Esta semana un juez federal en Utah hizo algo que los legisladores de ese estado no quisieron hacer: leer cómo funciona una VPN antes de legislar sobre ella. La corte emitió una orden preliminar contra la SB 73, la ley que obligaba a los sitios web a detectar y bloquear usuarios de VPN, con el argumento de que exigir eso es exigir una imposibilidad técnica. Sí, po. Exactamente lo que cualquiera con dos VPS y un túnel WireGuard sabe desde hace años.
¿Qué pedía la ley?
La SB 73 nació como una ley de verificación de edad para sitios para adultos, pero con un detalle particularmente creativo: los sitios debían bloquear a los usuarios con VPN o, en su defecto, identificar su ubicación física real. Y lo más fuerte: prohibía publicar instrucciones sobre cómo usar una VPN para evitar el bloqueo. Primer estado de EE.UU. en apuntar directamente contra el uso de VPNs, no contra el contenido en sí.
La demanda la presentó la matriz de un gigante del entretenimiento para adultos y el juez Barlow determinó que la ley probablemente viola la Constitución de EE.UU., porque carga con obligaciones a todo el mundo fuera de Utah. Pero lo que me interesa como ingeniero de sistemas no es el argumento legal, sino el técnico.
El problema que el legislador no entendió
Para un sitio web, tu VPN es indistinguible de cualquier otra conexión. El servidor final solo ve la IP del servidor intermediario. No existe un mecanismo fiable para saber si esa conexión nace en Salt Lake City, en Seattle o en Shanghai. El juez lo escribió sin eufemismos: la ley implica responsabilidad estricta basada en una geolocalización perfecta, y la geolocalización perfecta no existe. Cumplirla al 100% significaría verificar la edad o bloquear a todos los usuarios del país, incluidos los de los otros 49 estados, por si acaso uno viene de Utah.
Y ojo con el detalle fino: los reglamentos sugerían heurísticas de detección de ofuscación, cosas como medir la latencia de la conexión o inferir la zona horaria del dispositivo del usuario. Esa es la wea más frágil que existe. Un teléfono en UTC por configuración, un tráfico que pasa por un CDN, un enlace congestionado en tu ISP: cualquier caso normal rompe la heurística. Cuando las señales son tan ruidosas, el resultado es bloqueo de usuario legítimo, falsos positivos por montón y más vigilancia que la que se suponía evitar la ley. La idea era proteger a los menores y el plan final terminaba monitoreando la conexión de todos los demás.
Lo que he visto en mi propia infraestructura
Mantengo una flota chica de VPS con túneles cifrados entre ellos: WireGuard, reglas de firewall, lo normal cuando uno no quiere exponer servicios a internet crudo. Desde afuera todo eso es indistinguible de cualquier otra conexión. Y cuando un servicio del otro lado se pone paranoico —algunos sitios financieros y de streaming bloquean rangos completos de proveedores de VPS— el efecto es el mismo: el usuario legítimo se cae y el que realmente quiere evadir el control simplemente rota a otra herramienta. El gato y el ratón con VPNs nunca lo gana el que detecta; lo gana el que rota más rápido. Es el mismo patrón que los bloqueos geográficos y los firewalls estatales han demostrado por décadas: el internet siempre rutea alrededor de la censura.
¿Por qué le importa a Chile?
Estos proyectos legislativos viajan. Ya vimos ecos de verificación de edad en varios países y siempre aparece el mismo error de diseño: tratar una herramienta de seguridad cotidiana —muchos de nosotros llevamos VPN por trabajo, no por vicio— como si fuera un marcador de conducta sospechosa. La lección de esta sentencia es accionable para cualquier lugar con legisladores entusiasmados: antes de exigir por ley una capacidad técnica, pregúntale a alguien que la implemente. Si la respuesta es que se puede «aproximar» con heurísticas de zona horaria, la ley está diseñada para fallar. Lo confirmamos de primera mano: cuando bloqueas por heurísticas, bloqueas a los usuarios correctos y dejas pasar a los equivocados.
Mientras tanto, el precedente queda: cualquier otro estado que intente una ley similar tiene en la mano un fallo que dice que exigir detección de VPNs es pedir lo técnicamente imposible. Los legisladores de Utah ya avisaron que pueden reintentar el proyecto. Veremos si esta vez leen el fallo primero.
Fuente: Court Agrees with EFF: Utah’s VPN Law Demands a Technical Impossibility, en el blog de Electronic Frontier Foundation.
Fuente de inspiración: Court Agrees with EFF: Utah’s VPN Law Demands a Technical Impossibility
