美国犹他州有一项关于年龄验证的新规，把 VPN 也拉了进来：简单讲，只要用户人在犹他州，哪怕开了 VPN，法律上也算在犹他州访问网站；网站如果没拦住，就要担责。这项法案叫 Senate Bill 73（SB 73），据原文报道，将于 5 月 6 日起生效，已经招来隐私团体和 VPN 厂商的批评。
SB 73 到底规定了什么
州长 Spencer Cox 于 3 月 19 日批准了这项法案。它主要做两件事：
- 以物理位置为准：只要用户人在犹他州，就视为从犹他州访问网站，不管他用的是 VPN、代理还是别的伪造 IP 的工具。
- 禁止传授绕过方法：受法案约束的网站，不得分享如何用 VPN 绕过年龄验证的说明。
这意味着网站要为“用户用 VPN 隐藏位置”负责。
各方怎么评价
NordVPN 称这是“无法解决的合规悖论”和“责任陷阱”，理由是法律要求网站去追踪那些本来就为隐藏身份而使用隐私工具的人。电子前哨基金会（EFF）也提出批评，认为网站面临两难：要么封禁所有检测到的 VPN IP 地址，要么要求所有访客都证明年龄。无论选哪种，都会有大量用户受损。
原文还提到，威斯康星州今年早些时候也尝试过类似的 VPN 条款，但遭到强烈反对后被否决，犹他州则继续推进。
技术上的硬伤：网站其实认不准 VPN
这项法律默认网站能准确识别 VPN 流量并判断用户的真实位置，但据原文分析，现实中很难做到：
| 识别手段 | 局限 |
|---|---|
| IP 信誉库（如 IP2Proxy、MaxMind） | 只能标记已知的机房 IP 段，商业 VPN 常常频繁更换地址 |
| 住宅类 VPN 出口 | 看起来和普通家庭宽带几乎一样 |
| 分析 ASN（自治系统号） | 抓得到机房流量，但抓不到云服务器上自建的 WireGuard 隧道，它和普通网站托管走同样的基础设施 |
| 深度包检测（DPI） | 能识别 VPN 协议特征，但要在网络层面部署，普通网站运营者做不到 |
原文提到，俄罗斯的 TSPU 系统和中国的防火长城是通过网络运营商部署 DPI 的。而在 AWS 等云服务商上自建一个 WireGuard，几分钟就能完成，所以这类规定拦不住懂技术的人，主要影响的是只靠商业 VPN 获得合法隐私保护的普通用户，以及记者、政治活动人士、受虐待的幸存者和身处威权地区的人。
其他地方也在跟进
- 英国上议院在 1 月以 207 比 159 的票数通过修正案，要禁止向 18 岁以下用户提供 VPN 服务，修正案将送交下议院辩论。
- 据原文，英国去年 7 月实施年龄验证的第一天，VPN 使用量就激增超过 1400%。
- 法国数字事务部长 Anne Le Hénanff 表示 VPN 是“我清单上的下一个”。
英国的相关动向，站内也有报道：英国拟强制手机年龄验证与默认儿童模式：隐私团体担心全民被登记。另外，针对犯罪型 VPN 的执法是另一回事：原文提到，欧洲刑警组织和 FBI 针对为网络犯罪分子提供帮助的 Safe-Inet VPN 采取了行动，站内相关文章见First VPN 被端：Operation Saffron 查封 33 台服务器。
常见问题（FAQ）
用 VPN 访问犹他州的网站违法吗？
据原文，SB 73 的责任主要落在网站一方：网站要为用户隐藏位置负责，并且不得教人绕过。至于个人用户是否会被追责，原文没有说明，小编不下结论。
网站会怎么应对？
EFF 认为网站有两种选择：封禁检测到的 VPN IP，或让所有访客验证年龄。哪种做法会成为主流，目前还不清楚。
这会影响大陆用户吗？
该法案只针对犹他州。不过类似的年龄验证和 VPN 限制思路正在多个国家出现，值得关注。请遵守您所在地的法律法规，本文不构成法律意见。
总结
犹他州 SB 73 把“用户位置”的责任压到网站身上，却没有给网站可靠的识别手段，NordVPN 和 EFF 都认为它会让互联网更不隐私。后续执行情况和其他州的跟进，值得继续观察。