Electronic Frontier Foundation（EFF）表示，零知识证明（Zero-Knowledge Proofs，或ZKPs）并不能为互联网用户年龄验证问题提供全面解决方案，尽管它有时被描述为一种能够在不披露个人数据的情况下证明用户已成年的方式。该基金会认为，这些系统可能无法实现其基本目标，同时还会对隐私、安全以及访问服务的自由造成新的风险。
这些立场提出之际，年龄验证法律正在不断扩展。据本文介绍，美国大约一半的州拥有涉及互联网用户年龄验证的法律，而KIDS Act和Kids Online Safety Act（KOSA）等联邦提案也在推进。在欧盟，成员国正朝着通过中央应用程序建立年龄验证基础设施的方向发展，计划于2026年底前完成；与此同时，澳大利亚已经实施了大范围限制。
从个人隐私到集中式控制点
EFF承认，理想状态下，通过ZKPs进行年龄验证，相比要求每个网站或应用查看用户信息的方法，能够减少数据披露。用户无需向每项服务分享出生日期或身份证件；理论上，可以签发一个令牌，证明该人已超过特定年龄，而不披露其他细节。
但该基金会认为，这种设计并不能消除对令牌签发者或年龄验证机构的需求。在每次使用过程中，令牌与其签发机构之间可能形成持续关联。如果签发机构能够记录凭证的使用情况，就可能形成一份元数据记录，显示用户访问了哪些服务。此外，该机构可能受到政府压力，被要求阻止某人访问特定服务，或者成为一个实际上控制互联网重要访问部分的中央门户。
这项技术如何运作？
零知识证明允许一台设备向另一台设备证明某项信息为真，而不披露该信息本身。第一台设备证明自己在数学上承诺了该信息，第二台设备随后提出挑战，而只有在原始信息为真的情况下，才能正确回答这些挑战。为避免两台设备之间反复交互造成延迟，应用程序会使用这一过程的非交互式版本。
与年龄验证场景关联最密切的版本是zk-SNARK。在这种机制中，答案会通过哈希转换为一个简短值，使结果在理论上难以预测或篡改。在最佳情形下，这种机制可以证明用户是成年人或儿童，而不披露额外的个人信息。然而，EFF表示，现实测试表明，该技术的数学特性本身不足以解决应用和运行层面的问题。
欧盟试验揭示了什么？
预计到2026年底，27个欧洲国家将通过EUDI Wallet（欧洲数字身份钱包）中的“迷你钱包”应用，获得年龄验证基础设施。EFF表示，目前向用户推出的钱包版本实际上并未启用ZKPs功能，只有一个封闭测试版本或原型例外，而大多数用户无法访问该版本。
据本文介绍，一名安全研究人员还找到了一种利用简单Chrome浏览器扩展绕过系统的方法。该扩展能够欺骗应用程序反复接受同一个“年满18岁”令牌，而无需每次重新验证。EFF还引用了一封由400多名安全研究人员签署的公开信。公开信警告称，即使年龄验证节点在设计时考虑了隐私，也可能造成大于其益处的危害。
如果迷你钱包完全整合进EUDI Wallet，风险的敏感性将进一步增加，因为任何潜在故障都不会局限于年龄数据。该钱包还可能包含护照、驾驶证、旅行信息和财务数据，从而扩大攻击或滥用的影响范围。
为什么这场讨论很重要？
实际要点在于，数据保护并不只取决于ZKP算法本身，还取决于凭证签发机构、凭证的存储方式、追踪其使用情况的可能性，以及防止凭证重复使用或绕过验证机制的保障措施。因此，EFF得出结论称，任何强制性年龄验证系统都无法同时保证隐私、准确性和全面覆盖，而不引入重大的安全风险。
由于本文表达的是EFF的立场，其反对强制年龄验证代表的是归属于该机构的政治和技术观点，而不是普遍共识的结论。不过，关于ZKPs启用情况以及令牌被反复接受的案例，为在扩大这些系统的使用范围之前重新审视其承诺提供了实际依据。