- 成人確認を名目にした 身分証・書類のアップロード 要求が中央集権的な商用データベースにつながると、成人向けサイトを超えてインターネット全体の実名追跡へ拡大しうる
- すでに ICRA PICS や RTA Header のような低摩擦な代替手段があり、RTA はウェブページまたは HTTP ヘッダーに 1 行追加するだけで、ブラウザ・検索エンジン・クローラーが成人向けの可能性を検知できる
- 記事のシナリオでは、州単位の立法が連邦法や海外への波及につながり、その後ソーシャルメディア・金融・商取引・メッセンジャー・ゲームプラットフォームにまで 追跡フレームワーク が広がっていく
- 全域的な執行手段としては、Web Environment Integrity(WEI) 署名のないページの遮断や、クレジットカード・州発行身分証・TPM・Secure Boot との結び付きの可能性が挙げられている
- 代替案は、サイト運営者に 1 年以内に RTA ヘッダーを導入させ、標準ブラウザとウェブクライアントがそれを読んで ペアレンタルコントロール を有効化し、2034 年時点で 13 歳未満の子どもから適用するというもの
成人確認データベースが生むリスク
- 一部の州とある 1 つの国では、成人向けウェブサイトへのログイン時に 成人であることを証明するための州発行身分証と書類のアップロード を求める中央集権的な商用データベースを導入している
- こうした方式が成人向けコンテンツにとどまらず、インターネット利用全般に 実名と金融情報 を結び付けるインフラへ成長しうることが最大の懸念だとされる
- 政治側は自由で開かれたインターネットを許したことを後になって悔やみ、テック企業が自発的に統制権を戻すよう説得しなければならない状況として描かれている
- 結果として、政府と企業パートナーが利益を得る形でインターネットの統制権を取り戻せるという警告が込められている
既存の低摩擦な代替案: ICRA PICS と RTA
- 過去のブラウザやアドオンは、古い標準を通じて 成人向けコンテンツとユーザー生成コンテンツ を検知できた
- この方式はクライアント開発者やウェブサーバー運用者にほとんどコストを要求せず、子どもが何を見られるかを管理する責任を親に置く構造だった
- yt-dlp のサンプルコード は、RTA ヘッダーを探す実装例として提示されている
-
ICRA PICS Headers
- ICRA PICS は、子どもたちにとってより安全なウェブを作る最初の試みだった
- 一部のブラウザ、サードパーティーツール、ウェブサーバーがこれを採用した
- サイトにどの種類のコンテンツがあるかを詳細に記述するヘッダーをウェブフォームで生成する必要があり、摩擦が大きく、普及は停滞した
-
RTA Header
- RTA Header は、より単純な方式としてより広く使われた 2 度目の試みだった
- サイト運営者は、ウェブページまたは HTTP ヘッダーに簡単なヘッダーを 1 つ追加するだけでよく、ブラウザ・検索エンジン・クローラーはそのサイトが子どもに適さない可能性があることを即座に判断できる
- HTML 指示文の例は以下のとおり
<meta name="rating" content="RTA-5042-1996-1400-1577-RTA">- NGinx HTTP ヘッダーの例は以下のとおり
add_header Rating 'RTA-5042-1996-1400-1577-RTA' always;- HAProxy では次のように設定できる
http-response set-header Rating "RTA-5042-1996-1400-1577-RTA"- サーバー、ロードバランサー、アプリケーションのどこででも設定が簡単で、コストもほとんどかからないアプローチである
- 残る作業は、ブラウザにクライアントコードを再び組み込み、スマートフォンやタブレットにも追加することだ
- 大半の開発者・企業・組織が少ない労力とコストで実装でき、短期間のサイドプロジェクトとしても可能だと見ている
追跡データベースが拡大するシナリオ
- 記事は次の流れを 理論と最善の推定 として区別している
- 1 段階: 保守系政治家にロビー活動が行われ、家族の価値観や有権者の信念に合う政策として受け入れられる
- 2 段階: 十分な数の保守的な州がデータベース要求法を採用すると、連邦法を正当化しやすくなる
- 3 段階: 収益が発生する
- 4 段階: 米国の連邦法が追跡を要求すれば、他国も制裁や罰金を避けるために追随する
- 5 段階: 追跡フレームワークができた後、Facebook、X、Instagram のような ソーシャルメディア にも要求される
- 6 段階: 銀行、オンラインショップ、暗号資産取引所、投票、オンラインチャットシステム、Signal、WhatsApp、Slack、Discord、IRC、Hacker News、ユーザー投稿コンテンツ、chan 系サイト、YouTube、Rumble、TikTok、Steam、Battle.net、Minecraft のようなゲームプラットフォームへ拡大しうる
- 7 段階: さらに大きな収益と 大規模追跡 が生じる
- こうしたデータが 1 か所に集まれば、インターネット上の悪意ある行為者を引き寄せかねない
- S3 バケットからの誤流出や、データが販売されない保証などについては皮肉を込めて扱われている
全域的な執行と収益化の可能性
- 全域的な執行は理論上、すべてのウェブブラウザが Web Environment Integrity(WEI) 署名のないウェブページを遮断する形で可能になる
- この流れは クレジットカード、州発行身分証、TPM モジュール と結び付く可能性がある
- Tor Browser が WEI を実装すれば、Tor
.onionサイトにも潜在的に適用されうると見ている - すべてのユーザーがすべてのウェブサイトに実名 ID と金融情報でログインするようになれば、サイトは販売と請求をはるかに容易に行える
- ID 検証ウェブサイト経由の購入ボタンが追加され、その検証サイトが手数料を取る構造も想定されている
- チャージバックを避けるため、口座を当座預金口座に直接マッピングする利便機能が提供される可能性もある
- ベンダーと OS アップデートが Secure Boot をロックし、サードパーティーの年齢・ID 検証に参加しない OS を排除できるという懸念も含まれている
社会的影響への懸念
- 発言が問題視されたとき、市民が罰金や身元公開を受ける可能性があると見ている
- PayPal が誤情報を理由にユーザーへ 2,500 ドルの罰金を課すとした後すぐ撤回した事例 が例として示されている
- 人々が自分の信念を語る際の 物理的・金融的報復 のリスクが高まり、その結果として自己検閲が増える可能性がある
- 誰かが思い描く Utopia が社会に押し付けられるかもしれないという懸念もある
- 一部の人々はすべてを破壊しようとしている、という表現も含まれる
RTA ヘッダーの悪用可能性と限界
- 誰かがウェブページに RTA ヘッダーを挿入できるなら、それは本来サイト運営者が入れるべきだったヘッダーの空白を埋める行為と見なされる
- 一部のティーンエイジャーは制限を回避できる
- この方式は完璧ではないが、現在存在する、あるいは実装されつつある方式よりは良いと評価されている
- ティーンエイジャーがヘッダーを回避する状況のほうが、中央集権データベースを使うために クレジットカードを盗んだり ID を偽造したりして、犯罪歴とともに人生を始める状況 よりはましだという立場である
ユーザー生成コンテンツに RTA が必要な理由
- ユーザー生成コンテンツは一瞬で子どもに不適切な内容へ変わりうる
- 成人した大人だけが契約を締結し、法的に執行可能な合意を受け入れられる
- 成人向けコンテンツがある場合、子どもは親または法定保護者と一緒にいるべきであり、あるいは親が許可したドメインや URL を許可リストに入れるべきだという立場である
- 法律助言ではなく、弁護士でも誤ることがあるため、複数の意見を得て異議を唱えるべきだという留保が付いている
提案された実行計画
- 人々は州および連邦の代表者に連絡し、より単純で プライバシー侵害の少ない年齢確認方式 を求めるべきだ
- 第一に、すべてのウェブサイト運営者と所有者に RTA ヘッダーの実装を義務付け、1 年の猶予を与える
- 実装には数分しかかからないと見ている
- 第二に、標準インストールされるユーザーエージェントであるブラウザとウェブクライアントが RTA ヘッダーを検知し、ペアレンタルコントロールを有効化すべきだ
- QA を除けば 1 日未満の開発作業と見ている
- 実装期間は 1 年が提案されている
- 管理者アカウント以後に新規作成される標準アカウントは、管理者パスワードが入力されない限り、ペアレンタルコントロールを使う子ども用アカウントであるべきだ
- 第三に、CDN とウェブスクレイピング企業と契約して、サイトに RTA ヘッダーがあるかを検証する
- 第四に、2034 年時点で 13 歳未満のすべての子ども に対してペアレンタルコントロールが有効になるよう法制化する
- 第五に、現在のティーンエイジャーは 2034 年には全員成人しているため、この方式が適切に実行されれば影響を受けない
- 時間のスライディングウィンドウを作り、将来のティーンエイジャーだけが影響を受ける
- 子どもの責任は政府ではなく親にあるという立場である
- 第六に、このアプローチに反対したり別の選択肢のためにロビー活動したりする企業は法的に資金を断たれ、反対する政治家は譴責と最終的な除名の対象になるべきだと主張している
- 個人識別情報のアップロードが必要なら、直接・間接に関係するデータセンターは PCI DSS と Fedramp を合わせたものよりさらに厳しい技術・監査要件に従うべきだ
- IoT 機器、開発者ノートPC、DEV/QA、性能、ステージング、プロダクションまで すべて が対象範囲に入るべきだ
- それが難しすぎるなら、個人識別情報には触れず、RTA・成人向けヘッダーを使えという結論になる
CTO と CSO への勧告
- 法制化された後に逆風が吹いて失敗するまで待たず、サイトに RTA ヘッダー を実装すべきだ
- ブラウザにはヘッダー検査を組み込み、親と子どもを保護できるようにすべきだ
- 企業は、こうした実装を通じて他社より先行しているとアピールできる
1件のコメント
Hacker Newsの意見
最後の防衛線は何だろうか？ 都市の中に地下無線中継網を作って、コンピュータ同士を直接接続し、そこで海賊版コンテンツをシードし、好きな話を交わす方法かもしれないと思う
都市の外のネットワークと接続するときは、より長い波長の無線を使って電離層反射で地球の裏側まで送る必要があり、そのため帯域幅が低くなるかもしれない
FCCはあまり気にしないだろう。放棄された建物の屋上、地域のFCC現地事務所の前、森の真ん中、海上のブイの上にノードを立てることになるだろう
捕まったり、もっとひどい目に遭うかもしれないが、どうせ永遠に生きるわけでもない
Hacker Newsにまだ本物のハッカーたちが残っているなら、このアイデアを検討し、技術的な部分を発展させてほしい。あらゆる通信が本人確認され、検閲される未来は受け入れられない
これこそが彼らの最終目標であり、阻止しなければならない。権力が私たちを別の権力の手先と戦わせてきた戦争よりも、もっと大きな戦いかもしれない。なぜなら文明史上初めて、エリート集団ではなく私たち自身の権利のために戦うことになるからだ
自分の子どもたちにも、敵のコンピュータシステムをエクスプロイトし、破壊する方法を知るのと同じくらい教えるつもりだ
これはインターネット空間における修正第2条に相当する。コンピュータシステムのあらゆるものを調査し、分解し、デバッグできるべきであり、そのシステムや所有者が不適切な振る舞いを始めたら、それを崩壊させる知識も持つべきだ
政府の暴政に対して全人口が単なるKali Linuxだけを手に反撃すると決めれば、コンピュータシステムに関わるほぼすべての問題を解決できる
どれほどスケールするかは分からないが、無線のいたずらを整理するよりははるかに簡単だ。経験上、無線分野はFCCや各国の規制当局がかなり継続的に取り締まっている
本質的には、LoRaを含むどんなネットワーク上でも動作する暗号化インターネット／ネットワーキングだ
問題はコミュニティの規模と、実際のインターネット接続を提供したり公開サービスを露出できるほど相互接続されることだ
付け加えるなら、金融に限定されないKYC/AML型の規制と慣行がある。責任をチェーンの下流、責任追及が難しい領域へ押しやり、その結果として予防的で過度に広いリスク回避、自己検閲、オーバートン・ウィンドウの操作を生む
たとえばDMCAやYouTubeの慣行、そして実際のチャンネルがその両方を避けるために選ぶ行動を比べればよい。アルゴスピークや、本文で言及されたPayPalの状況も同じだ
だが結局は全部口先だけだ。政治的圧力は気体圧力のようなもので、可能な体積をすべて満たす。ウェブ上で騒ぐことではなく、実際に何をするかが可能な体積を決める。何もしなければ、その体積は無限大になる
法律をバージョン管理し、他国すべての法律と比較し、データを蓄積する
政府職員を置き換え、法執行を容易にするコードを書く。うまく作れれば、製品やサービスとして売ることもできる
すべてをモジュール式にして、既存体制が盗んでいけるようにする
人々を参加させなければならない。シミュレーションを作り、それをゲームだと納得させる必要があっても構わない
この作業全体をコードを書くことだと考えれば、自分はその仕事に完璧に向いていると想像できる
さまざまな政治的傾向の人々が自発的な税のアイデアを気に入ることは学んだが、それが実際に機能すると信じる人はいない
システム全体が寄付とボランティア、いくつかの「国営」企業だけで回せるなら、ホットスワップは必然になる
レーティングコードがなぜあれほど複雑なのか気になる。Pornhub.comはそのコードを有効化しているが、もっと単純なものも併用しており、4chanも後者を使っている
実際、似たようなことはあった: "Sesame Scheme: Unintended Consequences of Allergen Food Labeling"( https://news.ycombinator.com/item?id=44074487 )
簡単な解決策は、ルーターで必要なものを遮断し、子どもの端末を管理することだ。そうすればインターネットは引き続き自由で開かれたままでいられる
いったい今、何の話をしているんだ？ うまくいきそうにない
タイトルの「子どものために」は本気ではなく、皮肉に近い
その20年前には「The Digital Imprimatur」があった: <https://www.fourmilab.ch/documents/digital-imprimatur/>
特定のユーザーがどの人間なのかを特定せずに、そのユーザーが人間であり一定年齢以上であることだけを証明する方法が必要である
https://www.w3.org/2023/Talks/0727-wearedevelopers-tbl/solid...
今はAIへと移り、結局は政治家が法律に書き込んだ実装によってお粗末な年齢確認を行うことになる
自分のルーターと子どもの機器は完全に統制できるのだから、そこから始めればよい。他人の責任ではない
一晩で解決するわけではないので完璧ではないだろうが、完璧は善の敵である
今あるやり方は良くないと思う。現在の方式は子どもと大人の両方の身元情報を危険にさらす。子どもはこの種のデータ共有に同意することもできないのだから、彼らを守れる唯一の人は親である
AIの登場以後、広告会社は何が本物のトラフィックなのか確信できなくなっており、そのためこれをロビー活動で押し進めたのだという点を思い出す必要がある。すべてのトラフィックを政府IDに結び付ければ、その問題が解決するからである
サードパーティーの年齢確認やID確認を使う会社が、そのデータについて完全な法的責任を負うよう法律を作るべきだ
データが流出した場合、どのように、なぜ流出したかにかかわらず、当事者1人につき100万ドルを支払うべきである
身元情報300件が流出または売られたなら、刑事処罰とは別に3億ドルである。そのせいで倒産するなら、意図通りに機能したということだ。そんな会社はこのデータの守護者どころか、子どもたちの守護者になる資格すらないという意味である
匿名性は失われるとほぼ確信しているが、同時に特定の大義名分は依然として大量のボットアカウントによって支持されるだろう
この戦いは、TVにV-Chipを入れるようにだまされて受け入れた時点ですでに負けていた
明白な取引はこうであるべきだった。懸念する人々に明示的にブロックする道具を与えたのだから、地上波ではあらゆる攻撃的表現やポルノの選択肢が許されるべきだった
もちろん「親がいないときにTVのプラグを抜くこと」もすでに使える道具ではあった
だが、私たちはそのような見返りを得られなかった
これがどれほど「いったい誰が子どもたちのことを考えないというのか」という層それ自体が政治的に騒がしく取り込みがいがあるためなのか、またどれほどそれを通路として利用してきた、もっと悪質な目的を持つ企業のせいなのか気になる
たとえば商業的なソーシャル提供者は、COPPA準拠の綱渡りを避けられる法的免責を切実に求めており、年齢証明がもたらす検証済みの人口統計情報にも動機がある