Obavezna hardverska verifikacija u EU: Zašto novi sistem potvrde starosne dobi ugrožava Linux i slobodu otvorenog koda

Nakon što su Sjedinjene Američke Države usvojile legislative poput Saveznog zakona o bezbednosti dece na internetu (KOSA) i niz saveznih zakona o obaveznoj verifikaciji starosne dobi, Evropska unija odlazi korak dalje sa sopstvenim okvirom za digitalni identitet i proveru starosti.

Za razliku od dosadašnjih rešenja koja su se oslanjala na otpremanje ličnih dokumenata, skeniranje lica ili provere kreditnih kartica, najnoviji tehnički standardi EU u sklopu Okvira za evropski digitalni identitet (eIDAS 2.0) i novog EU Blueprint-a za proveru starosne dobi uvode princip obavezne hardverski vezane atestacije (hardware-bound attestation).

Ovaj tehnički zaokret donosi duboke posledice po arhitekturu interneta, slobodu otvorenog koda i privatnost korisnika na globalnom nivou.

1. Šta predstavlja EU projekat provere starosne dobi?

U sklopu primene Zakona o digitalnim uslugama (Digital Services Act – DSA, član 28) i dopunjenog eIDAS 2.0 regulatornog okvira, Evropska komisija je pokrenula standardizovani mehanizam kojim online platforme (od društvenih mreža do servisa sa sadržajem za odrasle i gejming platformi) moraju pouzdano verifikovati da li je korisnik punoletan.

Tehničko rešenje zasnovano je na novom EUDI Wallet-u (EU Digital Identity Wallet). Prema zvaničnoj dokumentaciji Evropske komisije, sistem primenjuje kriptografiju dokaza bez otkrivanja informacija (Zero-Knowledge Proofs – ZKP) i ISO/IEC 18013-5 / 23220-2 (mDoc) standarde. Cilj ZKP-a jeste da web lokaciji pošalje isključivo binarni odgovor („Korisnik je stariji od 18 godina: DA/NE“), bez otkrivanja tačnog datuma rođenja, imena ili bilo kog drugog ličnog podatka.

Međutim, da bi aplikacija za novčanik osigurala da korisnik ne može falsifikovati taj kriptografski dokaz ili pokrenuti izmenjenu (modifikovanu) verziju aplikacije na emulatoru, Evropska unija zahteva hardversku atestaciju uređaja.

2. Šta je hardverski vezana atestacija (Hardware-Bound Attestation)?

Hardverska atestacija je kriptografski proces u kome ugrađeni bezbednosni čip u uređaju (kao što su TPM – Trusted Platform Module na PC računarima, eSE – embedded Secure Element ili Secure Enclave / TEE na pametnim telefonima) digitalno potpisuje izveštaj o integritetu sistema.

U ovom modelu:

Čip na uređaju generiše tajne ključeve unutar izolovanog hardverskog okruženja kojem čak ni operativni sistem nema direktan pristup.

Kriptografski potpis se šalje udaljenom serveru države ili izdavaoca sertifikata kako bi se potvrdilo da aplikacija radi na tehnički “odobrenom”, neizmenjenom i bezbednom uređaju.

Verification ne verifikuje samo ko je korisnik, već da li je sam hardver i operativni sistem sertifikovan od strane proizvođača.

Time verifikacija nije vezana samo za korisnički nalog ili pristupnu šifru, već direktno za sam fizički uređaj.

3. Krizna tačka za Linux i korisnike otvorenog koda

Upravo ovaj tehnički zahtev predstavlja nepremostivu prepreku za ekosistem otvorenog koda i operativni sistem Linux.

Izolacija računara i Linux distribucija

Desktop i laptop računari koji pokreću Linux (poput Ubuntu-a, Debian-a, Arch Linux-a ili Fedora-e) u najvećem broju slučajeva nemaju zatvorene sertifikacione lance koji garantuju integritet operativnog sistema prema centralizovanim državnim serverima.

Sloboda konfiguracije kao problem za atestaciju: Suština Linux-a je u tome da korisnik ima potpunu kontrolu nad svojim sistemom, kernelom i softverom. Međutim, za sisteme daljinske atestacije, ova mogućnost izmene pomenutog softvera znači da se sistem smatra „nebezbednim“ ili „potencijalno kompromitovanim“.

Nedostatak sertifikacionog lanca: Proizvođači poput Microsoft-a i Apple-a poseduju sopstvene PKI (Public Key Infrastructure) lance i sertifikate integrisane u hardver. Za hiljade nezavisnih distribucija Linux-a ne postoji centralizovani autoritet koji bi “sertifikovao” svaki proizvoljno izgrađeni kernel ili modifikovani PC.

Isključenost iz primarne arhitekture: Zvanični tehnički nacrti EU primarno su usmereni na iOS i Android mobilne platforme koje poseduju ugrađene privatne atestacione API-je (poput Google Play Integrity API-ja ili Apple DeviceCheck-a).

Udar na alternativne mobilne operativne sisteme (Custom ROM)

Problem se ne zaustavlja na desktop računarima. Korisnici Android telefona koji koriste privatno usmerene operativne sisteme otvorenog koda (kao što su GrapheneOS, LineageOS ili CalyxOS), kao i oni koji imaju rutovane uređaje, upadaju u istu zamku. Zbog nemogućnosti prolaska rigidnih provera integriteta koje zahtevaju neizmenjeni fabrički softver odobren od strane Google-a ili Apple-a, ovi uređaji bivaju kategorisani kao nepouzdani.

Kao rezultat, korisnici Linux-a i slobodnog softvera dolaze u situaciju da budu u potpunosti blokirani sa web lokacija sa starosnim ograničenjem, ne zato što nemaju odgovarajuće godine, već zato što njihov operativni sistem ne ispunjava korporativno-državne uslove atestacije.

4. Problem privatnosti: Od provere starosti do digitalnog otiska hardvera

Zvaničnici Evropske unije ističu da je sistem projektovan sa ciljem zaštite privatnosti kroz Zero-Knowledge dokaze. Međutim, stručnjaci za sajber-bezbednost i zaštitu ljudskih prava upozoravaju na sistemski paradoks:

Infrastruktura za neopozivo praćenje: Iako sadržaj verifikacije štiti datum rođenja, mehanizam atestacije kriptografski povezuje digitalnu sesiju sa specifičnim bezbednosnim čipom uređaja. Kada sistem jednom stvori tehničku mogućnost da zahteva hardversku potvrdu pre pristupa web servisu, stvorena je infrastruktura koja omogućava jedinstvenu identifikaciju samog hardvera.

Kraj anonimnosti na internetu: Tradicionalne metode zaštite privatnosti (poput upotrebe VPN-a, incognito režima ili promena IP adrese) postaju beskorisne u borbi protiv hardverske atestacije. Čip na matičnoj ploči ili telefonu ostaje konstantan bez obzira na mrežna podešavanja, čime se direktno ugrožava koncept anonimnog surfovanja internetom.

Pritisak na monopol Big Tech kompanija: Mandatiranjem ove tehnologije, Evropska unija indirektno primorava građane da koriste uređaje i operativne sisteme koje kontrolišu velike tehnološke kompanije (Google, Apple, Microsoft), čime se gubi digitalni suverenitet građana u korist zatvorenih ekosistema.

5. Pozivanje na validne izvore

Ovaj članak i analiza zasnovani su na uvidu u zvaničnu dokumentaciju, tehničke speciifikacije i analize nezavisnih stručnjaka:

Evropska komisija (Official Digital Building Blocks & eIDAS 2.0 Dashboard):

Dokument: „The Age Verification Manual – EU Digital Identity Wallet“.

Sadržaj: Zvanični propisi o eIDAS okruženju, uvođenju mDoc standarda (ISO/IEC 18013-5) i integraciji sa DSA članom 28.

EU Age Verification Technical Portal (ageverification.dev):

Dokument: „EU Age Verification Blueprint Architecture & Open-Source Reference Implementation“.

Sadržaj: Tehničke specifikacije referentne arhitekture novčanika, opisi ZKP kriptografskih protokola i predviđeni mehanizmi za mobilne i pouzdane platforme.

Zvanični GitHub repozitorijum EU Digital Identity Wallet-a (eu-digital-identity-wallet):

Izvor: Tehničke diskusije (Issue #580 i prateća dokumentacija arhitekture).

Sadržaj: Debate o korišćenju Android Hardware Attestation i Google Play Integrity API-ja, gde je potvrđena obaveza daljinske hardverske atestacije i uskraćivanje podrške za alternativne sisteme.

Linuxiac (Portal za vesti o Linux-u i otvorenom kodu):

Članak: „EU Age Verification Project Mandates Hardware-Bound Attestation“ (objavljeno 2. avgusta 2026).

Sadržaj: Detaljna analiza uticaja obaveznog hardverskog vezivanja na Linux distribucije, prilagođene Android ROM-ove i potencijalno zaključavanje ekosistema.

TechPolicy.Press i analize organizacija za digitalna prava:

Izvori: Stručni radovi i izveštaji o privatnosti koji analiziraju rizike od masovnog nadzora, narušavanja anonimnosti i stvaranja nepovratnih identifikatora uređaja.

Zaključak

Namera Evropske unije da zaštiti maloletnike na internetu putem savremenih kriptografskih metoda (poput Zero-Knowledge dokaza) u teoriji zvuči kao napredan korak ka očuvanju privatnosti. Međutim, odluka da se verifikacija veže za hardversku atestaciju unosi ozbiljnu neravnotežu.

Ignorisanjem specifičnosti računarskih platformi otvorenog koda i nepostojanjem otvorenog standarda za pouzdani hardver koji ne zavisi od nekoliko tehnoloških giganta, novim propisima se stvara rizik od digitalne marginalizacije korisnika Linux-a. Dugoročno, mehanizam osmišljen za zaštitu dece mogao bi postati najefikasnije sredstvo za ukidanje anonimnosti i uspostavljanje trajne hardverske kontrole nad pristupom internetu.