تقول مؤسسة Electronic Frontier Foundation (EFF) إن إثباتات المعرفة الصفرية (Zero-Knowledge Proofs أو ZKPs) لا توفر حلاً شاملاً لمشكلة التحقق من عمر مستخدمي الإنترنت، رغم تقديمها أحياناً باعتبارها وسيلة تتيح إثبات أن المستخدم بالغ من دون كشف بياناته الشخصية. وترى المؤسسة أن هذه الأنظمة قد تفشل في تحقيق هدفها الأساسي، وتخلق في الوقت نفسه مخاطر جديدة على الخصوصية والأمن وحرية الوصول إلى الخدمات.
تأتي هذه المواقف في وقت تتوسع فيه قوانين التحقق من العمر. فبحسب المادة، لدى نحو نصف الولايات الأميركية قانون يتعلق بالتحقق من عمر مستخدمي الإنترنت، بينما تتقدم مقترحات اتحادية مثل KIDS Act وKids Online Safety Act (KOSA). وفي الاتحاد الأوروبي، تتحرك الدول الأعضاء نحو توفير بنية تحتية للتحقق من العمر عبر تطبيق مركزي بحلول نهاية عام 2026، فيما تطبق أستراليا بالفعل تقييداً واسع النطاق.
من الخصوصية الفردية إلى نقطة تحكم مركزية
تقر EFF بأن التحقق من العمر عبر ZKPs يبدو، في صورته المثالية، أقل كشفاً للبيانات من الأساليب التي تطلب من كل موقع أو تطبيق الاطلاع على معلومات المستخدم. فبدلاً من مشاركة تاريخ الميلاد أو وثيقة الهوية مع كل خدمة، يمكن نظرياً إصدار رمز يثبت أن الشخص فوق سن معينة من دون الكشف عن تفاصيل أخرى.
لكن المؤسسة ترى أن هذا التصميم لا يلغي الحاجة إلى جهة تصدر الرمز أو تتحقق من عمر صاحبه. ومع كل عملية استخدام، قد ينشأ رابط مستمر بين الرمز والجهة التي أصدرته. وإذا استطاعت الجهة المصدرة تسجيل استخدام الاعتماد، فقد يتكون سجل من البيانات الوصفية يوضح الخدمات التي يصل إليها المستخدم. كما قد تتعرض هذه الجهة لضغوط حكومية لحجب وصول شخص ما إلى خدمة معينة، أو لتصبح بوابة مركزية تتحكم عملياً في جزء مهم من الوصول إلى الإنترنت.
كيف تعمل التقنية؟
تسمح إثباتات المعرفة الصفرية لجهاز ما بإثبات صحة معلومة لجهاز آخر من دون كشف المعلومة نفسها. يثبت الجهاز الأول التزاماً رياضياً بالمعلومة، ثم يطرح الجهاز الثاني تحديات لا يمكن الإجابة عنها بصورة صحيحة إلا إذا كانت المعلومة الأصلية صحيحة. ولتجنب بطء التفاعل المتكرر بين الجهازين، تستخدم التطبيقات نسخة غير تفاعلية من هذه العملية.
النسخة الأكثر ارتباطاً بحالات التحقق من العمر هي zk-SNARK. وفيها تُحوّل الإجابة إلى قيمة مختصرة باستخدام التجزئة، بحيث تكون النتيجة نظرياً صعبة التنبؤ أو التلاعب. ويمكن لهذه الآلية، في أفضل سيناريو، أن تثبت أن المستخدم بالغ أو طفل من دون كشف معلومات شخصية إضافية. غير أن EFF تقول إن الاختبارات الواقعية أظهرت أن الخصائص الرياضية للتقنية لا تكفي وحدها لحل مشكلات التطبيق والتشغيل.
ماذا كشفت تجربة الاتحاد الأوروبي؟
من المتوقع أن تتوافر لدى الدول الأوروبية السبع والعشرين بنهاية 2026 بنية للتحقق من العمر عبر تطبيق «محفظة مصغرة» داخل EUDI Wallet، وهي محفظة الهوية الرقمية الأوروبية. وتقول EFF إن نسخة المحفظة التي يجري طرحها للمستخدمين لا تفعّل خصائص ZKPs فعلياً، باستثناء نسخة تجريبية مغلقة أو نموذج أولي لا يستطيع معظم المستخدمين الوصول إليه.
كما وجد باحث أمني، وفق المادة، طريقة لتجاوز النظام باستخدام إضافة بسيطة لمتصفح Chrome. إذ تمكنت الإضافة من خداع التطبيق لقبول رمز «فوق 18 عاماً» نفسه مراراً، من دون طلب تحقق جديد في كل مرة. وتستشهد EFF أيضاً برسالة مفتوحة وقعها أكثر من 400 باحث أمني، حذرت من أن نقاط التحقق من العمر قد تسبب ضرراً أكبر من فائدتها حتى عند تصميمها مع مراعاة الخصوصية.
وتزداد حساسية المخاطر إذا اندمجت المحفظة المصغرة بالكامل مع EUDI Wallet، لأن أي إخفاق محتمل لن يقتصر على بيانات العمر. فالمحفظة قد تحتوي أيضاً على جوازات السفر ورخص القيادة ومعلومات السفر والبيانات المالية، ما يوسع أثر الهجوم أو إساءة الاستخدام.
لماذا يهم هذا النقاش؟
تتمثل النقطة العملية في أن حماية البيانات لا تعتمد على خوارزمية ZKP وحدها، بل على الجهة التي تصدر الاعتماد، وطريقة تخزينه، وإمكان تتبع استخدامه، والضمانات التي تمنع إعادة استخدامه أو تجاوز آلية التحقق. لذلك تخلص EFF إلى أن أي نظام للتحقق الإلزامي من العمر لا يستطيع في الوقت نفسه ضمان الخصوصية والدقة والتغطية الشاملة من دون إدخال مخاطر أمنية كبيرة.
وبما أن المادة تعبر عن موقف EFF، فإن رفضها للتحقق الإلزامي من العمر يمثل رأياً سياسياً وتقنياً منسوباً إلى المؤسسة، لا نتيجة توافق عام. إلا أن الأمثلة المتعلقة بتفعيل ZKPs وتكرار قبول الرمز تقدم أساساً عملياً لمراجعة وعود هذه الأنظمة قبل توسيع نطاق استخدامها.