A Electronic Frontier Foundation (EFF) afirma que as provas de conhecimento zero (Zero-Knowledge Proofs ou ZKPs) não oferecem uma solução abrangente para o problema da verificação da idade dos usuários da internet, embora às vezes sejam apresentadas como um meio de permitir provar que o usuário é adulto sem revelar seus dados pessoais. A fundação considera que esses sistemas podem não alcançar seu objetivo principal e, ao mesmo tempo, criar novos riscos para a privacidade, a segurança e a liberdade de acesso aos serviços.
Essas posições surgem em um momento de expansão das leis de verificação de idade. Segundo o artigo, cerca de metade dos estados americanos tem uma lei relacionada à verificação da idade dos usuários da internet, enquanto avançam propostas federais como o KIDS Act e o Kids Online Safety Act (KOSA). Na União Europeia, os Estados-membros avançam rumo à oferta de uma infraestrutura de verificação de idade por meio de um aplicativo central até o fim de 2026, enquanto a Austrália já aplica uma restrição de amplo alcance.
Da privacidade individual a um ponto central de controle
A EFF reconhece que a verificação de idade por meio de ZKPs parece, em sua forma ideal, revelar menos dados do que os métodos que exigem que cada site ou aplicativo consulte as informações do usuário. Em vez de compartilhar a data de nascimento ou o documento de identidade com cada serviço, teoricamente seria possível emitir um token que prove que a pessoa tem mais de determinada idade sem revelar outros detalhes.
Mas a fundação considera que esse projeto não elimina a necessidade de uma entidade que emita o token ou verifique a idade de seu titular. A cada uso, pode surgir um vínculo contínuo entre o token e a entidade que o emitiu. Se a entidade emissora puder registrar o uso da credencial, poderá ser formado um registro de metadados que mostre quais serviços o usuário acessa. Essa entidade também poderá sofrer pressões governamentais para bloquear o acesso de alguém a determinado serviço ou tornar-se um portal central que controle, na prática, uma parte importante do acesso à internet.
Como funciona a tecnologia?
As provas de conhecimento zero permitem que um dispositivo prove a validade de uma informação a outro dispositivo sem revelar a própria informação. O primeiro dispositivo prova um compromisso matemático com a informação, e o segundo apresenta desafios que só podem ser respondidos corretamente se a informação original for verdadeira. Para evitar a lentidão da interação repetida entre os dois dispositivos, os aplicativos usam uma versão não interativa desse processo.
A versão mais associada aos casos de verificação de idade é a zk-SNARK. Nela, a resposta é transformada em um valor resumido por meio de hashing, de modo que o resultado seja, em teoria, difícil de prever ou manipular. No melhor cenário, esse mecanismo pode provar que o usuário é adulto ou criança sem revelar informações pessoais adicionais. No entanto, a EFF afirma que testes reais mostraram que as propriedades matemáticas da tecnologia, por si só, não são suficientes para resolver problemas de aplicação e operação.
O que o teste da União Europeia revelou?
Espera-se que, até o fim de 2026, os 27 países europeus disponham de uma infraestrutura de verificação de idade por meio de um aplicativo de “minicarteira” dentro da EUDI Wallet, a carteira de identidade digital europeia. A EFF afirma que a versão da carteira que está sendo disponibilizada aos usuários não ativa efetivamente os recursos de ZKPs, com exceção de uma versão experimental fechada ou de um protótipo ao qual a maioria dos usuários não consegue ter acesso.
Segundo o artigo, um pesquisador de segurança também encontrou uma maneira de contornar o sistema usando uma simples extensão para o navegador Chrome. A extensão conseguiu enganar o aplicativo para que aceitasse repetidamente o mesmo token de “maior de 18 anos”, sem solicitar uma nova verificação a cada vez. A EFF também cita uma carta aberta assinada por mais de 400 pesquisadores de segurança, que advertiu que os pontos de verificação de idade podem causar mais danos do que benefícios, mesmo quando projetados levando a privacidade em consideração.
Os riscos tornam-se ainda mais sensíveis se a minicarteira for totalmente integrada à EUDI Wallet, pois qualquer falha potencial não se limitaria aos dados de idade. A carteira também poderá conter passaportes, carteiras de motorista, informações de viagem e dados financeiros, ampliando o impacto de um ataque ou uso indevido.
Por que esse debate é importante?
O ponto prático é que a proteção de dados não depende apenas do algoritmo ZKP, mas da entidade que emite a credencial, da forma como ela é armazenada, da possibilidade de rastrear seu uso e das salvaguardas que impedem sua reutilização ou a burla do mecanismo de verificação. Por isso, a EFF conclui que nenhum sistema de verificação obrigatória de idade consegue, ao mesmo tempo, garantir privacidade, precisão e cobertura abrangente sem introduzir riscos significativos de segurança.
Como o artigo expressa a posição da EFF, sua rejeição à verificação obrigatória de idade representa uma opinião política e técnica atribuída à fundação, não um resultado de consenso geral. No entanto, os exemplos relacionados à ativação de ZKPs e à aceitação repetida do token oferecem uma base prática para revisar as promessas desses sistemas antes de ampliar seu uso.