Proyecto de verificación de edad de la UE exige atestación vinculada al hardware

Artículo original ↗ Discusión en Hacker News ↗

Una iniciativa de verificación de edad de la UE que exige atestación vinculada al hardware está generando alarma por los derechos digitales, la propiedad de los dispositivos y la competencia. Los críticos sostienen que, en la práctica, obliga a los ciudadanos a usar plataformas móviles de Apple o Google, erosiona la computación de uso general (especialmente en Linux y hardware antiguo) y sienta las bases para un rastreo ubicuo de la actividad online vinculado a la identidad bajo la justificación de “proteger a los niños”. Quienes apoyan controles de edad más estrictos replican que alguna forma de hardware de confianza es inevitable para una verificación fiable, pero los opositores insisten en que esto podría lograrse con alternativas menos intrusivas y más abiertas, además de una regulación más sólida de la publicidad y los incentivos de las plataformas.

Alcance del esquema de verificación de edad

  • La verificación de edad se basa en atestación vinculada al hardware (TPM, Secure Enclave, StrongBox).
  • En la práctica, limita la participación a smartphones iOS/Android modernos; los sistemas operativos de escritorio (incluido Linux) quedan relegados a flujos con código QR mediante una “billetera móvil compatible”.
  • Muchos lo ven como una exclusión de facto del hardware antiguo y de sistemas operativos alternativos, en contradicción con objetivos de la UE como la reducción de residuos electrónicos.

Impacto en la computación de uso general

  • Crece la preocupación de que, una vez que TPM/attestation sea un requisito para cualquier actividad online rutinaria, los dispositivos no atestados se vuelvan inutilizables para gran parte de la web.
  • Existe el temor de que los dispositivos tengan que ejecutar sistemas operativos cerrados y aprobados por el proveedor; los equipos con root/ROM personalizadas y los escritorios Linux corren el riesgo de ser tratados como “manipulados” y quedar bloqueados.
  • Los críticos describen esto como un “ataque” a la computación de uso general: el hardware se protege contra el usuario, no para el usuario.

Seguridad y justificación frente al potencial de abuso

  • Quienes lo apoyan argumentan que los límites de edad exigibles requieren inherentemente hardware de confianza; de lo contrario, las claves pueden copiarse o falsificarse.
  • Lo comparan con pasaportes, tarjetas inteligentes y chips bancarios que deben resistir la manipulación del usuario.
  • Los opositores responden que esto crea un enclave permanente de gobierno/corporaciones en cada dispositivo, fácilmente reutilizable para censura, rastreo y DRM, sin una forma realista de excluirse.

Privacidad, rastreo y vinculación de identidad

  • La atestación de hardware hoy no usa ZKP; los identificadores del dispositivo quedan expuestos técnicamente.
  • Apple/Google y los sitios web pueden potencialmente correlacionar atestaciones efímeras con certificados únicos del dispositivo e incluso con registros de compra.
  • Muchos ven esto como un paso hacia una vinculación universal e ineludible con la identidad real para toda actividad online, socavando el anonimato y herramientas como Tor.

“Piensen en los niños” frente a la regulación estructural

  • Un bando: el acceso actual “sin restricciones” perjudica a los menores (pornografía, apuestas, adicción a las redes sociales, depredadores); los controles parentales son insuficientes; alguna forma de verificación robusta de edad es necesaria.
  • Otro bando: la protección infantil se está usando como pretexto para una vigilancia y un control amplios; el acceso sin restricciones también ha impulsado el aprendizaje y la disidencia.
  • Propuestas alternativas:
    • Regular fuertemente o gravar mucho la publicidad online (especialmente dirigida a menores), o prohibir los anuncios en redes sociales.
    • Mejorar los controles parentales a nivel de sistema operativo y el etiquetado de contenido en lugar de comprobaciones de identidad.

Política de la UE, antimonopolio y “billetera” temporal

  • Los críticos cuestionan dónde está la supervisión antimonopolio/anticorrupción de la UE, dada la coerción efectiva para usar los ecosistemas de Apple/Google.
  • Remedios sugeridos: exigir bootloaders abiertos, prohibir o limitar estrictamente la atestación remota, imponer la separación entre sistema operativo y hardware, financiar alternativas de atestación de código abierto y basadas en la UE.
  • Narrativa de la UE: la aplicación actual es una medida provisional hasta que llegue una Billetera de Identidad Digital que preserve la privacidad con credenciales no vinculables (p. ej., BBS+, ZKPs) hacia 2027–2028.
  • Muchos comentaristas dudan de la afirmación de “temporal”, citando la persistencia de medidas “temporales” pasadas.

Trayectoria de Internet

  • Algunos prevén una splinternet: un “Westernet/EUternet” vinculado a la identidad y altamente regulado frente a regiones menos controladas.
  • Otros esperan carreras armamentísticas: mercados negros y grises para exploits y claves de TPM, y esfuerzos continuos por eludir la atestación, aunque no está claro cuán eficaces serán.