# EU 연령 확인, 무엇이 문제인가? (없음) > Clean Markdown view of GeekNews topic #30973. Use the original source for factual precision when an external source URL is present. ## Metadata - GeekNews HTML: [https://news.hada.io/topic?id=30973](https://news.hada.io/topic?id=30973) - GeekNews Markdown: [https://news.hada.io/topic/30973.md](https://news.hada.io/topic/30973.md) - Type: GN+ - Author: [neo](https://news.hada.io/@neo) - Published: 2026-06-30T20:05:01+09:00 - Updated: 2026-06-30T20:05:01+09:00 - Original source: [blog.vrypan.net](https://blog.vrypan.net/2026/06/29/260629-whats-wrong-with-eu-age-verification/) - Points: 1 - Comments: 1 ## Topic Body - EU의 온라인 **연령 확인**은 신분증 업로드나 얼굴 스캔을 기본값으로 삼지 않고, 필요한 사실만 증명하는 구조라 많은 비판이 핵심을 빗나감 - 사이트가 이름·생년월일·ID 번호를 받는 대신 `age >= required_age` 같은 **임계값 충족 여부**만 확인하는 서명된 연령 증명이 기본 단위임 - 같은 자격증명을 여러 사이트에 반복 제시하면 방문 기록이 연결될 수 있어, **선택적 공개**나 **영지식 증명**으로 상관관계를 줄이는 방식이 필요함 - EU Age Verification Blueprint는 Proof of Age attestations, relying parties, attestation providers, age-verification apps, trust lists를 사용하며 European Digital Identity Wallet 구조와 맞물림 - 개인정보 보호는 설계만으로 보장되지 않으며, 안정 식별자 재사용·발급자 실시간 호출·중앙 로그·지갑 텔레메트리·지문추적·비공개 구현 같은 **구현 실패**를 막아야 함 --- ### 연령 제한 논쟁의 핵심 - 온라인 연령 확인 논쟁에는 기술 구현과 별개로 **연령 제한 자체**를 받아들이지 않는 입장이 섞여 있음 - 이런 입장에서는 어떤 개인정보 보호형 설계도 충분한 해법이 되기 어려움 - 9세, 10세, 14세 아동과 청소년은 조작, 중독 루프, 성적 콘텐츠, 도박 메커닉, 그루밍, 괴롭힘, 알고리듬 급진화 같은 위험을 혼자 감당할 준비가 되어 있지 않음 - 부모는 어린 자녀에게 강한 경계를 설정할 수 있지만, 청소년기에는 독립적으로 행동하고 결정하며 타인과 대화할 공간도 필요함 - 사회는 이미 운전, 음주, 도박, 특정 장소 출입에 **연령 제한**을 적용하고 있으며, 인터넷의 일부 영역에도 같은 원칙이 적용될 수 있음 - 더 어려운 문제는 연령 제한의 정당성보다 인터넷을 **신원 검문소**로 만들지 않고 집행하는 방법임 ### 잘못된 방식이 만드는 감시 위험 - 온라인 연령 확인을 신분증 스캔, 여권 업로드, 셀피, 얼굴 스캔으로 구현하면 개인정보 위험이 커짐 - 포르노 사이트, 도박 사이트, 온라인 주류 판매점, 종교 포럼에 성인임을 증명하려고 이름, 생년월일, ID 번호, 얼굴, 주소, 여권을 넘길 필요는 없음 - 신뢰할 수 있는 제3자로 로그인하는 방식도 다른 문제를 만듦 - 은행, Google, Apple, 이동통신사, 정부 신원 서비스가 인증을 맡으면 웹사이트에는 문서를 넘기지 않아도 됨 - 대신 **신원 제공자**가 사용자가 어떤 연령 제한 사이트를 방문하는지 알게 됨 - 한 방식에서는 웹사이트가 사용자의 신원을 알고, 다른 방식에서는 신원 제공자가 사용자의 방문처를 알게 되므로 둘 다 위험함 ### 더 나은 기본 단위: 서명된 연령 증명 - 더 나은 설계는 증명해야 할 사실만 증명하는 데서 시작함 - 웹사이트는 사용자의 이름, 생년월일, ID 번호, 실제 나이가 19세인지 37세인지 74세인지 알 필요가 없음 - 필요한 정보는 다음 조건 충족 여부뿐임 ```text age >= required_age ``` - 오프라인 비유는 “over 18”만 적힌 공식 카드를 발급받아 연령 제한 장소 입구에서 제시하는 방식임 - 정부 사무소에서 여권이나 국가 ID로 나이를 확인함 - 발급받은 카드는 “18세 이상” 같은 한 가지 사실만 표시함 - 장소 운영자는 카드의 진위만 확인하고 이름, 생년월일, ID 번호는 알 수 없음 - 디지털 방식은 암호학으로 같은 구조를 구현함 - 승인된 발급자가 한 번 나이를 확인함 - 이후 서명된 자격증명을 발급함 ```json { "claim": "age_over_18", "value": true, "issuer": "Trusted Age Attestation Provider", "valid_until": "2027-12-31" } ``` ```text signature = Sign(issuer_private_key, attestation) Verify(issuer_public_key, attestation, signature) ``` - 중요한 속성은 웹사이트가 발급자에게 매번 연락할 필요가 없다는 점임 - 웹사이트는 증명이 신뢰된 발급자의 서명을 받았고 아직 유효한지만 확인함 - 발급자는 사용자가 어디에서 증명을 썼는지, 실제로 사용했는지 알지 못함 ### EU 접근의 구조 - EU Age Verification Blueprint의 핵심은 **Proof of Age attestation** 기반 구조임 - 시스템은 relying parties, attestation providers, age-verification apps, trust lists로 구성됨 - 이 접근은 European Digital Identity Wallet 아키텍처와 정렬되어 있음 - 사용자는 정확한 나이나 신원을 공개하지 않고 특정 나이 이상임을 증명할 수 있음 - 관련 문서 - [EU Age Verification Solution](https://ageverification.dev/): Digital Services Act, eIDAS 2.0, European Digital Identity Wallet Architecture and Reference Framework와 정렬된 시스템으로, 상호운용성을 위한 증명 형식, 프로토콜, 신뢰 모델 바인딩을 사용함 - [Commission age-verification blueprint](https://digital-strategy.ec.europa.eu/en/news/commission-makes-available-age-verification-blueprint): 제한된 성인 콘텐츠에 대해 사용자가 18세 이상임을 다른 개인정보 공개 없이 증명할 수 있고, 오픈소스 기술 기반이며 향후 European Digital Identity Wallet과 상호운용되도록 설계됨 - [EU-wide age verification common approach](https://digital-strategy.ec.europa.eu/en/library/commission-sets-out-common-approach-eu-wide-age-verification-technologies): 사용자가 15세, 18세, 65세 같은 특정 나이 이상임을 정확한 나이나 신원 공개 없이 증명할 수 있음 ### 선택적 공개와 영지식 증명 - 서명된 증명은 매 사이트에 신분증을 업로드하는 방식보다 낫지만, 같은 자격증명을 여러 웹사이트에 제시하면 방문 상관관계가 생길 수 있음 - 이름이 없어도 여러 사이트가 같은 익명 성인이 site A, site B, site C를 방문했다는 사실을 연결할 수 있음 - 더 강한 방식은 **선택적 공개** 또는 **영지식 증명**을 사용함 - 지갑은 기본 증명을 그대로 보여주지 않고 다음 명제를 증명함 - 신뢰된 발급자가 서명한 유효한 Proof of Age attestation을 보유함 - 그 증명은 `age >= 18`을 만족함 - EU 기술 문서는 Proof of Age attestation에서 **zkSNARK 증명**을 생성하는 방식을 다룸 - 앱은 증명을 회로의 비공개 입력으로 인코딩함 - attestation provider의 공개키 같은 공개 입력을 사용함 - 검증 가능한 zkSNARK proof를 생성함 - 이 방식은 “여기 내 ID가 있음”, “여기 내 생년월일이 있음”, “여기 내 서명된 연령 자격증명이 있음”이 아니라, “내가 18세 이상임을 증명하는 유효한 자격증명을 보유했다는 암호학적 증거”를 제시하는 구조임 - 관련 문서 - [EU ZKP technical annex](https://ageverification.dev/Technical%20Specification/annexes/annex-B/annex-B-zkp/): Proof of Age attestation을 비공개 입력으로 인코딩하고 attestation provider 공개키 같은 공개 검증 입력만 노출해 zkSNARK proof를 생성함 - [Verifier developer guide](https://ageverification.dev/Getting%20started/developer_guide_verifier/): 표준 `mdoc` attestation은 사용자가 연령 임계값을 충족한다는 서명된 증명이고, ZKP는 더 강한 개인정보 보호와 연결 가능한 식별자 부재를 제공하는 향상된 증명 형식임 ### 개인정보 보호를 깨뜨리는 구현 조건 - 개인정보 보호형 아키텍처도 잘못 구현되면 약속을 지키지 못함 - 다음 조건은 EU식 접근의 **프라이버시 보장**을 깨뜨릴 수 있음 - 웹사이트 간 재사용되는 안정 식별자 - 모든 연령 확인 때마다 발급자에게 연락하는 구조 - 검증 이벤트의 중앙집중 로그 - 어떤 relying party가 증명을 요청했는지 기록하는 지갑 텔레메트리 - 웹사이트가 필요한 것보다 많은 속성을 요구하는 동작 - 약한 지갑 보안 - 사용자가 과도하게 정보를 공유하도록 유도하는 나쁜 UX - 익명 증명을 서로 연결하는 브라우저 또는 기기 지문추적 - 자격증명 사용처를 드러내는 폐기 확인 - 닫혀 있고 감사되지 않는 국가별 구현 - 개인정보 보호 논의의 초점은 연령 확인 시스템 자체를 무조건 반대하는 것이 아니라, 실제 구현이 이 구조를 지키도록 필요한 검사를 넣는 데 있음 ## Comments ### Comment 60858 - Author: neo - Created: 2026-06-30T20:05:03+09:00 - Points: 1 ###### [Lobste.rs 의견들](https://lobste.rs/s/29laqs/what_s_wrong_with_eu_age_verification) - 이 글에서 전적으로 동의하는 지점이 있음: 원칙적으로 **연령 확인**에 반대한다면 어떤 해법도 만족스러울 수 없다는 것. 그건 맞다고 봄 - 완전히 **프라이버시 보존** 방식으로 구현된다고 가정할 때, 연령 확인에 반대하는 가장 강한 논거가 뭐라고 생각함? - 원칙적으로 연령 확인이 없는 것에는 반대하지만, 그렇다고 모든 해법이 좋다고 보지는 않음 다만 이번 **EU 방식**은 괜찮아 보임. 가능한 한 빨리 의무화되면 좋겠지만, 현실적인 이유로 그렇게 되지 않을 수도 있다는 점도 인정함 - 블로그 글은 조작, 중독 루프, 도박성 장치, 그루밍, 괴롭힘, 알고리즘 기반 급진화처럼 사람에게 해를 끼치는 온라인 공간을 근거로 삼는데, 글 자체도 이런 것들이 **성인에게도 해롭다**고 인정함 그런데 왜 해로운 행위를 법으로 직접 금지해서 모두를 돕는 대신, 피해 가능성의 대리 지표로 나이를 써서 일부 통제 가능한 공간에서 청소년을 배제하고, 커뮤니티와 자원에서 멀어지게 하며, 특히 퀴어 청소년 같은 취약 집단에게 중요한 공간을 빼앗거나 통제 밖 공간으로 밀어내는 게 더 낫다는 건지 이해가 안 됨 비판을 “무지하거나 의도적으로 오도한다”고 부른 직후 **거짓 양자택일**로 시작하는 블로그라니 참 좋음 - ISP 수준 차단, VPN 연령 확인 등이 도입되면 그런 통제 밖 공간은 대체로 사라질 것 같음 연령 확인 논의에서 가장 짜증나는 건 거의 아무도 근본 원인을 말하지 않는다는 점임. 아이들과 성인을 계속되는 도파민 자극에 중독시키는 **기술 봉건주의자들의 회사**가 문제임 연령 확인을 도입하기보다 YouTube Shorts, TikTok, Facebook 같은 중독 최적화 **알고리즘 피드**를 불법화해야 한다고 봄. 아이와 성인 모두에게 해롭고, 거짓말·가짜 정보·양극화 조장 등을 주류화해 민주주의의 결을 찢어놓음 사회를 파괴하면서 수십억을 버는 일을 더는 허용하지 말아야 함 - 해로울 수 있는 모든 것을 금지할 수는 없음. 사회적으로 성인은 대체로 스스로 선택할 수 있어야 한다고 받아들임 도박이나 술을 예로 들면, 노르웨이에서는 정부가 세금을 더 매기고 불편하게 만들어 해로운 활동을 억제하려 할 수 있지만, 동시에 어려움을 겪는 사람을 돕는 서비스에도 자금을 댐. 완전히 금지했다면 반발을 낳고 불법 시장으로 옮겨갔을 것임 그래서 일부 성인이 피해를 입더라도 성인은 스스로 선택하게 두는 편임. 반면 아이들은 아직 완전히 발달하지 않았고 자기에게 해로운 선택으로부터 보호받아야 한다는 인식이 일반적임. 나이가 들수록 더 많은 결정을 허용하고 작은 피해도 어느 정도 감수하게 함 그래서 현실 세계에서 아이들은 술이나 즉석복권도 살 수 없음 온라인 세계의 일부는 성인까지 포함해 더 잘 규제되어야 한다고 봄. 하지만 어떤 영역은 아이들에게는 금지되어야 하면서도, 성인에게 금지하면 터무니없는 일일 수 있음 - “무지하거나 의도적으로 오도한다”는 표현은 연령 확인이 현재 KYC 요건처럼 신분증을 제시하는 방식으로 이뤄질 것이라고 말하거나 암시하는 경우를 가리키는 것임 각 경우에 쓰이는 기술을 설명하는 글은 매우 적고, **EU·UK·미국 주별 해법**은 기술적으로 꽤 다름 - 온라인 플랫폼이 사람에게 끼친 피해에 대해 책임지게 만들면 어떨까? 증오, 여성혐오, 급진화에 대해 모두 책임지게 하면 어떨까? 플랫폼이 모든 콘텐츠를 호스팅하지 않고, 클릭과 광고 참여를 극대화하려고 참여도나 분노 유발에 최적화하는 일을 멈춘다면 인터넷이 사람들에게, 아이뿐 아니라 모두에게 이렇게까지 해롭지는 않을지도 모름 - 온라인 플랫폼에는 미국의 **통신품위법 230조** 같은 책임 면제 조항이 있음. 다른 지역에도 비슷한 제도가 있고, 이 조항이 많은 제도의 원형임 무엇이 그런 플랫폼에 해당하는지 다시 생각해볼 필요가 있음. 원래 논리는 사용자 생성 콘텐츠를 단순히 제공할 뿐이므로, 신고를 받으면 해로운 것을 삭제하는 한 책임지지 않는다는 것임 그런데 피드 알고리즘이 무엇을 보여줄지 결정한다면 여전히 그런가? 사람이나 알고리즘이 내린 결정이든 그런 **편집 결정**에는 편집 책임도 따라야 한다고 봄 - 책임을 져야 한다고 봄. 다만 여기서는 소셜 미디어 플랫폼만 떠올리는 것 같음 불법은 아니지만 아이에게 적합하지 않은 온라인 서비스와 플랫폼도 있음. 예를 들어 베팅 사이트나 9살 아이에게 부적절한 콘텐츠가 그렇다. 부모로서 “아직 너에게는 안 된다”고 말해야 하는 경우가 많고, 지난 10년 사이 그런 경우가 점점 온라인으로 옮겨감 - 그래도 미국을 동참시켜야 하는데, 그럴 가능성은 낮아 보임. 미국에서 오는 피해를 차단하려 하면 관세 위협을 받거나 납치 같은 일을 당할 수도 있음 시도할 가치가 없다는 뜻은 아니지만, 이렇게 복잡한 문제는 여러 방향에서 동시에 공격해야 함 - “연령 확인은 존재해서는 안 된다”고 원칙적으로 반대하는 이유가 바로 적절한 기술적 해법이 있을 수 없다고 믿기 때문임 또한 인터넷의 많은 피해가 아이뿐 아니라 모두를 겨냥하는데, 콘텐츠 규제의 부담을 소비자에게 더 떠넘김 **증명서 기반 확인**은 모두가 문서화되어 있고, 언제나 그 문서에 접근할 수 있으며, 그 증명을 처리하기에 “충분히 안전한” 기기를 갖고 있고, 해당 증명을 써도 된다고 인정된 웹사이트에 접속하며, 그 문서 요청이 정당한지 이해할 교육까지 충분히 받았다는 전제에서나 훌륭함 우리가 정상화하는 어떤 기술 해법도 기술 회사와 사기꾼에게 악용될 것임. 과거에도 그랬고 실질적 대가를 치르지 않았기 때문임. 로비스트들도 “허용 가능한” 서비스와 기기의 범위를 좁히는 데 악용할 것임 - 암호학을 덧씌운다고 안전해지지 않음. “아이들을 생각하라”는 모든 제안은 “부모 신분증을 훔친 아이”까지 염두에 두기 때문에 결국 웹사이트가 사진을 기록하게 만듦 문구는 “소유자 확인을 위해 이미지 인식을 한다” 정도일 수 있고, 거기엔 기록한다는 말이 없을 수 있음. 하지만 확인을 제대로 하지 않았거나 검증이 부실했다는 소송을 당하는 순간 기록이 필요해짐 할 수 있는 조치들이 있긴 하지만, 핵심은 그게 아님. 검열은 두 방식으로 작동함. 사이트가 사용자를 식별하게 해서 추적 가능하게 만드는 것이 하나이고, 다른 하나는 사이트 운영 자체를 너무 비싸고 위험하게 만드는 것임 동성애 혐오자들이 “아이들을 보호하라”는 쓰레기 논리를 쓰는 걸 보면 됨 신분증 요구는 아이들이 자신을 병든 범죄자라고 하지 않는 콘텐츠에 접근하기 어렵거나 불가능하게 만듦. 이제 사이트를 운영하려면 스스로를 방어할 기록 정보를 안전하게 보관할 보안 비용과, 충분히 검열하지 않았다는 소송 비용까지 감당해야 함 “제시된 신분증이 실제 그 사용자 것임을 증명해야 한다”는 단계를 처리하지 못하는 수학 기반 논증은 전체 과정에서 가장 중요한 단계를 건너뛰는 것임 - 내가 18세 이상이라면 이런 ID를 받아서 원하는 요청에 마음대로 서명할 수 있나? 그렇다면 이 방식은 **프라이버시는 보존**하지만 효과는 없음 - 거시적으로 보면 “TikTok 계정을 만들려면 형이나 누나를 귀찮게 해야 한다”는 정도의 **활성화 에너지**만으로도 사용량을 의미 있게 줄일 것 같음. 이걸 위해 다른 부정적 효과를 감수할 만큼 충분하냐면, 아마 아닐 듯 - 이런 글들은 어려운 부분이 숫자를 사람에게 연결하는 게 아니라, 처음 그 숫자를 제시할 때 실제로 그 ID가 나타내는 사람이 맞는지 확인하는 단계라는 점을 잊으려는 듯함 - 가능함. 하지만 더 어렵게 만들려고 **원격 증명**과 다른 DRM 기술을 들고나올 것임. 그러면 대체 지갑 구현은 불가능하고, 비주류 플랫폼에서 실행하는 것도 안 될 것임 사실상 Google과 Apple 약관에 동의하고, 이 과점 기업의 스마트폰을 가져야 소셜 미디어를 쓸 수 있다는 법적 의무가 생김. 앞으로 이 시스템이 쓸모 있다고 판단되는 포르노, 온라인 비디오 게임, 영화 대여 같은 다른 서비스에도 확장될 것임 Google에서 차단당하면 끝임. Linux를 쓰면 역시 끝임 - 마지막으로 확인한 유럽 제안에서는 신뢰된 기관, 예를 들면 시민청 같은 곳에서 한 번에 서명 묶음을 받는 방식이었음 기억하기로는 승인된 OS의 신뢰 지갑이 꼭 필요하지 않게 할 수 있다는 구상이었고, 이론상 PostIdent처럼 우체국에서 신분증을 보여주고 암호화 파일에 저장된 서명을 받는 식도 가능함 예를 들어 **서명 1000개**를 받고, 각각은 한 번만 유효함. 더 필요하면 새 묶음을 받으면 됨. 각 서명은 프라이버시를 보존함 - 아이들은 원하는 것을 얻는 데 능숙함. 충분히 여러 번 부탁하면 누군가는 해줌 - 일부는 그럴 수 있지만, 그렇다고 예를 들어 모든 아이에게 술을 직접 팔아야 한다는 뜻은 아님 개인적으로는 모든 아이가 똑같이 동기부여되어 있거나, 같은 목표를 갖고 있거나, 장기 목표를 위해 똑같이 노력할 수 있다고 보지 않음 - 원칙적으로 블로그 글에 크게 반대하지는 않고, **프라이버시 보존형 연령 확인** 시스템이 있으면 좋겠다는 데도 동의함. 다만 현실에서 제대로 구현될지 정말, 정말 회의적임 글쓴이도 글 끝에 프라이버시를 훼손할 구현상 문제 목록을 친절히 넣어두었음. 연령 확인이 법으로 의무화되면, 신속성과 청소년 보호라는 명분 아래 그 문제 중 일부 또는 전부가 받아들여질까 매우 걱정됨 나쁜 연령 확인 시스템이 연령 확인이 아예 없는 것보다 더 나쁘다고 생각한다면, 나도 그렇게 보는데, 그런 미묘한 선을 통과시키려 하기보다 시작부터 개념 자체에 반대하는 편이 정치적으로 더 실현 가능하다고 봄 - “9살, 10살, 14살 아이가 아무 제한 없이 열린 인터넷을 돌아다닐 준비가 되어 있지는 않다” 우리 중 많은 사람이 지금 여기까지 오게 만든 어린 시절과 청소년기의 가장 좋은 부분을 미래 세대에게서 빼앗아서는 안 됨 나는 12살이던 1993년부터 FIDOnet 비슷한 네트워크로 다른 BBS와 연결된 지역 **BBS**를 제한 없이 돌아다녔고, 14살이던 1995년부터 열린 인터넷을 제한 없이 썼음. 어머니가 모뎀이 달린 PC를 더 일찍 사줬다면 BBS는 더 일찍 시작했을지도 모름 그러니 중독 루프, 도박성 장치, 알고리즘 기반 급진화는 모두를 위해 없애고, 인터넷의 좋은 부분은 제한 없이 모두에게 열어두자. 그러면 미래 세대는 우리가 가졌던 것보다 더 나은 것을 가질 수 있음 - 아이들을 위한 인터넷을 만들자는 뜻인가? 그렇다면 찬성임 - 영지식 증명만으로는 내가 EU의 모든 사람이 39살이라고 증명하지 못할 이유가 없음. 이를 완화하려면 사실상 **신원 증명과 기기 증명**이 필요해지고, 미끄러운 경사면은 기술 자체에 내장되어 있음 이 아키텍처 형태는 결제 확인이나 법적 문서 서명에는 맞음. 내 돈으로 아무 제3자가 결제하거나 내 이름으로 계약서에 서명하게 두지 않을 강한 이해관계가 있기 때문임 하지만 연령 증명에서는 내가 다른 사람을 대신해 증명해줘도 잃는 것이 없음