EU議会調査局、VPNを「塞ぐべき抜け穴」と呼ぶ
(cyberinsider.com)- European Parliamentary Research Service(EPRS) は、VPNがオンライン年齢確認システムの回避にますます使われているとして、これを「塞ぐべき立法上の抜け穴」と位置づけた
- 欧州やその他の地域の政府は、成人向けまたは年齢制限付きコンテンツにアクセスする前に、プラットフォームが利用者の年齢を確認するよう求めるオンライン児童安全ルールを拡大している
- EPRS は、英国と複数の米国州で義務的な年齢確認法が施行された後、VPN利用が急増し、英国ではVPNアプリがダウンロードチャートを席巻したと明らかにした
- EPRSの文書782618_EN.pdf)は、一部の政策立案者や児童安全擁護派がVPNアクセス自体にも年齢確認を求めている一方で、VPNアクセス前の本人確認は匿名性保護を弱め、監視やデータ収集のリスクを高める可能性があるとみている
- EPRSは、EUがサイバーセキュリティおよびオンライン安全法制を改正する中で、VPNプロバイダーがより強い精査を受ける可能性があり、今後のEU Cybersecurity Act改正でVPNの悪用を防ぐための児童安全要件が導入される可能性があると述べた
EPRSのVPN規制の空白への警告
- European Parliamentary Research Service(EPRS) は、VPNがオンライン年齢確認システムの回避にますます使われているとして、これを「塞ぐべき立法上の抜け穴」と表現した
- 欧州やその他の地域の政府は、成人向けまたは年齢制限付きコンテンツへのアクセス前に、プラットフォームが利用者の年齢を確認するよう求めるオンライン児童安全ルールを拡大している
- VPNは、インターネットトラフィックを暗号化し、リモートサーバー経由で接続をルーティングして利用者のIPアドレスを隠すプライバシー保護ツールである
- VPNは、通信保護、監視回避、安全なリモートワークといった正当な目的にも広く使われているが、規制当局は同じ技術が未成年者による地域ベースの年齢確認回避を可能にすると懸念している
年齢確認法施行後にVPN利用が増加
- EPRS は、英国と複数の米国州で義務的な年齢確認法が施行された後、VPN利用が急増したと明らかにした
- 英国では、オンラインサービスが子どもの有害コンテンツへのアクセスを防がなければならず、法施行後にはVPNアプリがダウンロードチャートを席巻したと伝えられている
- EPRSの投稿は「VPNはオンライン年齢確認を回避するためにますます使われている」と記し、一部サービスへのアクセスに最低年齢を求める新ルールが施行されていると述べた
VPNアクセス自体に年齢確認を求める流れ
- EPRSの文書782618_EN.pdf)は、VPNを規制の空白として明示し、一部の政策立案者や児童安全擁護派がVPNアクセス自体にも年齢確認が必要だと考えていると述べている
- England’s Children’s Commissioner も、VPNサービスを成人専用に制限すべきだと求めている
- しかし、VPNアクセス前に本人確認を強制すれば、匿名性保護が大きく損なわれ、監視やデータ収集に関する新たなリスクが生じる可能性がある
- VPNプロバイダーとプライバシー保護団体は、すでに英国の政策立案者に送った書簡で、こうしたアプローチに反対している
EU年齢確認アプリのセキュリティ・プライバシー問題
- 先月、研究者らはEuropean Commissionの公式年齢確認アプリが公開された直後に、複数のセキュリティ・プライバシー上の欠陥を発見した
- このアプリはDSAフレームワークの下でプライバシー保護型ツールとして宣伝されていたが、機微な生体画像が暗号化されていない場所に保存される問題が見つかった
- 検証制御を完全に回避できる脆弱性も明らかになった
技術的に難しい年齢確認と代替案
- EPRS文書は、年齢確認がEU全域で依然として技術的に難しく、断片化していることを認めている
- 自己申告、年齢推定、本人確認に基づく現行システムは、未成年者が比較的容易に回避できる
- フランスで使われている「double-blind」検証のような新しいアプローチも提示されている
- ウェブサイトは、利用者が年齢要件を満たしているという確認だけを受け取り、利用者の身元は知ることがない
- 検証プロバイダーは、利用者がどのウェブサイトを訪問しているかを見ることができない
VPNを直接扱い始めた立法
- Utahは最近、オンライン年齢確認におけるVPN利用を明示的に標的にした法律を制定した最初の米国州となった
- UtahのSB 73は、VPNやプロキシサービスで位置情報を隠していても、利用者の位置を見かけ上のIPアドレスではなく物理的な所在に基づいて定義する
- EPRSは、EUがサイバーセキュリティおよびオンライン安全法制を改正する中で、VPNプロバイダーがより強い精査を受ける可能性があるとみている
- 今後のEU Cybersecurity Act改正では、法的保護を回避するVPNの悪用を防ぐための児童安全要件が導入される可能性があると述べている
1件のコメント
Hacker Newsのコメント
忘れている人がいるかもしれないので言っておくと、中国がウェブサイト運営前の登録許可を求め始めたときの名目も子どもの保護だった
この単純な政策は結局、個人発行者や自営メディアの大半を沈黙させ、産業を少数の手に集中させ、小さな起業家に残された機会を消し去った。子どもがオンラインポルノを見ることより、はるかに悪い結果かもしれない。人々の一生に悪影響を与えるからだ
EUが本当にVPNサービスを成人専用にしたいのなら、VPNを使う子どもやそれを許した親に罰金を科せばいい。交通違反で道路ではなく運転者に罰金を科すのと同じだ
それでも不十分だと思うなら、北朝鮮のようにケーブルを切ればいい
2015年ごろ、違法コピーのメディア、とくに torrents.ru を止めるという名目で法的枠組みが作られ、全国規模のDNSブロッキングが導入されたが、8.8.8.8 に問い合わせれば簡単に回避できた
その後、政府はその法的根拠を使ってカジノ、テロ組織など追加項目を遮断リストに入れ、IPブロックも慎重に適用し始めた
法律はさらに拡大され、政府が曖昧な基準で特定メディアを遮断できるようになり、大規模サイトの一部にIPブロックを試み、ISPには HTTPS SNI ベースのフィルタリングのためのDPI機器設置が義務化された
2019年ごろには、裁判所命令なしで遮断を執行する政府機関 Roskomnadzor(RKN) が作られ、2021年ごろには、RKNの要請に従ってロシア法基準でコンテンツをフィルタリングしないサイトがブロックされ始め、VPNサービスもDPIでトラフィックをフィルタリングしなければならなくなった
2023年ごろにはVPN取り締まりが始まり、人気の商用サービスがIPブロックされ、OpenVPN と IPSec 接続がDPIによって選択的に遅くされ、2025年ごろには vless、WireGuard などへの強力なVPNフィルタリングが導入され、YouTube、Twitter のような特定サイトの性能も低下した
野党が彼らの汚い資料を暴露して日常的な腐敗が明らかになり、互いにそのデータを武器として使うことが繰り返されるだろうが、そんな世界は来ない。法律がすべての人に公平に適用される世界には住んでいないからだ
つまり「お前たちにはルール、私には適用外」という話だ
私はトルコに住んでいるが、政府は2008年ごろにすべての成人向けサイトを禁止した。成人でもアクセスできない。今年は世界の流れに合わせてVPNを禁止し、年齢確認と本人確認を導入しようとしている
一部のゲームも禁止し、ソーシャルメディアを統制し、インターネット上ですべての人を統制・追跡することを合法化しようとしている。複数の独立国家で似たような試みが同時に起きているのは、なんとも偶然だ
そしてトルコでは、2008年以降、子どもたちが実際に守られたわけでもない
その結果、そのような規制や法律への反対者は、よくても耳を貸す価値のない人、悪ければ刑務所に送るべき人になる
https://en.wikipedia.org/wiki/Think_of_the_children
私には、政府がインターネットへの統制をもっと必要だと判断し、そのために統制を強める法律を作った、というほうに近く見える。 https://www.gov.cn/gongbao/content/2000/content_60531.htm
その法律には、最初は子どもだけに限定され後で成人へ拡大された特別条項もない。一方で、子どものゲーム時間制限は、私の知る限り今でも子どもにしか適用されない
このタイトルは誤解を招くように思える
欧州議会の文書は、VPNに関する論争の存在を指摘しているように見える
該当箇所は、「一部はこれを法の抜け穴であり、VPNにも年齢確認を要求すべきだと主張する。これに対し一部のVPNプロバイダーは、第三者と情報を共有せず、そもそも自社サービスは子どもの利用を想定していないと述べている。イングランド児童委員はVPNを成人利用のみに制限すべきだと求めた」といった内容だ
もちろんEUがVPNを規制しないと言っているわけではないが、この文書のどこにも「EU」がVPNを閉じるべきだとは書かれていない
全体としては主題をバランスよく扱っているという指摘はその通りだが、その特定の文言の選択はよくなく、怒りの機械に餌を与える表現になってしまった
https://www.europarl.europa.eu/RegData/etudes/ATAG/2026/7826...
子どもを爆撃するのは構わないし、そのために必要なあらゆる武器を喜んで生産し配送する
病んだ社会のパターンだ
すべての本人確認制度は、企業の実質的所有者から始めるべきだと思う
政府は、疑わしいことをしている事業を所有する富裕層が完全な匿名性を維持できるようロビー活動を受けてきた一方で、普通の人々は食料品を買うだけでも身分証を見せる方向へ進んでいる
その代わり技術者たちは、何も規制するなと説得しようとしているが、それではうまくいかないかもしれない
VPNを本当に止めたがっているのは、商用ストリーミング業者、とりわけライブスポーツの分野だ
国や与党がどうであれ、結局は金の話になる
政府だけの問題ではない。金を持つ一部の大企業も静かに後押ししている
税の抜け穴はなぜそれほど監視されないのだろう
オンラインの義務的な年齢確認は有害だと思うし、違法化されるべきだ
親は親の役割を学ぶべきで、政府が企業に子育ての代行を強制すべきではない
私が子どものころは児童向け番組と広告は厳しく監視されていた。今ではどんな子どもでもインターネットでポルノ、暴力、詐欺にアクセスできる。害悪は年齢確認ではなく、そちらだ
終わりのないモグラたたきだ
EUの政府関係者がこれを読んでいるなら、ひとこと短く伝えたい
どうかインターネットで子どものことを考えるのをやめてほしい。その代わり、もっと急いでやるべきことはこっちだ
大企業からもっと税金を取り、超富裕層にももっと課税し、EU製のオープンソース技術とインフラに資金を出すべきだ
親が子どもともっと多くの時間を過ごせるようにして、どんな馬鹿げた法律よりも子どもをよく守り、捕食者から守れるようにすべきだ
そして列車をもっと増やすべきだ
ずっと頭から離れない疑問がある
なぜ年齢確認が本人確認と結びつくのだろうか？
前者が後者なしには不可能なことは理解しているが、確認を担当する機関が、他の詳細情報なしに年齢確認結果だけを渡せばよいのではないか？
私の理解が間違っているのだろうか？ それが可能ならVPNは使い続けられる気がする
報告書は、フランスで使われているダブルブラインド確認システムのような新しいアプローチを強調している。ウェブサイトは利用者の身元を知らないまま年齢要件を満たしているかどうかだけを受け取り、確認プロバイダーは利用者がどのウェブサイトを訪れたかを見ない仕組みだ
EUデジタルウォレットのフレームワークもこれを基盤として作られており、あなたが言うシナリオは中核ユースケースだ
今は学術・研究の領域から政治の領域へ移りつつあり、商業集団と政治的アジェンダのフィードバックと圧力が状況を濁らせている
標準文書へのリンクはここにある。より短くてわかりやすい高品質の動画も簡単に見つかる
https://www.w3.org/TR/did-1.0/
https://www.w3.org/TR/vc-data-model-2.0/
参考までに、これはブロックチェーン時代の健全な副産物のひとつなので、暗号資産の宣伝屋による大げさな動画に振り回されないほうがいい
ここで見られる不満の大半は、年齢確認イコール追跡だと決めつけている
人々が不満を言う前に少し調べていれば、プライバシー保護型の年齢確認についてもっと興味深い議論ができたのにと思う
人々は消費者向けプライバシーVPNしか見ていないが、EU内にははるかに広い商用VPNの利用領域がある
2地点を1つのネットワークとして結ぶ拠点間トンネル、ノートPCやモバイル端末から企業リソースへアクセスする用途、近ごろ多くの人が強いられている粗悪なインターネットの一方向性を補う用途などだ
基本的にリモートワークを少しでもしているなら、今まさに必ずVPNを使っているとは言わないが、可能性は高い。もしかすると政治家自身のITバックエンドも、行政府が立法府を過度に覗き見る能力について、なりに考えを持つかもしれない
政府はすでに生年月日を含め、皆の身元情報を持っている。問題が未成年者の成人向けサイトやサービスへのアクセスだというなら、サイトは利用者が18歳以上か、あるいは政府が定めた年齢以上かを知ればよい
標準化された政府の本人確認サービス/APIがあり、利用者がリクエスト先のサイトやサービスに、自分の年齢や選択した情報だけを開示できるようにするべきだ。政府の本人確認サービスが適切な二要素認証とセキュリティを備えていれば、それで十分だ
リクエストとレスポンスは適切に匿名化し、政府はサイトを知らず、サイトは個人の身元を知らないようにできるはずだ
なぜまだこうしたものがないのだろう？ 私の知る限りでは、誰も提案していない
理論上、すべてのEU加盟国はまもなくこれをサポートする必要があり、利用者はオンラインで年齢を私的に証明するのに使えるようになる。実際の展開までにはまだやることが残っているが、技術的な部分はすでに進行中で、展開計画も固まっていると見ている
「18歳以上か」という質問にゼロ知識証明で答えられる。結局のところ、有効な身分証を所持し、そのPINを知っていることを証明しているにすぎないが、それで十分に思える。記事によれば、フランスにもこの機能がある
[0] https://www.personalausweisportal.de/Webs/PA/EN/government/t..., https://www.bsi.bund.de/EN/Themen/Oeffentliche-Verwaltung/El...
オランダの DigiD のようなサービスはすばらしい基盤になり得る。皆が反対しているのにアメリカへ売ろうとしている、まさにそのサービスだ。そこに年齢確認サービスを追加すればいい。政府はすでに最も法的な意味で、あなたが誰かを知っている
かつては親が子どもがアクセスできるウェブサイトを管理していた
今は政治家が、私たちがアクセスできるウェブサイトを管理する時代だ