EFF: leeftijdsverificatie helpt niet om kinderen op internet te beschermen
Leeftijdsverificatie zoals de Britse overheid voor allerlei websites verplicht heeft gesteld helpt niet om kinderen op internet te beschermen, zo stelt de Amerikaanse burgerrechtenbeweging EFF. Sinds een aantal dagen moeten allerlei websites en apps de leeftijd van hun gebruikers op "zeer effectieve wijze" controleren en voorkomen dat minderjarige gebruikers "schadelijke content" te zien krijgen.
"De verandering houdt in dat risicovolle sites en apps, groot en klein, zeer effectieve 'age gating' methodes moeten toepassen om te identificeren welke gebruikers kinderen zijn", aldus de Britse telecomtoezichthouder Ofcom. Vervolgens moet worden voorkomen dat kinderen de schadelijke content te zien krijgen. De EFF merkt op dat de verplichting geldt voor onder andere socialmediasites, zoekmachines, muziekdiensten en aanbieders van pornografische content.
Voor de leeftijdscontrole kunnen websites verschillende methodes gebruiken, zoals het uploaden van een identiteitsbewijs, leeftijdsschatting door middel van een geüploade selfie, het uitvoeren van een creditcarcheck, het opvragen van bankgegevens of het laten analyseren van een e-mailadres om zo te zien bij welke diensten die is gebruikt. Reddit, Bluesky, Discord en X hebben inmiddels leeftijdscontroles geïntroduceerd, alsmede websites zoals Pornhub en YouPorn. Muziekdienst Spotify verplicht dat gebruikers een gezichtsscan ondergaan.
Volgens de EFF gaat het hier om een misplaatste aanpak om kinderen op internet te beschermen. Daarnaast stelt het dat de Britse aanpak laat zien dat er geen effectieve methode voor leeftijdsverificatie is. "Het is tijd dat politici dat serieus nemen", aldus de burgerrechtenbeweging. "De Online Safety Act is een bedreiging voor de privacy van gebruikers, beperkt de vrije meningsuiting, stelt gebruikers via gezichtscontroles bloot aan algoritmische discriminatie en zorgt ervoor dat mensen mensen zonder een eigen apparaat of vorm van identiteitsbewijs van het internet worden uitgezonderd."
De EFF voegt toe dat Britse internetgebruikers ook helemaal niets met leeftijdsverificatie te maken willen hebben. Zo is er een sterke stijging van het gebruik van vpn-applicaties en is een petitie om de Online Safety Act in te trekken bijna een half miljoen keer ondertekend. "Het internet moet een plek blijven waar alle stemmen worden gehoord, vrij van discriminatie en censuur door overheidsinstanties", besluit de EFF.
Het zal je duur komen te staan.
Linkje: They want to kill the Internet.. https://youtu.be/eFQNUuS5Xm8
Vooral het laatste: denken die overheden soms dat wij digitale nitwits zijn of zo?
Het is als een bord op je huis hangen dat je bang bent voor inbrekers. Want dan is één veronderstelling veel zekerder:
Dáááár valt wat te halen!
Jongens, dit wil je toch niet per website gaan regelen? Dat is vragen om problemen...
Het lijkt mij veel slimmer om zoiets bij de browser in te bouwen.
Website geeft de minimumleeftijd aan, browser controleert dat en blokkeert dan de website als je te jong bent.
Dit behoud je privacy EN beschermt de onschuldige kinderen.
(Maar ik ben bang dat dit helaas niet het doel is van deze wetten...)
Daar kunnen ze politiek groot mee scoren.
Een geden oplosing kost tijd en moeite. En is een proces van de lange adem.
Daar kunnen politici geen mooie sier mee maken. Want tegen de tijd dat de effecten zichtbaar worden, zijn ze zelf al weer vertrokken of door de kiezer weg gestuurd.
De oplossing voor het beschermen van kinderen voor de schadelijke effecten van het internet, is niet een leeftijdscontrole (die makkelijk omzield kan worden, en door de website eigenaren misbruikt gaat worden), maar een gedegen voorlichting en begeleiding van kinderen in hun ontdekkingsreis op het internet.
Het probkeem daarbij is echter dat onderwijzers vaak de kennis niet hebben en anders de tijd niet krijgen om dit goed te doen.
En ouders zijn zelf de verloren generatie die nooit geleerd heeft zorgvuldig met het internet om te gaan.
Leer deze generatie van jongs af aan hoe ze goed om moeten gaan met het internet. En als ze iets raars/engs tegen komen, hoe ze daar mee om moeten gaan. Dus: Voorlichting. Begeleiding. Opleiding.
Maar dat is geen sexy oplossing die snel resultaten oplevert en die ook nog eens overheidsgeld kost.
Dus oninteressant voor politici.
Die offeren de kinderen liever op aan het potentiele data-misbruik van de (grote) websiteseigenaren, dan ze iets te leren en hulpmiddelen mee te geven, waar ze hun hele leven mee geholpen zijn.
In https://use-their-id.com/faq zie ik onder meer:
This gives you an AI-generated mock driving licence for your MP based on public data. This is useful given the recent Online Safety Act, which would otherwise require you to send your ID to a foreign identity checking service, or send your internet traffic to a foreign VPN.
Is this illegal?
I've scribbled 'this is satire' on the ID, so it can't be used for anything real. This is a parody site. It uses publicly available data about your MP. The ID number isn't valid and you can't (and shouldn't) use the ID for anything real.
Bron, met plaatje van zo'n gegenereerd identiteitsbewijs: Natasha Jay (@Natasha_Jay@tech.lgbt) in https://tech.lgbt/@Natasha_Jay/114967305709059627. In die toot schreef zij gisteren:
You should never use something like this for UK Age Verification. That would be quite inappropriate ...
https://use-their-id.com
Dan ligt het in ieder geval daar waar het thuishoort, bij de ouders!
De ouder kan regelmatig een controle uitvoeren om te controleren of het kind niets heeft veranderd.
Bevestiging dat ze met een minderjarige ofzo te maken hebben?
En dan heb ik het nog helemaal niet gehad over die sicko's uit de VS met hun METAdata...
Die kunnen op basis van factuele leeftijd precies berekenen welke psychologische truuks moeten uithalen om meer omzet te halen...
Kinderen zullen immers meer geneigd zijn op 'yes, buy' te klikken dan een volwassen zonder creditcard.
Zelf denk ik aan een combinatie van beide. Politici zonder enige relevante kennis, die problemen proberen op te lossen door te luisteren naar lobbyisten die alleen bezig zijn met zelf verrijking.
Maar ach, interesseert de meeste mensen toch geen hol, tot dat ze er actief last van krijgen. Zal dan wel te laat zijn op terug te draaien...
Dan ligt het in ieder geval daar waar het thuishoort, bij de ouders!
De ouder kan regelmatig een controle uitvoeren om te controleren of het kind niets heeft veranderd.
Zo'n client-side leeftijdsverificatie systeem is een hobbyprojectje van mij.
Websites kennen categorieën toe aan hun inhoud via een HTTP header of HTML meta tag.
De browser laad de website dan niet als deze ongeschikt is voor de gebruiker aan de hand van diens land en leeftijd.
Deze controle kan volledig lokaal gebeuren zonder dat enige vorm van ID of iets dergelijks word opgestuurd.
Als het OS geen leeftijd bekend maakt kan dit worden ingevoerd bij eerste keer gebruiken van de browser.
Dit is in principe een relatief "vrijwillige" leeftijdscontrole, welke een stuk accepteerbaarder is.
Het enige nadeel is dat een echt effectieve implementatie medewerking van browserontwikkelaars vereist.
Anders dan dat is het in veel opzichten beter is dan welk ander huidig systeem dan ook.
Dan ligt het in ieder geval daar waar het thuishoort, bij de ouders!
De ouder kan regelmatig een controle uitvoeren om te controleren of het kind niets heeft veranderd.
Zo'n client-side leeftijdsverificatie systeem is een hobbyprojectje van mij.
Ik ben blij met initiatieven zoals ik noemde in https://security.nl/posting/899415. Eerder maakte de Duitse CCC gehakt van het online authenticatiesysteem in dat land.
Helaas kreeg ik geen antwoord van prof. Bart Jacobs over Yivi (https://infosec.exchange/@ErikvanStraten/114944182679197770).
Zojuist hoor ik op 1Vandaag (TV, NPO1) over een onderneemster die door een AitM (Attacker in the Middle) is opgelicht. Kennelijk had die AitM toegang tot haar e-mail (of van haar klant). In elk geval ving de Aitm de rekening af die de onderneemster naar haar klant dacht te sturen. Nadat de AitM het bankrekeningnummer had gewijzigd (in een Spaanse) werd de mail doorgestuurd naar de klant. Die klant zou, naar verluidt, nog hebben ge-dubbel-checkt of dat wel klopte (maar waarschijnlijk kwam die vraag bij de AitM terecht).
AitM's detecteren is ongelofelijk lastig, en veel te vaak wordt dat risico volkomen genegeerd bij (meer of minder gedetailleerde) online authenticatie.
Bezit en gebruik van apparatuur dat verbinding met het internet kan maken verbieden op straffe van een internetverbod van tien jaar bij overtreding.
Probleem opgelost en de rest van de mensheid heeft geen gezeik met leeftijdsverificatie.
Het enige dat we dan nog moeten doen is…handhaven, …. :-/
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Cybersecurity Trainer / Full Stack Developer
Ben je toe aan een nieuwe job waarmee je het verschil maakt? Wil jij je security kennis graag delen en hands-on laten zien hoe cybersecurity in de praktijk echt werkt? Werk je net als wij graag samen met enthousiaste en gedreven collega's? Bij ons geen bureaucratie maar open communicatie en een werkomgeving gericht op samenwerking.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?