Az utóbbi időben egyre több olyan életkor-ellenőrzési szabályozás kerül napirendre, amely már nem csupán a weboldalakat és alkalmazásokat kötelezné, hanem közvetlenül az operációs rendszerekre (operating system, OS) tolná át a felelősséget. A kaliforniai AB-1043 vagy a brazíliai gyermek- és ifjúságvédelmi keretrendszer (ECA) egyes értelmezései szerint az operációs rendszernek kellene ellenőriznie vagy igazolnia (attest) a felhasználó életkorát. Ez alapvető szemléletváltás: nem a szolgáltató döntene arról, hogyan kér életkort, hanem az OS-nek kellene valamilyen életkor-bizonyítékot kezelnie és továbbítania.

Erre reagálva a GrapheneOS – egy nyílt forráskódú, Android-alapú mobil operációs rendszer, amelyet kifejezetten biztonságra és adatvédelemre terveztek – egyértelművé tette, hogy nem fog bevezetni olyan személyazonosság- vagy életkor-ellenőrzési megoldásokat, amelyek ezekhez a szabályozásokhoz kötődnek. A projekt szerint az olyan törvények, mint az AB-1043, azt eredményeznék, hogy az OS-szinten kellene kezelni a felhasználó életkorára vonatkozó adatokat, ami szembemegy a GrapheneOS alapelveivel: a rendszernek használhatónak kell maradnia személyes adatok, azonosítás és kötelező fiókok nélkül.

A projekt ezt nyilvánosan is megerősítette: az X közösségi oldalon közzétett bejegyzésükben azt írták, hogy az operációs rendszer továbbra is működni fog személyes információk, azonosítás vagy felhasználói fiók megadása nélkül, és a szolgáltatásaik globálisan elérhetők maradnak. A megfogalmazásból az is világos, hogy nem „alternatív megoldást” keresnek a megfelelésre, hanem elvi alapon utasítják el az ilyen jellegű követelményeket.

A GrapheneOS álláspontja tehát egyenes: nem módosítják a rendszert azért, hogy megfeleljenek az OS-szintű személyazonosság- vagy életkor-ellenőrzési előírásoknak. Ha emiatt bizonyos régiókban ellehetetlenül az értékesítés vagy a terjesztés, a projekt vállalja ennek következményeit, ahelyett hogy olyan funkciókat építene be, amelyek az identitáskezelést vagy életkor-igazolást a rendszer alaprétegébe emelik.

Ezzel a GrapheneOS az elsők között van az operációs rendszerprojektek világában, amely nyilvánosan kimondja: nem kíván megfelelni az új, OS-szintű életkor-ellenőrzési mandátumoknak. A vita túlmutat egyetlen projekten: jól látszik a feszültség a szabályozói szándék – vagyis az életkorhoz kötött hozzáférés kikényszerítése – és azon adatvédelmi szemlélet között, amelyre sok nyílt forráskódú, privacy-központú rendszer épül. Ezek a rendszerek jellemzően épp arra törekednek, hogy ne gyűjtsenek és ne dolgozzanak fel személyazonosításra alkalmas adatokat, és ne legyen szükség központi, globálisan egységesített „digitális igazolvány” jellegű mechanizmusokra.

A kérdés azért is kényes, mert az életkor-ellenőrzés OS-szintre emelése technikailag könnyen vezethet olyan megoldásokhoz, amelyek a felhasználó eszközét vagy identitását tartósan összekapcsolják valamilyen igazolási folyamattal. Még ha a jogalkotói cél a kiskorúak védelme is, az implementáció részletei döntik el, hogy a gyakorlatban ez adatminimalizálással és valódi anonimitásvédelemmel történik-e, vagy inkább egy újabb, nehezen ellenőrizhető adatéhségű réteget hoz létre az ökoszisztémában. Az is fontos szempont, hogy ha az OS „igazol” (attest) valamit a felhasználóról, akkor a rendszernek valahonnan származó bizonyítékra, hitelesítő infrastruktúrára, illetve annak kezelésére van szüksége – ez pedig óhatatlanul új támadási felületeket és visszaélési lehetőségeket nyit.

Nem minden alternatív rendszer reagál ugyanígy: a cikk példaként említi, hogy egyes projektek már most szigorítanak. A MidnightBSD például módosította licencelési irányelveit, hogy megtiltsa az operációs rendszer használatát Brazíliában. Ez jól mutatja, mennyire különböző stratégiák alakulhatnak ki: van, aki technikai megfelelésben gondolkodik, más jogi/terjesztési korlátozásokkal próbálja csökkenteni a kockázatot, és van, aki – mint a GrapheneOS – elvi alapon elutasítja az OS-szintű identitáskezelést.

A GrapheneOS mostani kiállása ráadásul egy friss fejlemény után érkezett. A hónap elején a Motorola bejelentette, hogy együttműködésre lép a GrapheneOS Foundationnel: a partnerség célja a GrapheneOS-szel kompatibilis jövőbeli okostelefonok közös előkészítése. Ez azért jelentős, mert a GrapheneOS hosszú ideje gyakorlatilag „Pixel-központú” volt, vagyis a teljes értékű támogatás főként a Google Pixel készülékekre korlátozódott. Ha a hardveroldali együttműködések valóban kiszélesítik a támogatott eszközök körét, akkor a szabályozói nyomás kérdése is nagyobb tétet kap: minél több régióban és minél több készüléken jelenik meg egy privacy-központú rendszer, annál élesebben ütközhet a helyi megfelelési elvárásokkal.

Hogy mindez hová fut ki, egyelőre nyitott. Ha a kaliforniaihoz hasonló szabályozások más államokban és országokban is elterjednek, az alternatív operációs rendszerek, disztribúciók és adatvédelemre építő platformok előtt nehéz döntések állhatnak: megfelelés, kivonulás, vagy a GrapheneOS-hez hasonló nyílt konfrontáció. Az viszont már most látszik, hogy az OS-szintű életkor-ellenőrzés nem pusztán „egy újabb compliance feladat”, hanem olyan alapelvi kérdés, amely a nyílt forráskódú és privacy-first közösségek identitását is érinti.