Von vielen Seiten werden die Rufe nach Online-Alterskontrollen lauter. Forscher beäugen das Instrument im Auftrag der Grünen im EU-Parlament aber skeptisch.
Unsinn. Es ist möglich die Information “ist über 18” auszuweisen ohne weitere Informationen preiszugeben.
Beispielsweise könnte der Staat eine Art IdP implementieren welche kurzlebige Tokens mit der gewünschten Information ausstellt. Wohlgemerkt, da steht nicht das Geburtsdatum drin, sondern nur, dass die Person über 18 ist. Das wird signiert und dann der Zielapplikation ausgehändigt. Der staatliche IdP weiß nicht, wofür das Token ist. Die Zielapplikation weiß nichts über den Benutzer, außer dass er erwachsen ist.
Finde ich gut, eine absolut wasserdichte technische Lösung gibt es aber glaube ich nicht. Wenn es anonym ist und keine identifizierbaren Infos enthält findet sich jemand der seine eigenen Tokens verkauft oder einfach so herausgibt. Und es gibt das Thema Identitätsdiebstahl. Wenn Leute es schaffen z.B. auf fremden Namen Bankkonten zu eröffnen wird sich zur Tokenerzeugung bestimmt auch ein Weg eröffnen. Am Ende bleiben immer die Eltern in der Pflicht.
Sorry, Jerboa hat Timeout angezeigt aber die Kommentare sind wohl doch gepostet worden 😕
Der Token kann automatisiert innerhalb von Millisekunden weitergesendet werden. Wenn es eine Vorschrift geben sollte, dann ist deine Variante sicherlich mit die Beste. Aber am Ende bleibt die persönliche Verantwortung die einem technische Lösungen nicht nehmen können.
Warum nicht anders herum? Führ ein Kennzeichen für alle Webseiten ein, dass die Jugendfreundlichkeit klassifiziert. Mach die Kennzeichnung verpflichtend in der EU, um die Adoption zu beschleunigen und lass Jugendschutzsoftware entwickeln, die den Zugang zu ungeeigneten Seiten blockiert. Danach muss man nur noch in einer Informationskampagne die Eltern über die Software informieren.
Aber sowas würde der Staat nicht zu seinem Problem machen. Man fordert einfach, dass Gerätehersteller so eine Software zur Verfügung stellen, sonst ist der Vertrieb und vielleicht sogar Betrieb in der EU verboten. Normal wird das so gemacht. Also falls daran etwas problematisch erscheint… Tja.
Ich hab nicht gesagt, dass man eine Software entwickeln soll, sondern, dass man Software entwickeln soll. Es gibt jetzt schon einen Haufen Jugendschutzapps für PC, Mac, Android und iOS. Für Linux bestimmt auch. Die muss man nur erweitern. Und Contentaggregatoren wie Reddit, YouTube, Pornhub, aber auch Spieledistributoren wie Steam wären bestimmt alzu gerne bereit eine solche Schnittstelle zu implementiern, wenn das bedeutet, dass die sich die Altersauthetifizierung sparen können.
Mit anderen Worten, du kannst vermutlich nicht abschätzen, was der Aufwand für die Entwicklung von Software für jedes internet-fähige Gerät ist. Glaub mir, es sprengt jeden Rahmen. Denke daran, es gibt nicht nur Windows-PCs, Macs, iPhones und Android-Telefone. Es gibt Spielkonsolen, unzählige Varianten von Linux, BSDs, Solaris, AIX. Es gibt internetfähige Toster und Kühlschränke. Fernseher, sogar scheiß Bilderrahmen mit einem rudimentären Webbrowser. Und dann reden wir noch nichtmal über all die verschiedenen CPU Architekturen; die wenigsten davon laufen auf amd64, da gibt’s ARM, POWER, MIPS, und unzählige mehr.
Und was sollen CPU Architekturen und BSDs mit Kindern zu tun haben? Am Ende müssen ja auch die Jugendschutzprogramme erstmal eingerichtet werden, was dann den Eltern obliegt. Gib dem Kind keine BSD Box und du musst dich nicht drum kümmern, ob es dafür einen Jugendschtzfilter gibt oder nicht. Und viele Spielekonsolen bieten jetzt schon die Möglichkeit einen Jugendschutzfilter einzurichten.
Nachdem ich über deinen Vorschlag weiter nachgedacht habe, bin ich zu dem Schluss gekommen, dass dein Vorschlag unbrauchbar ist. Es beginnt mit den Tokens. Wenn die Tokens keine identifizierbaren Informationen enthalten sollen, dann muss die Tokengenerierung für alle Leute gleich sein. Dann kann die Generierung reverse-engineered werden, was nur dazu führt, dass Schüler auf dem Pausenhof jetzt Tokrngeneratoren tauschen.
Es geht weiter mit dem IdP. Wo sitzt der denn? Sitzt der beim Staat? Dann muss der Staat eine Datenbank vorhalten, mit denen er deine Anmeldedaten abgleichen kann. Diese Datenbank wird bestimmt auch überhaupt nicht gehackt oder geleaked.
Wenn der Perso wie ein YubiKey in Token ausstellt, dann brauch jeder Hardware, die mit dem Perso interagieren kann.
Wenn man eine App braucht, um mit einem digitalen Perso ein Token auszustellen, dann hat man sich das trojanische Pferd schon ins System geholt. Andernfalls, viel Glück dabei, den Staat davon zu überzeugen, deinen digitalen Perso in FOSS Apps ablegen zu können.
Die Verifizierung ist der nächste Knackpunkt. Wie will man denn jedwede Website, Software und App dazu bekommen, die deutschen Token vernünftig verarbeiten zu können? Die großen Spieler werden das vielleicht machen können, aber viele kleinere werden das nicht, und wenn die nicht in der EU sitzen, dann wollen die das vielleicht auch einfach nicht.
Und überhaupt, mit deinem Vorschlag nimmt man immer noch 83% der Bevölkerung in Bürgehaft zu beweisen, dass sie volljährig sind, um 17% der Bevölkerung zu schützen.
Wenn man Contentprovider dazu anhält den eigenen content zu taggen, dann geht das schon mit einer simplen Erweiterung des HTML Headers, bzw. einer Flag in der Software. Für Contentprovider wäre die Lösung sehr einfach umzusetzen, universell und ohne Nachteile.
Das Filtern findet dann Client Side statt, wie es viele Jugendschutzprogramme bereits versuchen.
Wenn die Tokens keine identifizierbaren Informationen enthalten sollen, dann muss die Tokengenerierung für alle Leute gleich sein. Dann kann die Generierung reverse-engineered werden, was nur dazu führt, dass Schüler auf dem Pausenhof jetzt Tokrngeneratoren tauschen.
Nicht korrekt. Die Tokens sind durch den IdP signiert. Niemand ausser des IdP kann eine solche Signatur erstellen.
Es geht weiter mit dem IdP. Wo sitzt der denn? Sitzt der beim Staat? Dann muss der Staat eine Datenbank vorhalten, mit denen er deine Anmeldedaten abgleichen kann. Diese Datenbank wird bestimmt auch überhaupt nicht gehackt oder geleaked.
Auch nicht. Es reicht, dass dir ein Zertifikat ausgestellt wird, mit welchem du dich beim IdP anmeldest. Das enthält eine Zufallsnummer, die dich mit deinen Daten verbindet. Knackt jemand den IdP, bekommt er nur Nummern in Verbindung mit Geburtstagen.
Die Verifizierung ist der nächste Knackpunkt. Wie will man denn jedwede Website, Software und App dazu bekommen, die deutschen Token vernünftig verarbeiten zu können? Die großen Spieler werden das vielleicht machen können, aber viele kleinere werden das nicht, und wenn die nicht in der EU sitzen, dann wollen die das vielleicht auch einfach nicht.
Gesetze müssen befolgt werden. Auf technischer Ebene könnte man OIDC und JWT oder PASETO nehmen, dafür gibts fix fertige Libraries, das ist trivial und bereits heute weit verbreitet.
Und überhaupt, mit deinem Vorschlag nimmt man immer noch 83% der Bevölkerung in Bürgehaft zu beweisen, dass sie volljährig sind, um 17% der Bevölkerung zu schützen.
Ich mache keine Aussagen darüber ob es eine gute Idee ist, nur dass es leicht zu implementieren ist ohne dass du einem Pornhub Mitarbeiter deinen Ausweis zeigen musst.
Es reicht, dass dir ein Zertifikat ausgestellt wird, mit welchem du dich beim IdP anmeldest. Das enthält eine Zufallsnummer, die dich mit deinen Daten verbindet. Knackt jemand den IdP, bekommt er nur Nummern in Verbindung mit Geburtstagen.
Und dann leaken die Zufallsnummern, die Allen anderen dann erlauben, sich Tokens zu generieren, was uns dann wieder zu Schülern bringt, die auf dem Pausenhof Authentifizierungstokens tauschen.
Gesetze müssen befolgt werden. Auf technischer Ebene könnte man OIDC und JWT oder PASETO nehmen, dafür gibts fix fertige Libraries, das ist trivial und bereits heute weit verbreitet.
Gesetze befolgen ist bei so manchem Service im Internet optional. Die Großen werden damit kein Problem haben, aber viele kleine Blogs und dergleichen werden das entweder nicht umsetzen können oder wollen. Eine Token-basierte Authentifizierungsinfrastruktur aufzubauen ist außerdem weitaus aufwändiger, als Webseiten dazu zu verdonnern, sich mit tags vernünftig zu flaggen. Und wie gesagt, Jugendschutzprogramme gibt es schon zu Hauf, ob die jetzt eine urlin ihrer Whitelist suchen oder den Header nach tags crawlen wird für die sehr wenig unterschied machen.
Und dann leaken die Zufallsnummern, die Allen anderen dann erlauben, sich Tokens zu generieren, was uns dann wieder zu Schülern bringt, die auf dem Pausenhof Authentifizierungstokens tauschen.
Nein. Die Signatur wird durch private Schlüssel erstellt, nicht durch die Nummer im Zertifikat. Der private Schlüssel wird in einem HSM gespeichert.
Gesetze befolgen ist bei so manchem Service im Internet optional.
Unsinn. Es ist möglich die Information “ist über 18” auszuweisen ohne weitere Informationen preiszugeben.
Beispielsweise könnte der Staat eine Art IdP implementieren welche kurzlebige Tokens mit der gewünschten Information ausstellt. Wohlgemerkt, da steht nicht das Geburtsdatum drin, sondern nur, dass die Person über 18 ist. Das wird signiert und dann der Zielapplikation ausgehändigt. Der staatliche IdP weiß nicht, wofür das Token ist. Die Zielapplikation weiß nichts über den Benutzer, außer dass er erwachsen ist.
Erledigt
Finde ich gut, eine absolut wasserdichte technische Lösung gibt es aber glaube ich nicht. Wenn es anonym ist und keine identifizierbaren Infos enthält findet sich jemand der seine eigenen Tokens verkauft oder einfach so herausgibt. Und es gibt das Thema Identitätsdiebstahl. Wenn Leute es schaffen z.B. auf fremden Namen Bankkonten zu eröffnen wird sich zur Tokenerzeugung bestimmt auch ein Weg eröffnen. Am Ende bleiben immer die Eltern in der Pflicht.
Du hast deinen Kommentar etwa 10 mal pfostiert, könntest du bitte die Duplikate löschen
Schwierig, denn die sind sehr kurzlebig, sagen wir 10 Sekunden. Ist ungültig bevor der Käufer es nutzen kann
Sorry, Jerboa hat Timeout angezeigt aber die Kommentare sind wohl doch gepostet worden 😕
Der Token kann automatisiert innerhalb von Millisekunden weitergesendet werden. Wenn es eine Vorschrift geben sollte, dann ist deine Variante sicherlich mit die Beste. Aber am Ende bleibt die persönliche Verantwortung die einem technische Lösungen nicht nehmen können.
In der Tat. Aber sas ist zu viel Aufwand und übersteigt das technische Können von 99% der kantigen Oberstufenschüler.
Diejenigen, die das abfangen können, finden auch sonst zu Pornographie, zB über Piraterie.
Warum nicht anders herum? Führ ein Kennzeichen für alle Webseiten ein, dass die Jugendfreundlichkeit klassifiziert. Mach die Kennzeichnung verpflichtend in der EU, um die Adoption zu beschleunigen und lass Jugendschutzsoftware entwickeln, die den Zugang zu ungeeigneten Seiten blockiert. Danach muss man nur noch in einer Informationskampagne die Eltern über die Software informieren.
Weil es unrealistisch ist, eine Software zu entwickeln, die auf jedem möglichen Gerät läuft.
Außer natürlich Doom.
Aber sowas würde der Staat nicht zu seinem Problem machen. Man fordert einfach, dass Gerätehersteller so eine Software zur Verfügung stellen, sonst ist der Vertrieb und vielleicht sogar Betrieb in der EU verboten. Normal wird das so gemacht. Also falls daran etwas problematisch erscheint… Tja.
Ich hab nicht gesagt, dass man eine Software entwickeln soll, sondern, dass man Software entwickeln soll. Es gibt jetzt schon einen Haufen Jugendschutzapps für PC, Mac, Android und iOS. Für Linux bestimmt auch. Die muss man nur erweitern. Und Contentaggregatoren wie Reddit, YouTube, Pornhub, aber auch Spieledistributoren wie Steam wären bestimmt alzu gerne bereit eine solche Schnittstelle zu implementiern, wenn das bedeutet, dass die sich die Altersauthetifizierung sparen können.
Bist du Software-Entwickler?
Was braucht man software entwickler zu sein, um zu wissen, dass Jugendschutzprogramme jetzt schon Internetseiten-Whitelists anbieten?
Mit anderen Worten, du kannst vermutlich nicht abschätzen, was der Aufwand für die Entwicklung von Software für jedes internet-fähige Gerät ist. Glaub mir, es sprengt jeden Rahmen. Denke daran, es gibt nicht nur Windows-PCs, Macs, iPhones und Android-Telefone. Es gibt Spielkonsolen, unzählige Varianten von Linux, BSDs, Solaris, AIX. Es gibt internetfähige Toster und Kühlschränke. Fernseher, sogar scheiß Bilderrahmen mit einem rudimentären Webbrowser. Und dann reden wir noch nichtmal über all die verschiedenen CPU Architekturen; die wenigsten davon laufen auf amd64, da gibt’s ARM, POWER, MIPS, und unzählige mehr.
Und was sollen CPU Architekturen und BSDs mit Kindern zu tun haben? Am Ende müssen ja auch die Jugendschutzprogramme erstmal eingerichtet werden, was dann den Eltern obliegt. Gib dem Kind keine BSD Box und du musst dich nicht drum kümmern, ob es dafür einen Jugendschtzfilter gibt oder nicht. Und viele Spielekonsolen bieten jetzt schon die Möglichkeit einen Jugendschutzfilter einzurichten.
Meine Lösung funktioniert auf allen Geräten. Deine nicht. Das ist was es miteinander zu tun hat
Was passiert eigentlich, wenn eine Webseite das nicht umsetzt?
Das ist dem Gesetzgeber überlassen. Ich würde mal annehmen, Bußgeld
Und wenn die Seite dann sagt: 第一修正案適用於此 ?
Ist das Mandarin? Falls ja: ich glaube in China ist Pornographie sowieso illegal, also werden sich deren Behörden darum kümmern.
Nachdem ich über deinen Vorschlag weiter nachgedacht habe, bin ich zu dem Schluss gekommen, dass dein Vorschlag unbrauchbar ist. Es beginnt mit den Tokens. Wenn die Tokens keine identifizierbaren Informationen enthalten sollen, dann muss die Tokengenerierung für alle Leute gleich sein. Dann kann die Generierung reverse-engineered werden, was nur dazu führt, dass Schüler auf dem Pausenhof jetzt Tokrngeneratoren tauschen.
Es geht weiter mit dem IdP. Wo sitzt der denn? Sitzt der beim Staat? Dann muss der Staat eine Datenbank vorhalten, mit denen er deine Anmeldedaten abgleichen kann. Diese Datenbank wird bestimmt auch überhaupt nicht gehackt oder geleaked.
Wenn der Perso wie ein YubiKey in Token ausstellt, dann brauch jeder Hardware, die mit dem Perso interagieren kann.
Wenn man eine App braucht, um mit einem digitalen Perso ein Token auszustellen, dann hat man sich das trojanische Pferd schon ins System geholt. Andernfalls, viel Glück dabei, den Staat davon zu überzeugen, deinen digitalen Perso in FOSS Apps ablegen zu können.
Die Verifizierung ist der nächste Knackpunkt. Wie will man denn jedwede Website, Software und App dazu bekommen, die deutschen Token vernünftig verarbeiten zu können? Die großen Spieler werden das vielleicht machen können, aber viele kleinere werden das nicht, und wenn die nicht in der EU sitzen, dann wollen die das vielleicht auch einfach nicht.
Und überhaupt, mit deinem Vorschlag nimmt man immer noch 83% der Bevölkerung in Bürgehaft zu beweisen, dass sie volljährig sind, um 17% der Bevölkerung zu schützen.
Wenn man Contentprovider dazu anhält den eigenen content zu taggen, dann geht das schon mit einer simplen Erweiterung des HTML Headers, bzw. einer Flag in der Software. Für Contentprovider wäre die Lösung sehr einfach umzusetzen, universell und ohne Nachteile.
Das Filtern findet dann Client Side statt, wie es viele Jugendschutzprogramme bereits versuchen.
Nicht korrekt. Die Tokens sind durch den IdP signiert. Niemand ausser des IdP kann eine solche Signatur erstellen.
https://en.m.wikipedia.org/wiki/Elliptic_Curve_Digital_Signature_Algorithm
Auch nicht. Es reicht, dass dir ein Zertifikat ausgestellt wird, mit welchem du dich beim IdP anmeldest. Das enthält eine Zufallsnummer, die dich mit deinen Daten verbindet. Knackt jemand den IdP, bekommt er nur Nummern in Verbindung mit Geburtstagen.
Gesetze müssen befolgt werden. Auf technischer Ebene könnte man OIDC und JWT oder PASETO nehmen, dafür gibts fix fertige Libraries, das ist trivial und bereits heute weit verbreitet.
Ich mache keine Aussagen darüber ob es eine gute Idee ist, nur dass es leicht zu implementieren ist ohne dass du einem Pornhub Mitarbeiter deinen Ausweis zeigen musst.
Und dann leaken die Zufallsnummern, die Allen anderen dann erlauben, sich Tokens zu generieren, was uns dann wieder zu Schülern bringt, die auf dem Pausenhof Authentifizierungstokens tauschen.
Gesetze befolgen ist bei so manchem Service im Internet optional. Die Großen werden damit kein Problem haben, aber viele kleine Blogs und dergleichen werden das entweder nicht umsetzen können oder wollen. Eine Token-basierte Authentifizierungsinfrastruktur aufzubauen ist außerdem weitaus aufwändiger, als Webseiten dazu zu verdonnern, sich mit tags vernünftig zu flaggen. Und wie gesagt, Jugendschutzprogramme gibt es schon zu Hauf, ob die jetzt eine urlin ihrer Whitelist suchen oder den Header nach tags crawlen wird für die sehr wenig unterschied machen.
Nein. Die Signatur wird durch private Schlüssel erstellt, nicht durch die Nummer im Zertifikat. Der private Schlüssel wird in einem HSM gespeichert.
Natürlich, aber das ist eine andere Diskussion.