Electronic Frontier Foundation (EFF), sıfır bilgi kanıtlarının (Zero-Knowledge Proofs veya ZKPs), kullanıcıların kişisel verilerini ifşa etmeden yetişkin olduklarını kanıtlamalarını sağlayan bir araç olarak zaman zaman sunulmasına rağmen, internet kullanıcılarının yaşını doğrulama sorununa kapsamlı bir çözüm sunmadığını söylüyor. Vakıf, bu sistemlerin temel amaçlarını gerçekleştirmekte başarısız olabileceğini ve aynı zamanda gizlilik, güvenlik ve hizmetlere erişim özgürlüğü açısından yeni riskler yaratabileceğini düşünüyor.
Bu görüşler, yaş doğrulama yasalarının yaygınlaştığı bir dönemde ortaya çıkıyor. Makaleye göre, ABD eyaletlerinin yaklaşık yarısında internet kullanıcılarının yaşının doğrulanmasına ilişkin bir yasa bulunurken, KIDS Act ve Kids Online Safety Act (KOSA) gibi federal öneriler ilerliyor. Avrupa Birliği'nde üye devletler, 2026 yılının sonuna kadar merkezi bir uygulama aracılığıyla yaş doğrulama altyapısı sağlamaya yönelirken, Avustralya hâlihazırda geniş kapsamlı bir kısıtlama uyguluyor.
Bireysel gizlilikten merkezi bir kontrol noktasına
EFF, ideal biçimiyle ZKP'ler üzerinden yaş doğrulamanın, her site veya uygulamanın kullanıcı bilgilerini görmesini gerektiren yöntemlere kıyasla daha az veri ifşa ediyor gibi göründüğünü kabul ediyor. Her hizmetle doğum tarihini veya kimlik belgesini paylaşmak yerine, teorik olarak kişinin belirli bir yaşın üzerinde olduğunu, başka ayrıntıları ifşa etmeden kanıtlayan bir belirteç oluşturulabilir.
Ancak vakıf, bu tasarımın belirteci düzenleyen veya sahibinin yaşını doğrulayan bir kuruma duyulan ihtiyacı ortadan kaldırmadığını düşünüyor. Her kullanım işleminde belirteç ile onu düzenleyen kurum arasında kalıcı bir bağlantı oluşabilir. Düzenleyen kurum kimlik bilgisinin kullanımını kaydedebilirse, kullanıcının hangi hizmetlere eriştiğini gösteren bir meta veri kaydı oluşabilir. Ayrıca bu kurum, belirli bir kişinin belirli bir hizmete erişimini engellemesi için hükümet baskısına maruz kalabilir veya internet erişiminin önemli bir bölümünü fiilen kontrol eden merkezi bir geçit hâline gelebilir.
Teknoloji nasıl çalışıyor?
Sıfır bilgi kanıtları, bir cihazın bir başka cihaza bir bilginin kendisini açıklamadan o bilginin doğruluğunu kanıtlamasına olanak tanır. İlk cihaz, bilgiyle matematiksel bir bağlılık olduğunu kanıtlar; ikinci cihaz ise ancak ilk bilgi doğruysa doğru biçimde yanıtlanabilecek sorular yöneltir. Cihazlar arasındaki tekrarlanan etkileşimin yavaşlığını önlemek için uygulamalar bu sürecin etkileşimsiz bir sürümünü kullanır.
Yaş doğrulama durumlarıyla en çok ilişkilendirilen sürüm zk-SNARK'tır. Bu yöntemde yanıt, özetleme kullanılarak kısa bir değere dönüştürülür; böylece sonuç teorik olarak tahmin edilmesi veya değiştirilmesi zor bir hâle gelir. Bu mekanizma, en iyi senaryoda, ek kişisel bilgileri ifşa etmeden kullanıcının yetişkin veya çocuk olduğunu kanıtlayabilir. Ancak EFF, gerçek dünya testlerinin teknolojinin matematiksel özelliklerinin uygulama ve işletim sorunlarını tek başına çözmeye yetmediğini gösterdiğini söylüyor.
Avrupa Birliği denemesi ne ortaya çıkardı?
Avrupa'nın 27 ülkesinin 2026 yılı sonuna kadar EUDI Wallet, yani Avrupa dijital kimlik cüzdanı içindeki bir «mini cüzdan» uygulaması aracılığıyla yaş doğrulama altyapısına sahip olması bekleniyor. EFF, kullanıcılara sunulan cüzdan sürümünün, çoğu kullanıcının erişemediği kapalı bir deneme sürümü veya prototip dışında ZKP özelliklerini fiilen etkinleştirmediğini söylüyor.
Ayrıca makaleye göre bir güvenlik araştırmacısı, basit bir Chrome tarayıcı eklentisi kullanarak sistemi aşmanın bir yolunu buldu. Eklenti, uygulamayı «18 yaşından büyük» belirtecinin her seferinde yeni bir doğrulama talep edilmeden tekrar tekrar kabul edilmesi için kandırmayı başardı. EFF ayrıca, 400'den fazla güvenlik araştırmacısının imzaladığı ve yaş doğrulama noktalarının gizlilik gözetilerek tasarlansalar bile yararlarından daha büyük zarara yol açabileceği uyarısında bulunan açık mektuba da atıfta bulunuyor.
Mini cüzdanın EUDI Wallet ile tamamen bütünleşmesi hâlinde risklerin hassasiyeti artıyor; çünkü olası herhangi bir başarısızlık yalnızca yaş verileriyle sınırlı kalmayacak. Cüzdan ayrıca pasaportları, sürücü belgelerini, seyahat bilgilerini ve finansal verileri içerebilir; bu da saldırının veya kötüye kullanımın etkisini genişletir.
Bu tartışma neden önemli?
Pratik açıdan temel nokta, veri korumanın yalnızca ZKP algoritmasına bağlı olmamasıdır. Aynı zamanda kimlik bilgisini düzenleyen kuruma, bunun nasıl saklandığına, kullanımının izlenip izlenemeyeceğine ve yeniden kullanılmasını veya doğrulama mekanizmasının aşılmasını önleyen güvencelere de bağlıdır. Bu nedenle EFF, zorunlu bir yaş doğrulama sisteminin aynı anda büyük güvenlik riskleri yaratmadan gizliliği, doğruluğu ve kapsamlı kapsama alanını garanti edemeyeceği sonucuna varıyor.
Makale EFF'nin görüşünü yansıttığı için, kurumun zorunlu yaş doğrulamasını reddetmesi genel bir uzlaşının sonucu değil, kuruma atfedilen siyasi ve teknik bir görüştür. Bununla birlikte, ZKP'lerin etkinleştirilmesi ve belirtecin tekrar tekrar kabul edilmesine ilişkin örnekler, bu sistemlerin kullanım alanı genişletilmeden önce sundukları vaatlerin gözden geçirilmesi için pratik bir temel oluşturuyor.