักที่สุดในช่วงนี้ และให้ความรู้สึกเหมือนหลอกลวงมาก

• การยืนยันอายุควรถูกฝังอยู่ในเบราว์เซอร์ ไม่ใช่ในเว็บไซต์

  • ผู้ปกครองควรเข้าถึงการตั้งค่า (ที่ป้องกันด้วยรหัสผ่าน) เพื่อบล็อกเว็บไซต์บางประเภท (เช่น เว็บโป๊) ได้ในทุกเบราว์เซอร์
  • รัฐควรสามารถไล่จัดการเว็บไซต์ที่ไม่ปฏิบัติตามการตั้งค่าเหล่านั้นได้อย่างอิสระ
  • แต่การบังคับให้เว็บไซต์ทำการยืนยันอายุนั้นเป็นเรื่องโง่

• ผู้เขียนดูเหมือนไม่ตระหนักถึงการมีอยู่ของ zero-knowledge range proofs สำหรับการยืนยันตัวตนบนฐานอัตลักษณ์ (anonymous credentials) โดยหลักแล้วมันทำงานแบบนี้: บุคคลที่สามทำการ commit ปีเกิดไว้ด้วย commitment ที่มีลายเซ็น จากนั้นคุณสามารถแสดงสิ่งนี้ต่อผู้ให้บริการพร้อม range proof เพื่อให้แน่ใจว่าข้อจำกัดอายุเป็นไปตามเกณฑ์ วิธีนี้ทำให้ผู้ให้บริการมั่นใจได้ว่าสมาชิกทุกคนผ่านข้อกำหนดอายุที่ต้องการ โดยไม่ต้องรู้ปีเกิดของผู้ใช้