欧盟年龄验证强制硬件绑定引争议
EU Age Verification Project Mandates Hardware-Bound Attestation
欧盟开源的年龄验证项目因强制要求硬件绑定证明而引发社区激烈讨论。项目维护者明确表示，将凭证绑定到特定硬件环境是核心架构要求，无法妥协。这一设计虽然能利用 Android TEE、StrongBox 或 Apple Secure Enclave 等安全硬件防止凭证被克隆，但也引发了对 Linux 系统、自定义 Android ROM 及独立编译应用兼容性的担忧。批评者指出，这可能导致系统仅依赖少数获批设备和操作系统，削弱了开源生态的开放性。尽管桌面 Linux 用户理论上可通过扫描 QR 码访问，但缺乏原生钱包支持，且最终服务访问权掌握在欧盟委员会维护的合规应用名单手中。开源代码并不等同于真正的开放，当访问权限受制于特定硬件和受信任环境时，该项目的“开源”属性正面临严峻拷问。
硬件绑定证明是此项目的要求，而非我们可以随意舍弃的实现细节。
HN 评论区
181- big85
这一切表面上是为了防止青少年男孩观看 Pornhub（尽管家长控制功能早已存在）。
当然，真正的原因是强迫人们将真实的现实身份标识与在线活动绑定。先是从移动端开始，然后是 Windows。接着 Linux 将因势单力薄而无法独自抗衡，只能被迫适应或走向灭亡。
- afandian
我不明白欧盟的反垄断和反腐败监管机构都去哪儿了。_政府_强制要求你必须拥有 Google 或 Apple 账户才能参与社会生活，这简直荒谬透顶。
这不仅仅是一个数字主权问题，也是一个反竞争问题。
- WhyNotHugo
> Linux 并未被明确禁止。桌面版 Linux 用户可以通过访问网站并使用受支持的移动钱包扫描二维码来访问。
这种说法真是怪透了。如果你想用 Linux，基本上就得准备第二台非 Linux 设备。
如果你使用 Linux 的理由是“我想继续使用旧硬件，而不是那些很快就会被淘汰的设备”，那你可就惨了：你不得不从那些厂商那里购买（可能是第二台）设备，而他们拿到的利润将用于进一步游说，以反对你的权利。
- teravor
请注意，硬件证明（hardware attestation）并没有利用零知识证明（ZKP）或盲签名。因此，你的硬件 ID 在技术上是被暴露的。
通常，要利用这种暴露，需要多方串通。Google 或 Apple 的证明中介（他们将你的静态证书转换为临时证书）需要记录信息，当这些信息与你证明给对方的信息（使用临时证书完成）结合时，他们就能获得你的唯一设备标识符（即烧录在硅片上不可更改的证书）。
这更加险恶，因为没有任何东西能阻止制造商记录证书标识符并将其与设备的订单 ID 关联起来。因此，他们不仅能将多个账户关联在一起，还能将其与购买该设备的身份关联起来。
在移动设备上，你甚至无法限制此功能，因为它通过 API 暴露（远程证明以及 DRM 许可证请求握手初始化）。即使是 GrapheneOS 也不提供禁用它的选项。
此外，上述内容的含义是，在 Android 手机上没有私密方式拥有 Google 账户。他们会知道是你，或者是将设备卖给你的前任机主（这使得 VPN 变得毫无意义）。
- 0xfedcafe
欧洲的言论自由来了。有了 Chat Control，这甚至更加可笑。合规清单，又是欧盟委员会，一如既往。
- tzs
需要注意的是，这款应用只是临时的。欧盟的目标是推出一款数字钱包应用，你可以将身份证件存储其中，并用以向第三方证明这些证件的相关事实，且第三方无法获取额外信息——只能看到你选择披露的内容（例如仅你的年龄或仅你的国家），并且即使网站和政府共享日志，也无法将你的真实身份与使用该网站的行为关联起来（这被称为不可链接性）。
该功能要到 2028 年左右才能完全就绪。他们希望更早提供年龄验证功能，这就是这款应用。它不具备不可链接性。
以下是预期时间表。
钱包应用的第一版预计将在今年年底或 2027 年初推出。届时它仍将不具备不可链接性，因为 Apple 的 Secure Enclave 和 Android 的 StrongBox 不支持最终用于此目的的加密操作，即 BBS+ 匿名凭证或 ZKP。BBS+ 有一个变体可以在现有手机上实现不可链接性，但不幸的是，政府在向你颁发身份凭证时目前使用的硬件安全模块（HSM）无法处理 BBS#。
在 2027-2028 年，他们计划升级政府服务器以支持 BBS# 或 zk-SNARK，并更新钱包以使用这些技术，从而实现不可链接性以及匿名年龄（和其他数据）验证。
- buran77
> 一位维护者确认，硬件绑定证明是强制性的架构要求
硬件绑定本身不是问题，问题在于将其限制为仅限 iPhone 和部分 Android 手机。许多硬件都能安全地保存密钥，并不需要 Apple 或 Google 的批准。
- freefaler
Cory Doctorow 在很久以前（10 多年前）就对此发表过非常深刻的演讲。
https://www.youtube.com/watch?v=HUEvRyemKSg
随着互联网成为人们进行各种活动的主要场所，没有任何政府（尤其是安全部门）能够克制自己不去试图控制它，或者至少监控它。而借助新的 LLM 功能，他们能自动做比以前多得多的事情。
人性是恒定的，当政府发现了一种轻松执行某事的途径时，会有更多的官僚试图这样做。