EU 연령 인증 프로젝트, 하드웨어 바운드 증명을 의무화
하드웨어 바운드 증명이 필수 요구사항으로
유럽연합의 오픈소스 연령 인증 프로젝트는 하드웨어 바운드 증명을 필수 건축 요구사항으로 정했다. 이는 사용자의 전체 신원을 드러내지 않고 나이를 증명하는 데 사용되는 디지털 자격 증명이 Android의 신뢰할 수행위 실행 환경(TEE), StrongBox 또는 애플의 보안 엔클레이브와 같은 보호된 하드웨어에 저장되어야 함을 의미한다. 이 설계는 수정된 클라이언트가 자격 증명을 복제, 복제하거나 재사용하는 것을 방지하기 위한 것이다.
프로젝트의 기술 사양은 네이티브 암호화 하드웨어 사용을 요구하지만, 참조 구현은 루트 감시 또는 Google Play Integrity와 같은 더 엄격한 검사를 전 세계적으로 의무화하지 않는다; 이러한 검사들을 개별 배포자의 재량에 맡길 수 있다.
오픈 시스템과 리눅스에 미치는 영향
하드웨어 바운드 증명의 요구사항은 오픈소스 운영 체제와 맞춤 하드웨어 사용자에게 상당한 장벽을 만든다.
네이티브 리눅스 지원 배제
현재 네이티브 리눅스 지갑이 존재하지 않는다. 데스크톱 리눅스 사용자는 명시적으로 금지되지는 않지만, QR 코드를 스캔하여 인증을 위해 별도의 기기에서 지원되는 모바일 지갑을 사용해야 한다. 이는 리눅스 머신에서 연령 제한 서비스에 접근하기 위해 인증된 모바일 기기의 소유를 사실상 의무화한다.
맞춤 ROM과 오픈 하드웨어에 대한 장벽
비평가들은 자격 증명을 특정 하드웨어 환경에 묶는 것이 오픈 시스템, 예를 들어 맞춤 안드로이드 ROM을 지원하는 것을 어렵게 만든다고 주장한다. 시스템은 증명 제공자에 의존하기 때문에, 승인된 기기와 운영 체제의 소수에 대한 의존성을 만들어, 오래된 하드웨어나 개인 정보 보호에 중점을 둔 OS 대안을 사용하는 사람들을 잠재적으로 배제할 수 있다.
거버넌스와 "준수 앱" 목록
프로젝트의 소스 코드를 소유한다고 해서 서비스를 실제로 사용할 수 있는 것을 보장하지는 않는다. 나이 증명 제공자는 유럽 위원회가 유지하는 준수 목록에 나타나는 애플리케이션에만 자격 증명을 발급할 것으로 예상된다. 이 거버넌스 모델은 커뮤니티가 구축한 앱 버전이 하드웨어 요구사항과 기술적으로 호환되더라도 필요한 자격 증명을 얻어 기능을 수행할 수 없을 수 있음을 의미한다.
기술적 우려: 프라이버시와 연결 불가성
현재 구현의 기술적 분석은 상당한 프라이버시 위험과 진정한 익명성의 부재를 시사한다.
기기 추적 및 신원 노출
하드웨어 증명 일반적으로 제로지식 증명(ZKP) 또는 블라인드 서명을 활용하지 않는다. 커뮤니티 구성원들이 지적한 바와 같이:
하드웨어 증명은 ZKP 또는 블라인드 서명을 활용하지 않으므로 하드웨어 ID가 기술적으로 노출된다... 구글 또는 애플 증명 중개자들...은 실리콘에 구워진 변경 불가능한 인증서인 고유한 기기 식별자를 갖게 된다.
これにより、メーカーまたは中間業者が単一の物理デバイスに複数のアカウントを関連付け、場合によってはそのデバイスを元の購入者の身元に関連付けることが可能になる。
연결 불가성을 위한 로드맵
프로젝트 타임라인에 따르면, 현재 연령 인증 앱은 임시 조치이다. EU는 2028년까지 "연결 불가성"—제3자 또는 정부가 거래를 실제 신원과 연결하지 못하도록 하는 사실(예: 나이)을 증명할 수 있는 완전한 디지털 지갑을 목표로 한다. 그러나 현재 정부 서버와 모바일 기기의 하드웨어 보안 모듈(HSM)(보안 엔클레이브/StrongBox)은 BBS+ 익명 자격 증명 또는 zk-SNARKs와 같은 이 목표에 필요한 암호화 작업을 아직 지원하지 않는다.
커뮤니티 비판과 사회적 함의
이 프로젝트는 디지털 권리와 시장 경쟁에 미치는 영향으로 인해 기술 커뮤니티로부터 강한 비판을 받아왔다.
디지털 주권: 비판자들은 시민들이 사회에 참여하기 위해 구글 또는 애플 계정에 의존하도록 강요하는 것이 디지털 주권의 실패이자 반경쟁 문제라고 주장한다.
감시 우려: 일부 관찰자들은 "아이들을 보호"하는 내러티브가 모든 온라인 활동을 실제 세계 신원과 연결하여 개인 컴퓨팅에 대한 절대적인 통제 시스템을 만드는 데 사용되는 가리개라고 본다.
시장 독점: 하드웨어와 앱 승인을 의무화함으로써 EU는 유럽 시장에서 몇 개의 외국 기술 거인의 독점을 공고히 할 수 있다.