LWN:加州《数字年龄保证法案》与 Linux 发行版

Joe BrockmeierGemini translation原文链接：https://lwn.net/Articles/1062112/ 

最近在加利福尼亚州颁布的一项法律要求，从明年开始，操作系统提供商 (operating-system providers) 必须提供年龄验证功能。 《数字年龄保证法案》 (Digital Age Assurance Act) 的条文并未将这些要求仅限于专有或商业操作系统；Debian、FreeBSD、Fedora 等项目似乎与 Apple 或 Microsoft 一样需要承担法律责任。虽然有人希望该法律能得到修订，但并不能保证一定会如此。这意味着 Linux 发行版背后的开发者社区不得不在时间紧迫且法律指导匮乏的情况下，讨论是否以及如何遵守该法律。 

该法律要求操作系统提供商提供一种年龄验证形式，该形式可供任何为计算机、移动设备或其他通用计算设备 (general-purpose computing devices) “分发并促进下载第三方开发者应用程序”的网站、应用程序或在线服务查询。该法律将于 2027 年 1 月 1 日生效，这给各发行版留下了不到十个月的时间来确定该法律是否适用于自己，如果适用，则需实施相应的解决方案。 

该法律于 2025 年 2 月提出，并于 2025 年 10 月通过。与欧盟的 《网络弹性法案》 (Cyber Resilience Act, CRA) 等其他立法不同，它似乎在悄无声息中通过了，并未引起受其影响的开源项目的真正抗议。直到 Aaron Rainbolt 于 3 月 1 日在 Debian、Fedora 和 Ubuntu 邮件列表 (mailing lists) 中 发起 关于“不幸地需要一个‘年龄验证’接口 (Application Programming Interface, API)”的讨论后，它才在 Linux 社区引起广泛关注。他提供了加州法律的链接，以及科罗拉多州立法机构正在审议的 一项类似法案。 

该法案内容简短，但不幸的是，许多细节并未明确。法案的前言（摘要）解释说，加州现行法律——如 《适龄设计规范法案》 (Age-Appropriate Design Code Act)——要求提供可能被儿童访问的在线服务的企业估算其用户的年龄。这是为了应用隐私和数据保护，并禁止使用“引导或鼓励儿童”提供超出必要的个人信息，或放弃隐私保护的“暗黑模式” (dark patterns)。人们可能会好奇，为什么加利福尼亚州不把这种礼遇扩展到所有用户。 

为了让企业遵守《适龄设计规范法案》和其他法律，《数字年龄保证法案》强制要求操作系统提供商“在账户设置时提供一个可访问的界面，要求账户持有者 […] 指明该设备用户的出生日期、年龄或两者兼有”。这是为了允许第三方查询用户的年龄段，例如，以确定他们是否有足够的年龄访问某些内容或应用程序。然而，要求在线平台执行年龄验证意味着他们正在处理个人身份信息 (Personally Identifiable Information, PII)；该法律被定位为一种隐私友好型的替代方案，以防止这些服务收集或保留超出提供服务所必需的个人身份信息。例如，网站不再询问用户的生日以确定其年龄，而是应该使用 API 发送查询，询问用户的年龄段。这样，网站就不会收集到表明用户“CAGamerPerson7”出生于 2014 年 6 月 7 日的数据；它只会得到一个证明该用户处于某个特定年龄段的信号。 

在美国，各州立法机构一直在 通过法律要求网站验证 试图访问“成人”内容的人员年龄，或者 对 TikTok 和 Instagram 等社交媒体平台实施年龄限制。例如，一些州现在要求成人网站验证用户的年龄。这通常是通过要求用户出示政府颁发的身份证件，或使用验证年龄的第三方服务（通常也是通过审查个人身份证件）来完成的。一些州还禁止未成年人拥有社交媒体账户，或要求在获得家长同意后方可开通账户。还有一些法律试图让在线服务对儿童“更安全”，例如加州的 SB-976（《保护儿童免受社交媒体成瘾法案》）。该法律于 2024 年通过，规定“上瘾性互联网服务或应用程序的运营商 […] 向用户提供上瘾性推送内容是违法行为，除非运营商并不知道该用户是未成年人”。 

更多的年龄验证立法即将出台。Reddit 用户“aaronsb” 深入研究了 美国各州引入的年龄验证法案。加州的法律是由一个名为 Common Sense Media 的组织推动的一个版本，该组织是一个非营利机构，倡导制定其声称将“对技术问责，并将儿童的福祉置于数字世界的中心”的法律。另一个名为“ 应用商店问责法案 ” (App Store Accountability Act) 的版本已在许多其他州引入。它由一个名为 Digital Childhood Alliance 的组织推动。据 aaronsb 称，该立法的目的是将年龄验证的责任从 Meta 或 Epic Games 等提供商转移到应用商店。该立法似乎并不会影响开源操作系统的提供商。 

年龄验证的方法对于关心隐私的用户来说一直是一场噩梦。实施方案通常要求用户向第三方提供法律身份证明以证明其年龄；这些提供商是攻击者的绝佳目标，而且其中一些已经通过各种形式的数据泄露暴露了这些信息。加州的法律至少允许用户在不与第三方共享数据的情况下自行提供年龄范围；得知没有 13 岁的孩子会为了访问“禁忌”内容而在年龄上撒谎，我们可以松一口气了。 

当然，推动年龄验证法律的浪潮并不局限于美国。2023 年，法国 通过 了一项要求对使用社交媒体的未成年人进行年龄验证的法律，英国颁布了 《网络安全法》 (Online Safety Act)。澳大利亚在 2024 年通过了 《网络安全修正案》。毫无疑问，还有更多此类法律已经通过或正在审议中。 

加州的法律过于宽泛，且没有针对开源操作系统做出豁免。它将操作系统提供商定义为“开发、许可或控制计算机、移动设备或任何其他通用计算设备上的操作系统软件的个人或实体”。违规的处罚是“针对每名受影响的儿童，每次过失违规”罚款 2,500 美元，但每名儿童最高不超过 7,500 美元。这似乎为加州政府起诉任何操作系统提供商（包括 Debian 或 Fedora 等项目）留下了余地，如果这些发行版到明年还没有建立起遵守该法律的机制。 

Rainbolt 表示，由于操作系统提供商需要提供年龄验证 API，他正在研究为 Kicksecure 和 Whonix 发行版实施一套方案。他提出了一些关于如何实现所需功能的想法，例如使用 D-Bus 服务  AccountsService 。然而，这将对长期支持 (Long-Term Support, LTS) 发行版构成挑战；加州的法律要求，只要设备仍在接收更新，即使操作系统在 2027 年 1 月 1 日之前已经安装并设置了账户，也必须提供年龄证明界面。因此，该法律似乎要求操作系统提供商为仍在接收更新的旧系统实施此功能，这意味着它将适用于一些相当古老的 Linux 版本。针对这一要求，他建议发行版采取混合方法，引入一个新的 D-Bus 接口  org.freedesktop.AgeVerification1 ，该接口可以在  AccountsService  中实现，或作为权宜之计通过另一个应用程序实现。 

关于如何实施年龄证明以符合加州法律以及其他司法管辖区的年龄证明要求，人们进行了一些细节讨论。有人可能会认为加州的法律会提供更多关于实施的细节，但事实并非如此。它只是规定，操作系统提供商必须“通过一个合理一致的实时应用程序编程接口，为开发者提供关于特定用户的数字信号，以识别”用户的年龄段。 

elementary OS 的创始人兼 CEO Danielle Foré 发表了 一些看法，并提供了 Apple 的“声明年龄范围 API” (Declared Age Range API) 的 文档 指引。在私信中，她表示正在讨论的实现方案将模仿该 API： 

它完全在设备上运行，由用户自行声明，并在尽力遵守法律的同时，尽可能少地向开发者提供信息。 

我认为参与讨论的人们的普遍共识是，我们并不认为年龄声明是赋能家长的最佳方式，而且我们都非常希望请求尽可能少的数据，仅将其存储在您的设备上，并仅向应用开发者提供法律要求的最低限度数据。讨论是在不情愿的情况下进行的。没有人渴望做这件事，我们都希望法律能在实施截止日期之前被推翻。 

在 Rainbolt 发起的讨论中，不少活跃人士要么认为该法律不适用于开源操作系统，要么建议各项目应该忽略该法律。例如，律师 Vincent F. Heuser Jr. 表示 ，他怀疑加州“是否真的能成功将该法律应用于 Debian、Ubuntu”等项目。Debian 开发者 Soren Stoutner 表示 ，发行版应该“对实施这项危险的立法不采取任何行动”，因为他预计它会被推翻或不予执行。此外， Fedora 的 Discourse 论坛 和其他地方也有许多讨论，但在官方法律指导方面却处于真空状态。我联系了一些可能适合发表评论的法律专家和组织。软件自由保护协会 (Software Freedom Conservancy, SFC) 和电子前哨基金会 (Electronic Frontier Foundation, EFF) 做出了回应。 

SFC 的政策研究员及常驻黑客 Bradley Kühn 对该法律提出了一些看法，包括州长 Gavin Newsom 曾发表过一份 签署声明，敦促立法机构修订该法律，以解决视频游戏开发者和流媒体服务提出的一些担忧。这可能也是豁免开源操作系统的机会。Kühn 表示，即使该法律按原样生效，对“自由开源软件 (Free and Open Source Software, FOSS) 来说也不是灾难”：“实施该法案并不需要数字版权管理 (Digital Rights Management, DRM)、供应商限制启动或其他违反版权留置 (copyleft) 的技术”。他补充说，SFC 仅关注对 FOSS 本身和版权留置许可的影响，因为这是其专业领域。SFC 仍在分析该法案，他表示可能会在大约一个月后发布一份综合声明。 

EFF 公益技术团队的政策与研究员 Samantha Baldwin 表示，这些法案在“技术上是无知的”。法案中唯一的例外是针对宽带互联网接入服务，“我们猜测这是为了免除路由器和调制解调器实施年龄分段的要求”。EFF 在 2025 年 3 月发布了一份 声明，详细说明了当时对该法案的担忧，包括担心平台审查受保护的言论，以及年龄验证法律从隐私和安全角度对所有用户的影响。EFF 确实认为，该法律对 FOSS 项目生成的操作系统是可强制执行的： 

法案起草者似乎只考虑了来自企业供应商的通用操作系统，但几乎任何数字设备都会运行某种操作系统。这在技术上完全是荒谬的。让你的耳机、胰岛素泵、电子自行车、烤箱或煤油驱动的奶酪磨碎机实施年龄分段是不可行的，然而所有这些设备都运行着操作系统。 

这些法案直击数字自由的核心，打击了我们控制自己设备的能力。它们试图限制我们运行由自由（既指言论自由，也指免费）软件组成的开放平台的能力。 

法案文本中没有任何内容豁免非商业项目，这意味着像 BSD 系列、Plan 9、OpenSolaris 等开源研究型操作系统都会受到影响。 

这些法律应该在法庭上对其合宪性提出挑战。 

Linux 发行版和其他开放操作系统将选择如何应对或实施这一要求，目前在很大程度上仍悬而未决。MidnightBSD 已在其 下载页面 上宣布，要求进行年龄验证的国家、州或地区的居民“未被授权使用”该操作系统。Fedora 项目负责人 Jef Spaleta 指出，年龄验证法律“完全属于需要法律建议的范畴”。Canonical 工程副总裁 Jon Seager 表示，公司已意识到这一立法，并正在与法律顾问进行审查。“目前还没有关于 Ubuntu 将如何或是否会做出改变的明确计划”。 

总部位于科罗拉多州的 System76 开发了基于 Ubuntu 的 Pop!_OS 发行版。其 CEO Carl Richell 表示，他已经会见了该州年龄证明法案的共同作者、科罗拉多州参议员 Matt Ball。他说 Ball 建议将开源软件排除在该法案之外，这“似乎是一个真正的可能性”。此外，他预计加州的法律也会有修正案。 

我希望我们的行动足够快，能够影响加州法案修正案，从而将开源排除在前。 

不要抱有幻想，这是一场艰苦的战斗，但我们有一扇可以为开源社区发声的大门。 

如果我们足够幸运，开源操作系统将在加州法律生效以及科罗拉多州法案通过（如果通过的话）之前获得豁免。然而，这并不意味着此类法律实际上是良好的政策，只是开源项目将不必承担为了遵守糟糕政策而不得不实施功能的重担。充其量，《数字年龄保证法案》似乎是“保护”儿童的一次徒劳尝试，而实际上除了给操作系统提供商和应用程序开发者增加合规烦恼外，别无他用。 

LWN 评论概述：

该法案引发了关于合宪性、技术可行性以及隐私权的广泛讨论。许多评论者认为该法律违反了美国宪法第一修正案，因为它对开发者构成了“强迫言论”，并可能产生抑制人们获取信息的“寒蝉效应”。从技术角度来看，许多人指出这种年龄验证机制极易被绕过，例如通过 root 权限、重新安装系统或使用虚拟机等手段。虽然少数人认为建立一种中心化的年龄验证信号对于博彩等特定行业有一定的合理性，但大多数人将其视为对通用计算和数字自由的攻击。此外，一些用户建议开源项目直接忽略该法律，期待其在法庭审理中被推翻，并提到了第九巡回法院最近的相关判决作为其可能失效的证据。