Transcription

Cześć! W internecie bardzo łatwo trafić na treści, które nie są odpowiednie dla oczu dzieci. To żadna tajemnica. Nic dziwnego więc, że od lat pojawiają się różne pomysły na to, w jaki sposób ograniczyć ich widoczność dla najmłodszych. Od różnych mechanizmów kontroli rodzicielskiej ustawianych przez rodziców na telefonach czy komputerach swoich dzieci, przez wyskakujące okienka do potwierdzania wieków, których nikt przecież nigdy nie skłamał, czy pomysły, aby najmłodsi z sieci nie mogli korzystać wcale. Jednym z nowszych pomysłów tej kwestii jest kontrola na poziomie międzynarodowym poprzez nowe regulacje Unii Europejskiej oparte na Digital Services Act. Media trąbią o tym, że od 1 lipca będziemy musieli zainstalować na naszych urządzeniach aplikację, która potwierdzi, czy jesteśmy pełnoletni, czy też nie. No i wygląda na to, że nie jest to po prostu prawda. Ale zacznijmy od początku. Tak, samo wymaganie ochrony kieletnich w internecie nie jest nowe. Nakłada je na platformy internetowe wielkie, olbrzymie, wprowadzone już jakiś czas temu Digital Services Act. Ale skoro rzeczone platformy nie były przez tyle czasu w stanie ogarnąć tego w wystarczającym stopniu, we własnym zakresie, co było choćby powodem otwarcia w tych sprawach wielu dochodzeń, to Unia postanowiła zareagować. Czy rozwiążą ten palący problem? Czy to koniec naszej prywatności? I jak to w ogóle ma działać? Zapraszam. Problem dostępu dzieci do nieodpowiednich dla nich treści stary jest jak internet i w sumie nikt jeszcze nie był w stanie go dobrze rozwiązać, choć wielu próbowało. Najnowszy pomysł Brukseli wygląda mniej więcej tak. Wieść gmin naniesie, że od 1 lipca będziemy mogli potwierdzić to, czy jesteśmy pełnoletni, wykorzystując do tego aplikację na telefonie. Co ważne, będziemy mogli, a nie będzie to od nas wymagane. Choć uczciwie przyznać trzeba, że część serwisów, do których zechcemy wejść, mowa tu nie tylko o takich skierowanych wprost jedynie do dorosłych, ale też choćby o mediach społecznościowych, może bez przejścia tej weryfikacji ograniczyć dostępne dla nas treści, czy nawet całkowicie odmówić nam wstępu. Ale wspominana appka to jedynie mały element układanki, bo Unia chce posiadać w tej kwestii, jak w sumie każdej, w miarę spójną politykę. Efektem ma być prosty mechanizm weryfikacji wieku, możliwy do wdrożenia nie tylko przez instytucje około rządowe, ale też, lub nawet przede wszystkim, przez podmioty sektora prywatnego. Aplikacja, o której mowa, to w sumie jedynie prowizorka, ponieważ problem ten ma docelowo rozwiązać wdrażany przez Unię portfel tożsamości cyfrowej. Do jego materializacji zostało jednak jeszcze trochę czasu i jak widać, problem ochrony dzieci przed nieodpowiednimi dla nich treściami jest na tyle palący, że postanowiono zrobić z nim coś w tak zwanym międzyczasie. Tylko jak to w ogóle ma działać? W sumie dość prosto. I co ciekawe, obiecując poszanowanie prywatności użytkowników. Takie przynajmniej są deklaracje, więc chyba nie jesteście zdziwieni, że sprawa bardzo mnie zainteresowała, na tyle, że postanowiłem zajrzeć nieco głębiej do technikaliów. A te znaleźć można w serwisie ageverification.dev, gdzie przygotowano opracowanie całego mechanizmu, tak dla deweloperów ze strony instytucji i krajów członkowskich, jak i serwisów wdrażających docelowo na swoich stronach to rozwiązanie. I tu pierwsze, o dziwo bardzo pozytywne zaskoczenie. Bo projekt ten ma być w pełni otwarto-źródłowy i korzystać z otwartych standardów. Jak choćby z protokołów dostarczanych przez OpenID. Wszystko po to, aby zachować jak najwyższy poziom transparentności, unikając podejrzeń, że robi się dodatkowo coś, ukrywając to przed opinią publiczną. Ma też korzystać z już dostępnych rozwiązań, w kwestii standardów, dostawców elektronicznej tożsamości, a nawet części bibliotek używanych już przy innych projektach. Wszystko po to, aby nie wynajdywać po raz kolejny koła na nowo. Tylko w jaki sposób ma przebiegać taka weryfikacja wieku użytkownika? Centralnym elementem tego systemu jest, jak już wspomniałem, aplikacja mobilna. Jej testowa wersja jest już dostępna dla Androida, a sadownicy muszą jeszcze trochę poczekać. Ale to wystarcza, by na podstawie tej testowej wersji oraz dokumentacji przeanalizować cały proces. W teorii wygląda on więc tak. Po instalacji apki, pierwsze co, to trzeba ją aktywować. I tu istnieje kilka możliwości. Tworzy się profil użytkownika, a następnie zwraca do dostawcy cyfrowej tożsamości, aby jakaś zaufana instytucja potwierdziła swoim autorytetem, że jesteśmy osobą pełnoletnią. Można to zrobić np. za pomocą bankowości elektronicznej czy czegoś w rodzaju M-obywatela. Kolejną z instytucji zaufania w tym schemacie może być choćby operator telekomunikacyjny, bo wydając kartę SIM musimy przecież pokazać swój dowód osobisty, co od razu weryfikuje nasz wiek. No i w końcu można też zeskanować telefonem elektroniczny dokument, dowód czy paszport, potwierdzając dodatkowo, że jesteśmy jego prawowitym użytkownikiem, a nie tylko gwizdnęliśmy go babci. Np. podając PIN czy skanując twarz, jak przy zakładaniu konta w banku online. No dobra, udało się. Po pozytywnym przejściu takiej weryfikacji, aplikacja otrzymuje od dostawcy tożsamości tzw. certyfikat wieku, przechowywany w teoretycznie bezpiecznej pamięci naszego telefonu. Tych certyfikatów zresztą ma być od razu więcej. Mowa o trzydziestu, aby nie musieć kontaktować się za każdym razem z bankiem czy inną usługą EID, tylko mieć ich odpowiednią liczbę pod ręką w gotowości do wykorzystania. Dlatego kiedy już przyjdzie pora na potwierdzenie, że naprawdę jesteśmy dorośli, wysyłki nam się komunikat, czy chcemy przekazać pytającemu o to serwisowi swoje dane. I proces ten przebiegać może na kilka sposobów. Jeżeli weryfikacja ma nastąpić bezpośrednio na urządzeniu, na którym taki certyfikat posiadamy, można wykorzystać do tego rzeczoną aplikację. Wtedy taka na przykład przeglądarka dogada się bezpośrednio z apką weryfikującą wiek, oczywiście po wyrażeniu przez nas na to zgody i po sprawie. W miarę proste i wygodne. Sprawa jednak komplikuje się, jeśli weryfikacja ma nastąpić na przykład na komputerze osobistym, gdzie takiej aplikacji weryfikatora po prostu nie ma. Co wtedy? A no wyświetli nam się na ekranie komputera kod QR, który trzeba będzie zeskanować telefonem. Wtedy za kulisami przesłany zostanie taki certyfikat do wymagającego weryfikacji serwisu, potwierdzając tym samym, że mamy tyle lat, ile mamy. Bo co ciekawe, o ile podstawowym zadaniem tego systemu jest weryfikowanie po prostu, czy jesteśmy pełnoletni, czy też nie, o tyle przewiduje on też możliwość kwalifikowania do różnych takich koszyków. Na przykład powyżej trzynastego roku życia, aby w ten sposób móc spełnić też swoją rolę przy dostępie do mediów społecznościowych, których ograniczenia wiekowe nie musi się zawierać w prostym pełnoletni, czy też nie. Informacja o naszym wieku może zostać zapisana na przyszłość przez odwiedzany serwis dla naszej wygody, abyśmy nie musieli powtarzać tego procesu za każdym razem. Ale jeśli nasz poziom paranoi jest wyższy i nie ufamy takim zapisom, to informacja o wieku może być dostarczana za każdym razem per zapytanie. O czym warto wiedzieć, aplikacja ta nie jest w pełni zcentralizowana, działając wprost z ramienia Brukseli. O nie. Unia dostarczy krajom członkowskim jedynie jej rdzeń w formie takiej templatki, na bazie której będą już osobno budowane aplikacje poszczególnych krajów członkowskich, czy zewnętrznych dostawców. Każdy kraj dołoży więc swoją własną wersję językową, te wszystkie animowane flagi, godła, czy zintegruje apkę ze swoimi wewnętrznymi systemami potwierdzającymi tożsamość. To również dostawcy wersji dla poszczególnych krajów odpowiadać mają za całe zaplecze techniczne oraz aktualizacje w zgodzie z dostarczanym centralnie standardem. Co ciekawe, nie zdefiniowano jeszcze CA, czyli Certificate Authority, dla całego tego systemu, czyli nie wiadomo, kto będzie trzymał wszystkie klucze do centralnego sejfu. Ba, w sumie nie ustalono, czy w ogóle jest on tutaj przy takiej architekturze potrzebny. Fajnie, że na dość końcowym etapie wdrożenia takie rzeczy nie są zdefiniowane, ale co ja tam wiem, pracowałem głównie w startupach, gdzie przecież zawsze jest bałagan, ale nadal mniejszy. No dobra, wiemy już mniej więcej, jak to ma działać. Czy więc diabeł jest taki straszny, jak go malują i to całkowita utrata resztek prywatności? Nie do końca, bo system ten w swoich założeniach został przygotowany całkiem nieźle. Unia kładzie naprawdę spory nacisk na prywatność użytkowników aplikacji i to nie wierząc w składane obietnice, które lubią być łamane, ale cały system zaprojektowano stawiając prywatność na pierwszym miejscu. Wszystkie dane mają być odpowiednio chronione, również podczas ich przesyłania, a przekazywana ilość minimalna, konieczna do zapewnienia działania usługi. Zgodnie z resztą z RODO więc dane te mają nie być przechowywane dłużej niż to absolutnie konieczne. System ma też gwarantować, że nie istnieje możliwość powiązania faktu potwierdzenia przeznacz swojego wieku z ujawnieniem naszej tożsamości. Ma to zapobiegać choćby profilowaniu i targetowaniu nas reklamami. Cały proces ma też być maksymalnie transparentny, aby nie trzeba było ufać, a można było wszystko sprawdzić samemu. W dodatku mamy mieć pełen wgląd w to, na co się zgadzamy, jakie informacje gdzie trafiają, a jeśli tylko chcemy, mamy mieć możliwość je usunąć. Badają też zapewnienia o zabezpieczeniu przed klonowaniem, aby nie można było sobie skopiować tak mechanizmu potwierdzenia wieku rodzica przez dziecko na jego telefon. Albo kupienia za piątaka od randoma z internetu, jak dziś kupuje się na przykład karty SIM. Wszystko ma działać szybko, sprawnie, wygodnie, na każdej możliwej platformie itd. Nawet na telefonach sprzed siedmiu lat, bo mowa choćby o androidzie w wersji dziewiątej. No wiadomo, ideał niestety nie do końca, bo największą wadą całego systemu jest już sama aplikacja. Przede wszystkim trzeba ją pobrać, a więc wymaga to aktywnego działania po stronie użytkownika, co często jest już sporą barierą wejścia. Konieczna jest wiedza, jak to zrobić, jak ją aktywować, a na końcu, jak jej w ogóle używać. Może to prowadzić w prostej linii do wykluczenia cyfrowego, bo przecież, aby potwierdzić swój wiek, trzeba mieć telefon komórkowy, na którym działają aplikacje. Osoby, które nie korzystają z telefonu z Androidem lub iOS-em, nie będą w ogóle w stanie tego uruchomić. To sprawia, że nie będą w stanie potwierdzić swojego wieku. Naraża to też osoby mniej techniczne na instalacje jakiegoś złośliwego oprogramowania, które będzie się pod taki weryfikator próbowało podszywać, np. poprzez reklamy w internecie. Największym niedopatrzeniem lub wprost wadą jest brak wsparcia dla Zero Knowledge Proof. O co chodzi? To metoda na zapewnienie, oparta o srogą matmę i inne algorytmy, że potwierdzamy coś, np. pełnoletność, nie ujawniając osobie żadnych szczegółów, które można z nami powiązać. To ogólnie trudne do wykonania zadanie, ale nie jest to niemożliwe. Niestety aplikacja w proponowanej formie tego nie gwarantuje, a próbuje obchodzić ten problem naokoło. Np. grupując użytkowników w pewien określony sposób, aby nie dało się ich banalnie deanonimizować. Niestety to jedynie utrudnienie, a nie zapewnienie bezpieczeństwa na poziomie architektury systemu. Unia na szczęście jest świadoma, że to obszar, którym ma się zainteresować, natomiast na razie niestety mamy to, co mamy, czyli półprodukt. Kolejną kwestią jest otwartość standardów. Dlaczego o tym wspominam przy okazji VAT? No bo w teorii brzmi to fajnie, ale niestety, przynajmniej w tym przypadku, badacze zwracają uwagę, że w realiach instytucji o tak wielkiej inercji, konsekwencją jest korzystanie z przestarzałych wersji wszystkiego. Ponieważ wersje standardów rozwijają się szybciej, niż wielka machina jest w stanie nawdążyć z aktualizacjami. Pojawia się też przy okazji sporo błędów, co między wierszami przyznają twórcy. T-Systems, tych od T-Mobile, oraz SciTails, szwedzkiej firmy z branży zarządzania tożsamością w sieci, nazywają zbieżące wersje prototypami niegotowymi na produkcję. To zresztą płynnie przenosi nas do kolejnego problemu. Owszem, możliwości weryfikacji wieku przez instytucje zaufania miało być sporo. Telekomy, banki, elektroniczne dokumenty, nawet notariusze. Niestety aktualna wersja produktu wspiera jedynie narodowe systemy elektronicznego dokumentu tożsamości w rodzaju naszego M-Obywatela. Sęk w tym, że aby było to kompatybilne z aplikacją do weryfikacji wieku, mechanizm ten musi być zgodny ze schematem EID zdefiniowanym w EIDAS. A tego w sumie to jeszcze w Unii Europejskiej nikt nie wdrożył na szeroką skalę. Tak, nasz M-Obywatel też nie spełnia tych wymagań, bo był robiony przez nas niezależnie od tych regulacji, sporo przed ich wejściem w życie. W obecnej wersji nie działa nawet skanowanie dowodu osobistego zbliżeniowo za pomocą NFC, co w sumie było jednym z podstawowych wymagań przetargowych. Dlatego właśnie program jest dopiero w fazie wczesnego pilotażu i wszelkie bajki, że wchodzi na szeroką skalę, powtarzane przez media można wywalić do kosza. Pilotaż ma objąć kilka krajów, w tym m.in. Hiszpanię i Francję, ale na tej liście absolutnie nie ma Polski. Teraz ja sobie trochę pospekuluję, bo widzę, że to modne i nie ponosi się za to żadnych konsekwencji. Jest sobie plan Komisji Europejskiej na wdrożenie unijnego portfela cyfrowej tożsamości, który ma być gotowy z końcem przyszłego 2026 roku. W kilku krajach przeprowadzane zostaną jego betatesty w zakresie weryfikacji wieku przez tę tymczasową aplikację. I test ruszyć ma 1 lipca. Na tym fakty się kończą, bo podano dalej wniosek, że od tego dnia w Polsce będziemy musieli weryfikować swój wiek za pomocą jakiejś nieistniejącej nawet w Polsce aplikacji. Unia zła! No tylko, że nie. Zachęcam fact-checkerów do przeanalizowania całej tej ścieżki dezinformacji, bo sam mogłem coś poknocić. A w międzyczasie zastanówmy się może nad jakimi jeszcze problemami trzeba będzie się, moim zdaniem, lepiej pochylić, gdy ten docelowy portfel powstanie. Wdrożenie go bez wsparcia dla Zero Knowledge Proof to strzał w kolana. Oba z broni wysokiego kalibru. W obecnej architekturze, jeśli wydaje się certyfikaty grupami, aby uniknąć profilowania, upodabniając tym samym rzesze użytkowników do siebie, to nie ma żadnej gwarancji, że ktoś sobie takiego certyfikatu po prostu nie skopiuje. I cały misterny plan idzie tam, gdzie idzie. Po drugie, system nie wspiera wycofywania certyfikatów. OK, ma to z jednej strony sens. Młodsi już nie będziemy nigdy. Więc jak wydano nam poświadczenie pełnoletności, no to ono się nigdy już nie zdezaktualizuje. Niestety. Z drugiej, jeśli ktoś, kto nie powinien, zweryfikuje się jako pełnoletni, nie da się tego cofnąć, a jedynie czekać na wygaśnięcie takiej sesji. Dotyczy to też sytuacji wycieku takiego poświadczenia albo wykorzystania go przez kogoś, kto nie powinien się nim posługiwać. Stąd Komisja Europejska sugeruje, aby poświadczenia odświeżać trzeba było co 3 miesiące. Po trzecie, w całej tej architekturze, niezależnie nawet od poprzednich problemów, musimy w jakiś sposób ufać platformom internetowym wielkim, olbrzymim oraz innym serwisom zobowiązanym do sprawdzania w wieku swoich użytkowników, że rzeczywiście to robią. Im nie opłaca się przecież odmawiać dostępu do swoich treści, ponieważ oznacza to dla nich straty finansowe. Dlatego warto byłoby znaleźć z tej kwestii na nie jakieś kij oraz marchewkę. Co robić i jak żyć? Nie wylewaj dziecka z kąpielą, Unia Europejska, bo czy taki mechanizm weryfikacji wieku jest potrzebny? Niestety tak i zawsze odbędzie się on w jakiś sposób kosztem naszej prywatności, ale musimy jakoś rozwiązać ten problem. Czy to idealne rozwiązanie? Nie. Czy narusza prywatność? Trochę tak, choć naprawdę w bardzo niewielkim stopniu, o ile zostanie zaimplementowane zgodnie ze zdefiniowanym standardem, a nie po łebkach i na skróty jak obecnie ma to miejsce. Czy jestem z tego zadowolony? Nie i nie jestem w tej opinii osamotniony. W źródłach do tego materiału znajdziesz odnośnik do opracowania grupy kryptografów, która też pochyliła się nad tym projektem i oceniła płynące z niego zagrożenia. Czy to w ogóle nas dotyczy? Na razie absolutnie nie, więc śpij spokojnie. Europa reguluje, co jest szeroko krytykowane. Dlatego tu była okazja, aby w sumie pokazać światu, jak można rozwiązać trudny, istotny problem w sposób troszczący się równocześnie o prywatność. No i w sumie wyszło średnio. Przede wszystkim nie wierzę, że to w ogóle zostanie wdrożone w terminie, o którym wszyscy trąbią, bo nic na to nie wskazuje. Nawet ta apka pewnie nie będzie gotowa w akceptowalnej wersji, a co dopiero wdrożenie po stronie serwisów, które mają z niej korzystać do weryfikacji. Po drugie, skoro Europa twierdzi, że tak walczy o tę prywatność, to dlaczego do jasnej nie mamy wdrożenia Zero Knowledge Proof? Przecież to w takim zastosowaniu wydaje się podstawą, na której można by coś dalej budować. A tak dostaliśmy jedynie protezę czy ochłapy, zwał jak zwał. Zmarnowaliśmy kolejną szansę, aby pokazać, że chociaż wdrożenia regulacji nam wychodzą, oby z czasem jednak okazało się, że jestem w błędzie. I wiesz co, niezależnie od podejścia do aplikacji zewnętrznych czy narzucanych ustawowo, warto czuwać nad tym, co Twoje dziecko robi w sieci. Być jego przewodnikiem w tym świecie, tak, to wcale nie jest łatwe zadanie. Dlatego jeżeli chcesz, pomogę Ci. Na przełomie czerwca i lipca na mojej platformie edukacyjnej Uczpnie pojawi się kurs dla rodziców właśnie w tej tematyce. To chyba jedno z najważniejszych szkoleń, jakie stworzyłem wraz ze swoim zespołem. Jak będzie wyglądało? Przygotowaliśmy 10 modułów tematycznych z konkretną wiedzą. Ja we sprycie w sprawach technicznych, a Katarzyna Kierzek, psycholożka, z którą współtworzę to szkolenie, podpowie Ci, jak rozmawiać z dzieckiem o jego działaniach w sieci. Jeżeli czujesz, że te treści Ci się przydadzą zapisz się na listę oczekujących, link znajdziesz pod materiałem. I to już wszystko na dziś. Tymczasem dziękuję za Waszą uwagę i do zobaczenia!