Luật mới của California bắt buộc mọi hệ điều hành phải xác minh độ tuổi khi tạo tài khoản

• Bang California sắp triển khai một đạo luật bắt buộc các nhà cung cấp hệ điều hành (OS) phải thực hiện quy trình xác minh độ tuổi ở bước tạo tài khoản
• Dự luật là Assembly Bill No. 1043, có hiệu lực từ ngày 1 tháng 1 năm 2027, yêu cầu cung cấp giao diện để người dùng nhập ngày sinh hoặc nhóm độ tuổi
• Dựa trên thông tin này, OS phải truyền tín hiệu nhóm độ tuổi cho nhà phát triển bên ngoài qua API thời gian thực
• Windows đã có quy trình nhập ngày sinh nên gần như không thay đổi nhiều, nhưng cộng đồng Linux lo ngại việc thực thi trên thực tế là bất khả thi và xâm phạm nguyên tắc phần mềm tự do
• Biện pháp này cho thấy xu hướng siết chặt xác minh độ tuổi ở cấp chính phủ, trong khi tranh cãi về quyền riêng tư cũng tiếp diễn tại Anh và trên các nền tảng khác

---

Tổng quan về luật xác minh độ tuổi mới của California

• Assembly Bill No. 1043 dự kiến có hiệu lực từ ngày 1 tháng 1 năm 2027
  • Được Thống đốc California Gavin Newsom phê duyệt vào tháng 10 năm 2025
  • Dự luật quy định mọi nhà cung cấp hệ điều hành (OS provider) phải thu thập thông tin độ tuổi khi thiết lập tài khoản
• Theo các điều khoản của luật, nhà cung cấp OS phải thực hiện những việc sau
  • Khi tạo tài khoản, cung cấp giao diện để người dùng nhập ngày sinh hoặc nhóm độ tuổi
  • Truyền tín hiệu nhóm độ tuổi (digital signal) cho nhà phát triển có yêu cầu thông qua API thời gian thực
• Nhóm độ tuổi được chia thành bốn mức
  • Dưới 13 tuổi
  • Từ 13 tuổi đến dưới 16 tuổi
  • Từ 16 tuổi đến dưới 18 tuổi
  • Từ 18 tuổi trở lên

Phạm vi áp dụng và yêu cầu kỹ thuật của luật

• Luật không yêu cầu các phương thức xác thực cường độ cao như nhận diện khuôn mặt
  • Tuy nhiên, tại thời điểm tạo tài khoản, quy trình xác minh độ tuổi cơ bản là bắt buộc
• Nếu nhà phát triển bên ngoài yêu cầu, nhà cung cấp OS phải cung cấp thông tin nhóm độ tuổi qua API thời gian thực nhất quán
• Chức năng này được dùng làm tín hiệu để kiểm soát quyền truy cập theo nhóm tuổi trong cửa hàng ứng dụng

Phản ứng và tranh cãi trong cộng đồng

• Windows đã có quy trình nhập ngày sinh khi tạo tài khoản Microsoft nên tác động là không lớn
• Trong khi đó, cộng đồng Linux phản ứng theo hướng chỉ trích
  • Người dùng CatoDomine trên Reddit r/linuxmint cho rằng “việc California thực thi điều này trên thực tế là bất khả thi”
  • Một số ý kiến đề cập phương án thêm dòng “không dùng được tại California (disclaimer)”
• Những phản ứng này dẫn tới các cuộc thảo luận xoay quanh vấn đề tuân thủ pháp lý của các bản phân phối mã nguồn mở và tính thực tế của việc áp dụng quy định theo từng khu vực

Bối cảnh quốc tế và các trường hợp tương tự

• Online Safety Act của Anh đang triển khai cơ chế xác minh độ tuổi tương tự và bị chỉ trích vì lo ngại xâm phạm quyền riêng tư
• Việc Discord xác minh độ tuổi bằng nhận diện khuôn mặt cũng gây tranh cãi vì mục đích sử dụng dữ liệu không minh bạch
  • Các nhà nghiên cứu bảo mật chỉ ra rằng nhà cung cấp dịch vụ xác minh Persona thực hiện 269 quy trình xác minh riêng lẻ, bao gồm cả kiểm tra dữ liệu liên quan đến khủng bố và gián điệp
• Những trường hợp này cho thấy xu hướng tăng cường xác minh độ tuổi do chính phủ dẫn dắt đang ngày càng lan rộng

Hiệu lực thực tế và triển vọng của luật

• Bài viết trích dẫn quan điểm cho rằng đạo luật này “về thực chất là không thể thực thi”
• Dù vậy, động thái lần này vẫn phản ánh xu hướng chính phủ muốn cưỡng chế xác minh độ tuổi ở cấp độ pháp lý
• Nỗ lực của California được xem là một ví dụ cho sự va chạm giữa tính khả thi về mặt kỹ thuật và bảo vệ quyền riêng tư cá nhân

[GN⁺]

Ý kiến trên Hacker News

• Sau khi đọc lướt nguyên văn của dự luật, có vẻ không có gì đặc biệt quá nghiêm trọng
  Điểm cốt lõi là khi tạo hoặc chỉnh sửa tài khoản người dùng cục bộ, phải có một công tắc để đánh dấu “người dùng này có phải trẻ em hay không”
  Ứng dụng có thể dùng tín hiệu này để phân biệt nội dung dành cho trẻ em và không dành cho trẻ em
  Nói chính xác thì đây không hẳn là luật về xác minh độ tuổi (age verification)

  • Tôi nghĩ đây thực sự là một luật khủng khiếp
    Vì cả ứng dụng lẫn website đều phải có thể dùng tín hiệu này, nên nếu nhập chính xác tuổi của tài khoản trẻ em thì các trang độc hại có thể lợi dụng thông tin đó để nhắm mục tiêu vào trẻ
    Phụ huynh sẽ cố tình nhập sai tuổi để tránh điều này, và kết quả là trẻ em có thể dễ tiếp xúc hơn với nội dung người lớn
    Cuối cùng luật này lại khiến trẻ em gặp nguy hiểm hơn

• Tôi thắc mắc luật này sẽ hoạt động thế nào với các thiết bị không có UI như hệ thống nhúng
  Hơn nữa, kiểu luật như vậy trên thực tế có thể dẫn đến đàn áp tự do ngôn luận
  Tôi thậm chí còn nghĩ chính toàn bộ hệ thống của chính quyền California nên “tuân thủ ác ý” theo luật này — tắt hết mọi OS và dừng hoạt động cho đến khi luật bị bãi bỏ

  • Có vấn đề về thực thi đối với các OS phi thương mại, nhưng phần lớn phản ứng có vẻ chỉ đến từ việc đọc tiêu đề
    OS mà luật nhắc tới chỉ là OS gắn với app store như máy tính phổ thông, di động, console, v.v.
    Hệ thống nhúng, router hay đèn giao thông không nằm trong phạm vi này
    Trên thực tế, nó chỉ ở mức một lời nhắc API hệ thống hỏi tuổi
  • Trên thực tế có lẽ chỉ Windows, Apple và Android là đối tượng bị thực thi
    Có vẻ các nhà lập pháp California còn chẳng biết Linux là gì

• Các hệ thống phụ thuộc vào xác thực từ xa (remote auth) lúc nào cũng có thể bị chặn truy cập (jam)
  Tôi từng reset Chromebook rồi cố đăng nhập, nhưng do xác thực từ xa thất bại nên đã mất toàn bộ dữ liệu
  Những hệ thống quan trọng không nên phụ thuộc vào xác thực từ xa tập trung

• Cũng như để ngăn trẻ vị thành niên mua rượu thì không ai bắt ô tô phải lưu tuổi của tài xế,
  OS không cần phải theo dõi tuổi của người dùng
  Chỉ cần kiểm tra tuổi tại thời điểm truy cập nội dung là đủ

• Các nhà lập pháp California hoàn toàn không hiểu công nghệ mà vẫn liên tục tung ra các dự luật lấy thành tích
  Từ microstamping cho súng, nhận diện súng in 3D, đến xác minh độ tuổi cho lò vi sóng, đầy rẫy những quy định thiếu thực tế
  Cứ thế này thì California có lẽ sẽ quay về thời kỳ đồ đá

  • Gốc rễ vấn đề là cấu trúc khuyến khích sai lệch
    Các nghị sĩ chỉ được tại nhiệm tối đa 12 năm, nên thay vì chịu trách nhiệm dài hạn, họ tập trung vào việc tích lũy thành tích cho hồ sơ cá nhân
  • Tôi tự hỏi các dự luật kiểu này đến từ đâu
    Có vẻ có một số tổ chức đang muốn cưỡng ép kiểm soát truy cập phi định danh
  • Đây là vấn đề phổ biến đến mức có thể bỏ chữ “California” khỏi cụm “các nhà lập pháp California”
  • Microstamping cho súng hình như được khắc ở phần búa, nhưng chẳng phải có thể mài đi hoặc làm mòn rất dễ sao
  • Những công dân đòi hỏi các đạo luật như thế này cũng là một phần vấn đề
    Họ tin rằng cứ “phải làm gì đó” là đúng, nhưng chủ nghĩa hành động trong vô tri lại gây hỗn loạn lớn hơn

• Nếu gắn giới hạn độ tuổi cho các lệnh Linux thì chắc sẽ như thế này
  rm cho mọi lứa tuổi, grep và find là 18+, cat là 18+, sudo cũng 18+, còn kill thì cho mọi lứa tuổi, v.v.

  • Nhưng ngay cả khi không có cat thì vẫn có thể lách bằng một vòng lặp đơn giản
  • ed là lệnh chỉ dành cho nhóm hoài cổ từ 45 tuổi trở lên
  • rm thực ra cũng có thể thành công cụ tìm khiêu dâm, còn reboot hay echo cũng có thể nguy hiểm

• Dự luật thực chất chỉ ở mức thêm một thuộc tính độ tuổi vào hồ sơ người dùng
  Nó cho phép ứng dụng nhận được các gợi ý danh mục độ tuổi như 13+, 16+, 18+, 21+
  Nhờ vậy có thể phân loại độ tuổi theo hướng thân thiện với quyền riêng tư mà không cần quét khuôn mặt hay xác thực thiết bị
  Tuy nhiên vẫn có nguy cơ các công ty như MS, Google, Apple lạm dụng điều này thành một tiêu chuẩn đóng

  • Những đạo luật kiểu này ban đầu được thực thi lỏng lẻo, nhưng về sau lại phát triển thành hệ thống giám sát mạnh hơn với lý do “thực thi chưa đủ mạnh”
  • Việc tạo ra một kênh phụ để trình duyệt và OS trao đổi thông tin người dùng thực ra lại là xâm phạm quyền riêng tư
  • Ngay trong quá trình thiết lập iPhone cũng đã có bước hỏi “trẻ em / thanh thiếu niên / người lớn”

• Tôi không hiểu vì sao OS phải dính vào chuyện này
  Đối tượng của kiểu quy định này đáng ra phải là app store
  Có vẻ như đây là một ví dụ điển hình của Politician’s Logic, liên kết video

  • Lý do rất đơn giản — chỉ cần lần theo dòng tiền
    Các tập đoàn lớn sợ môi trường điện toán đa dụng do người dùng tự kiểm soát
    Xác minh độ tuổi cung cấp một cái cớ giàu cảm xúc để kiểm soát điều đó
  • Nếu phụ huynh tạo tài khoản cho con, còn app store tham chiếu thông tin độ tuổi từ OS để hạn chế ứng dụng, thì điều đó có thể hợp lý
    Có thể làm vậy mà không cần nhận diện khuôn mặt hay nộp giấy tờ tùy thân
  • OS là mẫu số chung nhỏ nhất giữa người dùng và mọi ứng dụng, nên vai trò của nó chỉ là cung cấp một API siêu dữ liệu về nhóm tuổi
    Thực chất điều này gần giống với việc bắt buộc phải có tính năng kiểm soát của phụ huynh
  • Các công ty như OpenAI dùng những đạo luật kiểu này như một cách đẩy trách nhiệm
    Vì Microsoft sẽ xác minh độ tuổi thay họ
  • Nếu OS cung cấp tín hiệu này thì từng ứng dụng sẽ không cần tự thu thập dữ liệu cá nhân, nên xét về quyền riêng tư có khi còn tốt hơn

• Những quy định như thế này có khi lại thúc đẩy trẻ em tự build OS của riêng mình
  Giống như thời trước khi chúng ta tự làm phần cứng và tự biên dịch OS,
  nó có thể trở thành cơ hội để một thế hệ mới học được năng lực tự chủ kỹ thuật

  • Nhưng trẻ em ngày nay có thể thậm chí chưa từng được trải nghiệm một thế giới như vậy
  • Cuối cùng mọi phần cứng có thể sẽ chỉ cho phép OS đã được chứng nhận, và OS không được chứng nhận sẽ trở thành bất hợp pháp
  • Với thế hệ chúng ta thì điều đó không phạm pháp, nhưng giờ đây dường như còn có cả xu hướng cấm luôn điều đó
  • Có thể sẽ đến lúc một đứa trẻ bị cảnh sát học đường điều tra chỉ vì dùng một “OS bất hợp pháp”

• “Right to Read” của Richard Stallman đang trở thành hiện thực một cách đáng kinh ngạc

  • Stallman lúc nào cũng đúng
    Trước đây còn lấy cớ bảo vệ bản quyền, nhưng giờ nó đã biến thành công cụ kiểm soát dân số
    Mức độ đã đến chỗ họ thậm chí không còn buồn viện cớ nữa
  • Càng về sau lời tiên đoán của RMS lại càng chính xác hơn