英國《網絡安全法》：超越 VPN 與代理伺服器的年齡核實

英國《網絡安全法》（Online Safety Act）將標準由「設有年齡門檻」提升至真正有效的年齡核實。對於任何依賴用戶表面位置的團隊而言，這都帶來一個棘手的問題：一旦用戶開啟 VPN，會發生甚麼情況？

關鍵字在於「有效」

此項義務並非勾選一項便可完成。當局要求所採取的措施須與風險相稱，並在實際運作中足夠可靠。一個 VPN 便能輕易穿過的門檻，在實踐上談不上可靠，監管機構亦已明確表示，繞過問題的責任在於營運方。

VPN 是最明顯的繞過途徑

年齡限制收緊後，VPN 註冊數量隨即急升。這並非巧合：VPN 會更換表面的 IP 位址，因此地理位置或國家核查所見的是伺服器，而非用戶本人。若你的年齡核實依賴表面位置，VPN 便會悄然使其失效。

先偵測掩蓋行為，再作決定

你毋須一律封鎖所有 VPN 用戶，但必須能夠識別他們。基本流程如下：

1. 偵測匿名化工具，配合 VPN 偵測、代理伺服器偵測以及 Tor 出口節點檢查。來源被掩蓋只是一項訊號，並非自動判定。
2. 執行你的政策。 一旦來源被掩蓋，即升級至更嚴格的核實方式，或按最嚴格的內容分類予以封鎖。關鍵在於，此項決定須經審慎考量並予以記錄。
3. 保存紀錄。 就每一次請求，保存核實過程及處置行動的證據。

義務中的舉證部分

證明已採取相應措施，與實際採取措施本身同樣重要。可於事後編輯的紀錄，算不上證據。哈希鏈式紀錄則不同：每一項紀錄均會將前一項紀錄的哈希值連同自身資料一併封存，因此任何竄改都會令這條鏈斷裂，並於核實時被發現。

Provenance 一次調用即可完成上述兩個部分。它以我們偵測工具背後同一套引擎，識別 VPN、代理伺服器及 Tor 掩蓋行為，將判定結果對應至你所在司法管轄區的具體政策，並寫入一份防竄改的審核紀錄，可匯出為附有簽署的證據，供監管機構查核。

結論

若你唯一的訊號是表面位置，高效的年齡核實與 VPN 繞過便無法並存。偵測掩蓋行為，按你的政策採取行動，並保存一份經得起查核的紀錄。一如既往，請將技術控制措施與法律意見及你的年齡核實服務供應商相配合，此文僅屬合規措施說明，並非法律意見。