Lois sur la vérification de l’âge : une porte dérobée vers la surveillance

• En prenant de l’âge, on se souvient de l’époque où les projets de loi sur la vérification de l’âge étaient présentés au nom de la volonté de « protéger les enfants de la pornographie ». Ces textes partaient d’intentions mal orientées et ont fini par se transformer en systèmes de surveillance qui menacent les libertés numériques.

Projets de loi sur la vérification de l’âge : la porte dérobée de la surveillance

• Les projets de loi sur la vérification de l’âge ne visent pas seulement à protéger les enfants : ils exigent des systèmes capables de collecter de vastes quantités de données personnelles auprès de tous les utilisateurs. Au lieu de rendre Internet plus sûr, ils créent une situation où chacun doit prouver son identité pour accéder à des contenus ou à des produits ordinaires.

• Ces textes ont commencé comme des mesures de sécurité déguisées en dispositifs de surveillance, et ils sont désormais proposés sous forme de lois dans un nombre croissant d’États.

• Soins de la peau : le projet de loi AB-728 en Californie impose une vérification de l’âge pour l’achat de produits de skincare contenant certains produits chimiques. Cela peut sembler inoffensif, mais crée en réalité un système de suivi et de collecte de données en accumulant des informations personnelles sensibles.

• Applications de rencontre : le projet de loi A3323 à New York impose aux services de rencontre en ligne de vérifier l’âge, l’identité et la localisation des utilisateurs. Cela exige des informations personnelles sensibles et soulève de sérieux problèmes de vie privée.

• Produits amaigrissants : le projet de loi SB 5622 dans l’État de Washington restreint la vente de médicaments et de compléments alimentaires amaigrissants aux moins de 18 ans. Il ignore les risques pour la vie privée liés au processus de vérification de l’âge.

Le problème de la vérification de l’âge : il n’existe pas de solution sûre

• Il n’existe aucune méthode de vérification de l’âge qui protège la vie privée tout en étant totalement fiable. Toutes les méthodes présentent leurs propres risques, et les adultes se retrouvent exposés à une collecte massive de données lorsqu’ils naviguent sur Internet ou achètent des articles du quotidien.

• Les systèmes qui exigent une pièce d’identité officielle ou un scan facial collectent des données biométriques ou personnelles sensibles, ce qui menace la vie privée et la sécurité. Ces données risquent fortement d’être détournées, et certaines ont déjà été compromises lors de piratages.

• Il faut empêcher que les lois sur la vérification de l’âge ne mettent en place des systèmes de surveillance et ne portent atteinte aux libertés civiques. L’intention de protéger les enfants est compréhensible, mais le résultat porte atteinte à la vie privée, à la sécurité et à la liberté d’expression.

• L’EFF continuera de défendre la vie privée numérique, la sécurité et la liberté d’expression, et appelle les législateurs à privilégier des solutions qui préservent ces valeurs. Internet doit rester un espace d’apprentissage, de connexion et de création.

[GN⁺]

Commentaires sur Hacker News

• Internet devrait par défaut être non classé et réservé aux adultes. C’est comme l’espace public. (Laisseriez-vous un enfant de 8 ans se promener seul dans New York ? On peut débattre d’espaces plus contrôlés, mais…)

  • Si vous gérez un site web et voulez qu’il soit accessible aux enfants, vous devriez annoncer dans les en-têtes que ce site est classé et modéré. Différents indexeurs pourraient collecter cette information
  • Les plaintes pourraient être transmises à l’autorité publique compétente (par ex. la FTC pour les sites web basés aux États-Unis, pour publicité mensongère), ou à d’autres organismes pour d’autres infractions
  • Les parents pourraient marquer les comptes informatiques comme comptes enfant et configurer le navigateur pour suivre une liste de règles de filtrage choisie par les parents ou le responsable actuel (par ex. l’école)
  • Autrement dit, Internet est une zone libre non classée == le mode enfant correspond à un contenu filtré sur liste blanche

• Le projet de loi californien AB-728 impose une vérification de l’âge lors de l’achat de produits de soin ou de cosmétiques contenant certains produits chimiques (par ex. vitamine A ou alpha-hydroxyacides). En apparence, cela peut sembler inoffensif — qui ne voudrait pas protéger les mineurs de produits chimiques nocifs ?

  • Pourquoi vouloir protéger les mineurs de « produits chimiques nocifs » mais pas les adultes ? Si les crèmes pour la peau contenant de la vitamine A ou des alpha-hydroxyacides sont nocives, et je ne suis pas du tout convaincu qu’elles le soient à des concentrations raisonnables, alors il suffit de les supprimer

• Il faut prendre cela comme un exemple frappant montrant que la « pente glissante » n’est pas intrinsèquement un sophisme. Comme beaucoup l’affirment : ce n’est qu’une forme d’argumentation qui peut devenir fallacieuse lorsque les causes sont dissociées. Les gens s’en méfient trop et réagissent à la prémisse de la conclusion sans analyser à quel point la pente est raide avant d’écarter l’idée

• Je me demande si des technologies comme les Verifiable Credentials[0] ont une chance d’être adoptées à cause de ce type de lois. Je pense qu’il existe des cas d’usage légitimes quand on veut pouvoir dire « une autorité tierce peut se porter garante pour moi », sans révéler à ce tiers qui demande la vérification, ni révéler à la partie qui exige cette vérification autre chose que l’affirmation précise dont elle a besoin (dans ce cas, l’âge)

  • [0] https://en.wikipedia.org/wiki/Verifiable_credentials

• Je me demande si cela pourrait résoudre le problème des produits que les mineurs ne devraient pas pouvoir acheter. On pourrait imposer que le vendeur n’accepte que les paiements par carte de crédit et ne finalise la vente que si l’adresse de livraison correspond à l’adresse du compte de la carte

  • Un enfant peut emprunter la carte d’un adulte, mais dans ce cas l’article serait livré à l’adresse de cet adulte, donc il serait plus difficile pour l’enfant de le recevoir sans que l’adulte le remarque
  • L’achat apparaîtrait sur le relevé de carte de crédit suivant, ce qui augmente les chances que l’adulte remarque que l’enfant utilise sa carte à son insu
  • On pourrait même exiger qu’une mention visible sur le relevé de carte de crédit signale qu’un produit soumis à une restriction d’âge a été acheté ce mois-là
  • Cela n’empêcherait pas tous les achats, mais cela devrait les rendre plus difficiles et permettre aux parents de s’en apercevoir plus facilement

• La carte eID délivrée par notre État permet de vérifier anonymement l’âge auprès d’une partie de confiance. Voici comment cela fonctionne : la partie requérante envoie à la carte d’identité une requête signée avec un certificat délivré par l’État ; la carte vérifie l’authenticité de la requête et répond avec une signature légale de vérification d’âge. Le demandeur peut ensuite vérifier cette signature

  • Aucune donnée personnelle n’est partagée
  • Je ne suis pas d’accord avec des restrictions d’âge généralisées, mais c’est une bonne solution technique pour une vérification d’âge respectueuse de la vie privée

• Qui aurait pu prévoir cela ? S’il existait un dieu-entreprise bienveillant prêt à fournir un service mondial d’identité digne de confiance

  • Si cela n’était pas soudainement apparu, quelqu’un aurait peut-être déjà pu faire en sorte que votre identité vous accompagne sur l’ensemble d’Internet. On aurait peut-être pu avoir des empreintes numériques invisibles et des passeports pour éviter que les gens aient constamment à prouver qui ils sont
  • C’était peut-être une solution à la recherche d’un problème

• Je ne soutiens pas la vérification de l’âge (je pense que cela ne résoudra rien). Les deux catégories de produits visées, les soins de la peau et les aliments/régimes complémentaires, font partie de celles sur lesquelles je vois le plus de dépenses publicitaires en ce moment, et cela me paraît extrêmement douteux

• La vérification de l’âge devrait être intégrée au navigateur, pas aux sites web

  • Les parents devraient pouvoir accéder à un réglage (protégé par mot de passe) permettant d’exclure certains types de sites web sur tous les navigateurs (par ex. le porno)
  • Le gouvernement devrait être libre de poursuivre les sites web qui ne respectent pas ce réglage
  • Mais forcer les sites web à mettre en place une vérification de l’âge est absurde

• L’auteur semble ne pas connaître l’existence des preuves de plage en zero-knowledge pour l’authentification fondée sur l’identité (identifiants anonymes). En substance, cela fonctionne ainsi : un tiers engage l’année de naissance dans un engagement signé. On peut ensuite le présenter au fournisseur de services avec une preuve de plage afin de garantir le respect de la limite d’âge. De cette manière, le fournisseur de services peut s’assurer que tous les membres respectent la restriction d’âge requise sans connaître l’année de naissance de l’utilisateur