法院支持 EFF：犹他州 VPN 法要求技术不可能
当州立法者试图改写互联网的运作方式时，用户只能寄望于法院认识到，法律无法让技术上不可能的事情变为现实。正因如此，我们很高兴看到法院阻止了犹他州企图将虚拟专用网络（VPN）的隐私保护功能非法化的举动。
在数字权益方面取得的一项胜利中，一名联邦法官发布了初步禁令，阻断了犹他州第 73 号法案（SB 73）的执行，该法案是该州一项严苛的反 VPN 年龄验证法。此项裁决正值 EFF 向犹他州商务厅提交评论之际，评论详细阐述了强迫平台检测和屏蔽隐私保护工具，不仅会损害全球用户的隐私与安全，更是在要求做一件不可能的事情。
第 73 号法案（SB 73）做了什么
该法案今年早些时候已签署生效，试图通过要求成人网站屏蔽 VPN 用户，或识别使用 VPN 等掩蔽网络流量工具的游客的物理位置来监管这些网站。它甚至禁止网站提供有关如何使用 VPN 规避这些检查的指导。据 EFF 所知，这使犹他州成为全美第一个试图将使用 VPN 以规避强制性年龄验证门槛定为打击对象的状态。
上周，犹他联邦法院叫停了该法案中 VPN 相关条款的执行，裁判称，该法案极有可能违反美国宪法，因为宪法禁止通过给犹他州境外的企业和居民带来重大负担的法规。
SB 73 法案损害了犹他州以外所有互联网用户的权利。它要求面向成人的网站要么掌握每一位访问者的实际物理位置并据此屏蔽来自犹他州的流量，要么核实每一位访客的年龄，以防万一对方位于犹他州。法院在裁定中指出：“实际位置条款实际上要求相关实体为所有来自任何地点的访问用户执行年龄验证服务，因为只要有任何一名用户可能在使用混淆手段，该实体就会触犯法律。”法院实质上认定，犹他州有比强制全球所有用户遵守 SB 73 更不具负担性的方式来阻止当地未成年人访问成人网站。
Aylo 提起的诉讼并未挑战 SB 73 中禁止受该法约束的网站共享 VPN 信息的那一条款。
法律挑战
这份法院命令是数月法律博弈后的结果。
SB 73 原定于2026 年 5 月生效。Pornhub 等主要在线成人平台母公司 Aylo 随即对法案提出了宪法层面的挑战。作为回应，犹他州与 Aylo 起初达成了一项协议：在法院审理初步禁令申请或最终确定具体的合规行政规则期间，州方将暂停执法行动。这些拟议的合规规则（R152-78B，详见犹他州公报第 6 页）已于 9 月 1 日由犹他州商务部消费者保护司发布，EFF 随后向该部门提交了正式意见表示反对。根据通知，这些拟议规则最早可能在 2026 年 10 月 8 日生效。但鉴于 Barlow 法官的裁决，在法院采取进一步行动之前，该规则无法执行。
裁决内容
EFF 欢迎 Barlow 法官的裁决，该裁决承认了州立法在规范互联网方面与技术实际运作规律之间的根本脱节。Barlow 法官在裁决中指出，该法律条文在违规处罚的层面要求了一种技术上不可能实现的条件。“Aylo 辩称得对，修订后的法律实际上对 Aylo 这类实体施加了严格责任，因为它们需要判断网站用户所在的位置。”
法院认识到，问题在于 SB 73 法案“要求 Aylo 等实体完美地定位其网站用户，以规避法律责任”。但与此同时，法院也承认“目前的地理定位技术无法做到完美精准”。
EFF 在给州商务部的意见书中解释了这种技术上的不可能性。VPN 通过经由中间服务器路由网络流量来保护用户隐私。由于目标网站只能看到 VPN 服务器的 IP 地址，它们没有可靠的机制来判断连接究竟来自盐湖城、西雅图还是上海。因此，在犹他州现行的法律框架下，平台面临着一个两难选择：要么在全国范围内彻底封锁所有 VPN 流量，要么完全切断犹他州用户的访问权限。Barlow 法官对此表示认同，他断言：
由于法律在缺乏完美地理定位工具的情况下要求完美无误，Aylo 就需要核实这 2800 万用户——无论他们位于盐湖城、波士顿、新奥尔良、安克雷奇还是檀香山——以确保合规并规避责任。
制定规则
州政府起草的行政规章强制要求商业实体实施“商业上合理的地理定位混淆检测系统”。我们认为，这是一项指令，要求实现的技术上是不可能的。
在提交给犹他州商务部的意见书中，EFF 还详细说明了这些规则如何迫使全球互联网用户接受侵入性的数据采集。因此，当互联网用户试图规避年龄验证所要求的侵入性监控时，SB 73 法案反而要求对用户在线活动实施更严密的监控。该部门建议的检测启发式方法（如监测连接延迟或设备时区）众所周知可靠性极低，且容易受到正常网络状况的干扰。这种主动监控不可避免地会导致大规模的分类错误、无端的服务封禁，并对远超犹他州边界的用户隐私造成严重影响。
你可以点击此处阅读 EFF 提交给商务部的完整意见。
接下来呢？
正如我们反复强调的：互联网总会绕过审查。
强制实施侵入性追踪并惩罚使用基础安全工具，只会将真正的隐私担忧沦为表面化的合规表演，并迫使用户依赖的 VPN 接受更多政府规定的监控。在审查严苛的地区已经证实，VPN 服务和混淆工具只会不断适应调整，这使得该法律框架从根本上难以为继。
正如我们反复强调的：互联网总会绕过审查。
尽管犹他州立法机构表示可能会在下一个立法会议期间尝试修改该法律，但法院下达的初步禁令已树立了一个重要先例：州立法机构不应将年龄验证武器化，以此强制实施大规模数据采集或破坏基础安全工具。
随着其他州开始考虑类似的反 VPN 提案，EFF 将继续反对这类技术上无法实现的强制要求，捍卫用户的隐私和匿名权。因此，我们敦促立法者和监管机构拒绝侵犯隐私的规则，把用户的真实安全放在首位，维护所有用户受宪法保护的权利。