Поправки к закону Юты о проверке возраста в интернете вступают в силу 6 мая. Таким образом, Юта становится первым американским штатом, который на законодательном уровне приравнивает использование VPN к обходу систем верификации. Документ, подписанный губернатором Спенсером Коксом 19 марта, гласит: пользователь считается находящимся в Юте, если он физически присутствует на территории штата, вне зависимости от того, маскирует ли он свой IP-адрес с помощью VPN или прокси-серверов. Кроме того, ресурсам, подпадающим под действие закона, запрещено публиковать инструкции по использованию VPN для обхода возрастных ограничений.
Представители сервиса NordVPN уже назвали новый закон «неразрешимым парадоксом» и «ловушкой ответственности». По их мнению, власти наказывают веб-сайты за неспособность идентифицировать пользователей, которые применяют инструменты, специально созданные для сохранения анонимности. Правозащитники из Фонда электронных рубежей (EFF) предупреждают: чтобы избежать юридических рисков, интернет-площадкам придётся либо полностью блокировать все известные IP-адреса VPN-сервисов, либо вводить принудительную проверку возраста для всех посетителей в мире.
Главная проблема инициативы заключается в её технической несостоятельности. Закон исходит из того, что владельцы сайтов могут надёжно выявлять VPN-трафик и определять реальное местоположение человека, что на практике невозможно. Базы репутации IP-адресов способны помечать трафик из известных диапазонов дата-центров, однако коммерческие VPN-провайдеры постоянно меняют адреса, а узлы резидентных VPN практически неотличимы от обычных домашних подключений. Анализ номеров автономных систем (ASN) может выявить подключение из дата-центра, но не распознает личный туннель, развёрнутый на облачном виртуальном сервере, поскольку его трафик идёт через ту же инфраструктуру, что и обычный веб-хостинг.
Единственный метод, позволяющий уверенно распознавать сигнатуры VPN-протоколов, – это глубокий анализ пакетов (DPI), который проверяет трафик на сетевом уровне, а не на уровне системы или приложения. Подобные системы DPI развёртываются на стороне интернет-провайдеров: например, так работает «Великий китайский файрвол» или российские ТСПУ (технические средства противодействия угрозам). Обычный оператор веб-сайта не может применить эту технологию, так как у него нет доступа к сетевой инфраструктуре между пользователем и сервером.
Из-за этого закон, скорее всего, ударит не по технически подкованным энтузиастам, а по рядовым пользователям, которым коммерческие VPN-сервисы нужны для защиты приватности, в том числе журналистам, политическим деятелям и жертвам насилия.
Юта – не единственный регион, пытающийся закрепить требования в законе. В январе Палата лордов Великобритании проголосовала (207 голосов против 159) за запрет VPN-сервисов для лиц младше 18 лет; теперь эти поправки должна рассмотреть Палата общин. После того как в июле прошлого года в Соединённом Королевстве вступили в силу требования о проверке возраста, использование VPN в первый же день взлетело более чем на 1400%. Во Франции министр по цифровым вопросам Анн Ле Энанф также заявила, что регулирование VPN – «следующий пункт в её списке». В то же время в штате Висконсин аналогичные законопроекты были отклонены в начале этого года из-за резкой критики со стороны общественности.
