California modifica ley de verificación de edad: Linux podría quedar exento

Introducción

En octubre de 2025, California sancionó la ley AB 1043 (Digital Age Assurance Act), que obligaba a los proveedores de sistemas operativos y tiendas de aplicaciones a implementar mecanismos de verificación de edad en el momento de instalación o lanzamiento de software. La normativa apuntaba a proteger a menores de riesgos como ciberacoso, sextorsión y daños a la salud mental, pero generó un revuelo inesperado en la comunidad de software libre y código abierto (FOSS). La ley, que entra en vigencia en enero de 2027, definía como «proveedor de sistema operativo» a cualquier entidad que distribuya un SO sin importar su modelo de licencia, lo que incluía a distribuciones de Linux como Ubuntu, Fedora o Arch.

Sin embargo, en mayo de 2026 se presentó la enmienda AB 1856, que introduce una exención clave: «un proveedor de sistema operativo no incluye a quien distribuye un SO bajo términos de licencia que permitan copiar, redistribuir y modificar el software». Esto abre la puerta a que Linux (y otros proyectos FOSS) queden fuera del alcance de la AB 1043. El cambio no es menor: afecta a equipos de DevOps que despliegan infraestructura basada en Linux en entornos regulados de California, especialmente en sectores como cloud, SaaS y seguridad.

Qué ocurrió

La AB 1043 fue impulsada por la asambleísta Buffy Wicks (D-Oakland) y el senador Tom Umberg (D-Santa Ana), y firmada por el gobernador Gavin Newsom. Su objetivo declarado era proteger a menores en línea, pero la ley original no distinguía entre modelos de negocio: cualquier empresa que distribuyera un SO debía implementar una interfaz de verificación de edad durante el setup de cuentas de usuario. Esto implicaba costos operativos y de desarrollo significativos para proyectos pequeños y medianos, así como riesgos de privacidad al centralizar datos de nacimiento.

La enmienda AB 1856, presentada en febrero de 2026 y publicada en su versión actualizada el 18 de mayo de 2026, modifica el alcance de la AB 1043 con una redacción específica:

> «Operating system provider does not mean a person or entity that distributes an operating system or application under license terms that permit a recipient to copy, redistribute, and modify the software.»

Esto significa que proyectos con licencias permisivas como GPL, MIT o Apache 2.0 (usadas en Linux, FreeBSD, Kubernetes, etc.) quedarían exentos. La excepción, sin embargo, deja en un limbo legal a empresas que distribuyen Linux con componentes propietarios, como SteamOS de Valve (que incluye el cliente Steam) o soluciones empresariales con kernels modificados.

El cambio responde a presiones de la Electronic Frontier Foundation (EFF), que argumentó que la AB 1043:

• Violaba derechos de libertad de expresión al imponer cargas a desarrolladores y usuarios.
• Favorecía a grandes actores como Microsoft o Apple, que ya tienen sistemas de verificación integrados.
• No era efectiva: según estudios citados por el economista George S. Ford, adolescentes motivados ya usan VPN para eludir filtros escolares, y las tasas de rechazo en sitios como Pornhub pueden superar el 99%, afectando a usuarios legítimos.

Impacto para DevOps / Infraestructura / Cloud / Seguridad

Para equipos de DevOps e infraestructura

La exención en la AB 1856 reduce la carga operativa para equipos que despliegan infraestructura basada en Linux en California. Sin embargo, hay matices críticos:

• Distribuciones empresariales: Proyectos como RHEL (Red Hat Enterprise Linux), SUSE Linux Enterprise o Oracle Linux utilizan licencias que permiten modificación, pero su modelo de soporte incluye términos que podrían interpretarse como «no FOSS puro». Estos equipos deberán evaluar si su licencia cumple con la exención o si requieren implementar verificaciones de edad en entornos corporativos.
• Contenedores y microservicios: La exención se aplica a nivel de SO, pero no a aplicaciones distribuidas dentro de contenedores. Si un equipo despliega un servicio web en Kubernetes (basado en Linux) que requiere verificación de edad, la AB 1043 aún podría aplicarse.
• Cloud pública: Proveedores como AWS, Google Cloud o Azure que ofrecen instancias con Linux preinstalado deberán verificar si su modelo de distribución (por ejemplo, Amazon Linux 2023) cumple con la exención. AWS ya tiene sistemas de autenticación integrados (AWS IAM), pero la AB 1043 podría requerir capas adicionales.

Para equipos de seguridad

La AB 1856 introduce un riesgo de cumplimiento dual:

1. Verificación de edad en aplicaciones: Aunque Linux quede exento a nivel de SO, los equipos de seguridad deben asegurarse de que las aplicaciones desplegadas (ej: servicios web, APIs) cumplan con la AB 1043 si procesan datos de menores.
2. VPNs y anonimato: La ley original no menciona explícitamente VPNs, pero equipos que operen servidores VPN en California podrían enfrentar requisitos de verificación si el servicio se considera un «proveedor de sistema operativo indirecto». Esto impacta en equipos que usan WireGuard, OpenVPN o Tailscale para conectividad remota.
3. Ransomware y evasión: La EFF advierte que leyes como la AB 1043 podrían aumentar la superficie de ataque si los usuarios recurren a métodos no regulados para eludir verificaciones (ej: proxies, VPNs no auditadas). Esto es relevante para equipos de SOC que monitorean tráfico sospechoso en entornos cloud.

Para equipos de cloud y SaaS

La exención en la AB 1856 no aplica a SaaS que se ejecuten sobre Linux. Por ejemplo:

• Una aplicación web alojada en AWS EC2 con Ubuntu no está obligada a implementar verificación de edad si es un proyecto FOSS, pero sí lo estaría si la aplicación en sí requiere verificación (ej: plataforma de redes sociales).
• Proveedores de base de datos en la nube (como Redis Cloud o Amazon ElastiCache) deben evaluar si su capa de autenticación cumple con la AB 1043, especialmente si almacenan datos de usuarios menores.

Detalles técnicos

Componentes afectados

1. Interfaz de verificación: La AB 1043 exige una interfaz accesible durante el «account setup» para ingresar fecha de nacimiento. Esto implica:

– Integración con servicios de terceros como Yoti, AgeID o Veratad, que cobran por verificación (hasta $0.50 por usuario según cotizaciones públicas).

1. Almacenamiento de datos: La ley prohíbe almacenar datos de edad en bases de datos sin cifrado en reposo (AES-256 mínimo). Equipos de DevOps deben auditar:

– Cumplimiento con PCI DSS si los datos se cruzan con información de pagos.

1. Logging y auditoría: La AB 1043 requiere logs de verificación durante 7 años. Equipos de SRE deben implementar:

   # Ejemplo de logging en un script de post-instalación (Bash)
   log_age_verification() {
     local user=$1
     local age=$2
     logger -t age_verification "Usuario $user verificado con edad $age. IP: $(hostname -I)"
     echo "$(date) - $user - $age" >> /var/log/age_verification.log
   }
   

Riesgos de no cumplimiento

• Multas: Hasta $10.000 por violación, según la AB 1043. En 2024, California multó a 5 empresas por incumplir leyes similares de privacidad.
• Bloqueo de actualizaciones: El California Department of Justice podría requerir bloquear actualizaciones de software en el estado si no se implementa verificación.
• Daño reputacional: Empresas como Valve (con SteamOS) ya enfrentan presión de usuarios por privacidad.

Qué deberían hacer los administradores y equipos técnicos

1. Evaluar si su distribución de Linux está exenta

• Verificar la licencia de la distribución:

  # Para Debian/Ubuntu
  cat /usr/share/common-licenses/GPL-2 | grep "copy, modify, redistribute"
  # Para RHEL (requiere suscripción)
  rpm -qi redhat-release | grep License
  

• Si la licencia permite copiar, modificar y redistribuir (ej: GPL-3, MIT), la exención aplica.
• Si la licencia es propietaria o híbrida (ej: SteamOS, Clear Linux), consultar con el equipo legal si deben implementar verificación.

2. Auditar aplicaciones desplegadas sobre Linux

Para equipos que usan Linux como base pero despliegan aplicaciones con requisitos de verificación:

• Implementar un gateway de autenticación como:

– AWS Cognito con integración a Yoti o AgeID.

• Configurar políticas de NetworkPolicies en Kubernetes para bloquear tráfico no verificado:

  apiVersion: networking.k8s.io/v1
  kind: NetworkPolicy
  metadata:
    name: deny-unverified-traffic
  spec:
    podSelector: {}
    policyTypes:
    - Ingress
    ingress:
    - from:
      - namespaceSelector:
          matchLabels:
            verified: "true"
  

3. Preparar VPNs y servicios remotos

Equipos que operan servidores VPN en California deben:

• Deshabilitar autenticación por defecto en OpenVPN/ WireGuard:

  # Configuración segura de OpenVPN (server.conf)
  auth-user-pass-verify /etc/openvpn/verify_age.sh via-file
  script-security 2
  

• Usar certificados con verificación de edad integrada (ej: X.509 con campo «age» extendido).
• Monitorear tráfico sospechoso con Suricata o Zeek:

  # Regla Suricata para detectar conexiones desde VPNs no autorizadas
  alert tcp $EXTERNAL_NET any -> $HOME_NET 1194 (msg:"Posible bypass de verificación de edad"; flow:to_server; content:"OPEN"; classtype:policy-violation;)
  

4. Planificar actualizaciones y migraciones

• Para distribuciones empresariales: Contactar al soporte de la distribución (ej: Red Hat, SUSE) para confirmar si la AB 1856 aplica a su modelo de licencia.
• Para equipos de cloud: Revisar acuerdos con proveedores como AWS. Por ejemplo, Amazon Linux 2023 usa una licencia que permite modificación, pero AWS podría requerir verificaciones a nivel de aplicación.
• Para SaaS: Implementar una capa de autenticación centralizada (ej: Auth0, Okta) con verificación de edad integrada.

5. Documentar y auditar

• Crear un inventario de sistemas afectados en California:

  # Script para listar servidores Linux en un rango de IPs
  nmap -p 22 --script ssh-auth-methods 192.168.1.0/24 | grep "Linux"
  

• Realizar una auditoría de logs trimestral para verificar cumplimiento con la AB 1043.

Conclusión

La enmienda AB 1856 a la ley AB 1043 representa un giro pragmático en la regulación de software en California, alineándose con las necesidades de la comunidad de código abierto y los equipos de DevOps que dependen de Linux. Sin embargo, la exención no es absoluta: los proyectos deben cumplir estrictamente con los términos de licencia FOSS, y los equipos de infraestructura deben evaluar si sus aplicaciones o servicios requieren verificaciones adicionales.

Para equipos de seguridad y cloud, el desafío ahora es evitar que la exención genere nuevos vectores de riesgo, como el aumento de ataques a VPNs no reguladas o la centralización de datos de autenticación en proveedores de terceros. La clave está en:

1. Auditar licencias y modelos de distribución.
2. Implementar capas de autenticación escalables (no solo a nivel de SO).
3. Monitorear tráfico sospechoso con herramientas como Suricata o Zeek.

California no es el único estado con leyes de verificación de edad: West Virginia (vigente en junio 2026) y Colorado (pendiente de aprobación) están siguiendo el mismo camino. Los equipos técnicos que operen en múltiples jurisdicciones deben prepararse para un mosaico regulatorio, donde la exención de Linux podría no aplicarse en otros estados. La planificación temprana y la automatización de cumplimiento serán esenciales para evitar multas y brechas de seguridad.