ユタ州は、オンライン年齢認証の修正案を発表しました。上院法案 73この新しい法律の下では、Web サイトは、ユーザーが VPN を使用して自分の位置を隠す責任を負うことになります。
この法案はまた、ウェブサイトがVPNを使用して年齢認証を回避する方法を人々に教えることを禁止している。人々はこの動きを不可能だと非難したが、議員らはとにかく強行した。
年齢確認を装った「責任の罠」
3月19日に承認スペンサー・コックス知事による、上院法案 73 は主に 2 つのことを目的としています。まず、ユーザーが物理的にユタ州のウェブサイトに立っている場合、法的にはユタ州のウェブサイトにアクセスしているとみなされます。
IP アドレスを偽装するために VPN、プロキシ、またはその他のツールを使用するかどうかは関係ありません。第 2 に、法律は対象 Web サイトが VPN を使用して年齢チェックを回避する方法に関する手順を共有することを禁止しています。
NordVPN は躊躇しませんでした。同社はこれを「解決できないコンプライアンスのパラドックス」「責任の罠」と呼んだ。なぜ？この法律は、プライバシー ツール、つまり身元を秘密に保つように設計されたツールに依存するユーザーを追跡することを Web サイトに義務付けています。
電子フロンティア財団その考えを非難した。彼らは、この法案がウェブサイトを厳しい立場に置くと考えている。発生する法的リスクを回避するために、サイトには 2 つの選択肢があります。検出したすべての既知の VPN IP アドレスを禁止するか、サイトを訪問するすべての人に年齢の証明を強制するかです。ウェブサイトがどちらの選択肢を選んだとしても、何百万人もの人々が失うことになります。
ウィスコンシン州も今年初めに同様のVPNの提供を試みた。重いバックラッシュが彼らを殺した。ユタはとにかく前進した。
誰も話したくない技術的欠陥
ここが核心的な問題です。この法律では、Web サイトが VPN トラフィックを正確に検出し、ユーザーの実際の位置を正確に特定できることが前提となっています。それはできません。
はい、IP2Proxy や MaxMind などの IP レピュテーション データベースは、既知のデータセンター IP 範囲からのトラフィックにフラグを付けることができます。ただし、商用 VPN プロバイダーはアドレスを常にローテーションすることがよくあります。
住宅用 VPN エンドポイントは、通常の家庭用接続とほぼ同じように見えます。自律システム番号を分析してデータセンターのトラフィックを捕捉することはできますが、クラウド VPS 上で実行されている個人用の WireGuard トンネルは検出されません。そのトンネルは、通常の Web ホスティングとまったく同じインフラストラクチャを経由します。
では、実際に何が機能するのでしょうか?ディープ パケット インスペクション、つまり DPI。これが、VPN プロトコルの署名を確実に取得できる唯一の方法です。ただし、ここに落とし穴があります。DPI はサーバーではなくネットワーク レベルでトラフィックを分析します。ロシアの TSPU システムと中国のグレート ファイアウォールは、インターネット サービス プロバイダーを通じて DPI を展開します。行き当たりばったりのウェブサイト運営者にはそんなことはできません。ユーザーとサーバーの間にあるネットワーク インフラストラクチャへのアクセスが必要です。
一方、AWS のようなクラウド プロバイダーで個人用の WireGuard インスタンスをセットアップするには、文字通り数分かかります。つまり、法律はテクノロジーに精通した十代の若者たちを阻止するものではないということだ。影響を受けるのは、テクノロジーに詳しくなく、正当なプライバシーを商用 VPN のみに依存しているユーザーのみです。
この法律が影響を受ける別のグループには、ジャーナリスト、政治活動家、虐待被害者、独裁政権の地域に居住する人々が含まれます。
ユタ州上院法案 73 に類似したその他の法案
この不可能な追跡に取り組んでいるのはユタ州だけではありません。英国貴族院1 月に 207 対 159 で VPN サービスの禁止を決定18歳未満向け。これらの修正案はこれから下院で議論されることになる。英国が昨年 7 月に年齢確認を強制したとき、VPN の使用1,400%以上上昇したまさに初日に。フランスのデジタル担当大臣アンヌ・ル・ヘナンフ氏は、VPN が「私の次のリスト」であるとすでに述べています。
現在まで、VPN トラフィックのブロックで実質的な進歩を遂げている唯一の国は、ISP レベルの監視を備えた権威主義政権です。それはどの国にとっても維持したい企業ではない。
ただし、犯罪的な VPN サービスに対する合法的な法執行措置は異なります。ユーロポールとFBIが行動を起こすこれは、VPN プロバイダーがランサムウェア ギャングに積極的に売り込み、悪用報告を無視した場合、国際当局は不可能なコンプライアンス要求ではなく、サーバーの押収と刑事告発で対応することを示しています。
EFF は率直にこう述べました。「抜け穴」とセキュリティ ツールの違いが分からない議員たちが、現在、地球上で最も洗練されたインフラストラクチャの 1 つを規制する規則を作成しています。その結果、インターネットはより安全になるのではなく、プライバシーが損なわれることになります。