디지털 연령 검증의 숨은 비용: 개인정보 위험과 시스템적 실패
디지털 연령 검증에 대한 추진은 현대적 필요성으로 framing되어 왔으며, 사용자 개인정보를 유지하면서 미성년자를 성인 콘텐츠와 소셜 미디어로부터 보호하는 방법이다. 지지자들은 종종 바텐더가 신분증을 확인하는 비유를 사용한다: 나이를 빠르고 일시적으로 확인하여 지속적인 흔적을 남기지 않는 검증이다. 그러나 최근 사이버 보안 연구는 디지털 현실이 물리적 비유가 암시하는 것보다 훨씬 더 침투적임을 시사한다.
"Papers Please: 웹에서의 연령 검증에 대한 첫 번째 살펴보기"라는 제목의 연구에서, 조지아 공과대학교와 캘리포니아 대학교 어바인(UC Irvine)의 연구자들은 웹의 상당 부분을 대상으로 연령 검증을 처리하는 런던 기반 제공업체 Yoti의 관행을 조사했는데, 여기에는 Meta, TikTok, Sony PlayStation과 같은 플랫폼이 포함된다. 연구 결과는 간단한 검증 대신 이러한 시스템이 민감한 개인 정보를 제3자 중개자와 연결하는 광범위한 데이터 트레일을 생성할 수 있음을 시사한다.
"Bartender" 오류
수년 동안 미국 입법 기관들은 디지털 연령 검증을 의무화하는 법률을 통과시켜 왔으며, 25개 주가 이미 이러한 조치를 시행하고 있다. 이러한 법률은 종종 디지털 검증이 대면 신분증 검사와 마찬가지로 사적일 수 있다는 주장으로 정당화된다. 연구자들은これが 기술이 실제로 작동하는 방식에 대한 근본적인 오해라고 주장한다.
"법적 논쟁에서 이러한 서비스가 바텐더가 신분증을 확인하는 것처럼 행동한다는 비교가 있어 왔다. 그러나 실제로 일어나고 있는 일은 바텐더가 고객의 면허증을 복사하여 음식 공급업체에 보내는 것이다.
연구에 따르면, 검증 과정은—얼굴 이미지, IP 주소, 기기 지문 등을 포함한 개인 정보—를 신용카드 회사, IP 지리 위치 서비스, 데이터 중개자 등을 포함한 제3 및 제4자 회사 네트워크로 방송할 수 있다. 이는 웹 전반에서 사용자를 추적할 수 있는 지속적인 식별자를 생성하여 규제 요구를巨大한 데이터 수집 엔진으로 바꾼다.
시스템적 비효과성과 웹의 "Balkanization"
개인정보 우려를 넘어, 연구는 법률과 집행 사이의 명백한 격차를 강조한다. 연구에 따르면 이러한 법률의 적용을 받는 많은 웹사이트가 단순히 연령 검증을 시행하지 않아, 준수 사용자에게 부과된 개인정보 위험을 "무의미하게" 만든다.
또한 연구자들은 미국 웹의 "Balkanization"에 대해 경고한다. 서로 다른 주가 서로 다른 의무를 가지고 있기 때문에 인터넷 경험이 파편화되고 있다. 사용자는 지리적 위치에 따라 동일한 웹사이트가 다른 콘텐츠를 제공하거나 다른 장애물을 요구할 수 있음을 발견할 수 있다.
폴 피어스 부교수는 뉴욕 주와 같이 해당 법률이 존재하지 않는 주에서도 일부 사이트가 검증을 배치하고 있다고 지적한다. 이는 가장 제한적인 주 법률이 운영을 간소화하거나 책임을 제한하기 위해 전국적인 기준 경험을 규정하기 시작하는 경향을 시사하며, 이는 인터넷의 개방성을 더욱 약화시킨다.
기술적 비판과 앞으로의 길
연구 주변의 기술 논의는 건축에서의 중대한 실패를 강조한다. 비판자들은 현재 실시간 API 아키텍처가 특정 사용자 이벤트와 체인의 모든 중개자 사이에 실시간 링크를 만든다고 지적한다.
산업 관찰자들은 이것이 기술적 제한보다는 경제적 선택이라고 제안한다. 여러 당사자를 통해 검증을 라우팅함으로써 제공자는 "per-query economics"를 활용하여 데이터 공유를 최소화하는 대신 최대화하는 재정적 인센티브를 만들 수 있다. 대안인—Zero-Knowledge Proofs (ZKPs)—는 사용자가 이름, 사진, 신분 문서를 검증 제공자 또는任何第三方과 공유하지 않고도 18세 이상임을 증명할 수 있게 할 수 있다.
반론: 정확성과 철회
결과가 논란이 되고 있다는 점을 명심하는 것이 중요하다. 일부 관찰자와 회사 자체도 연구자들의 해석에 도전하고 있다. 구체적으로, 얼굴 이미지가 클라이언트 측에서 암호화되어 기사가 설명한 방식으로 제3자와 공유되지 않는다는 주장이 제기되었다. Yoti는 이후 연구에서 거짓이라고 설명하는 진술에 대한 철회와 수정을 요청하는 공개 서한을 발행했다.
결론
Yoti 연구의 특정 기술적 주장이 완전히 해결되었는지 여부와 관계없이, 더 넓은 대화는 시스템적 긴장을 드러낸다. 정부가 법률을 집행하기 위해 제3자 중개자의 사용을 의무화할 때, 그들은 실제로 시민 개인정보의 수호를 사기업에 아웃소싱한다. 이러한 기업의 인센티브 구조가 데이터 최소화보다 데이터 수익화를 선호하는 한, 디지털 연령 검증은 개인 정보에 대한 높은 위험의 도박으로 남을 것이다.