Компания Google прислушася към критиката и спря промоцията на API Web Environment Integrity, както и премахна експерименталната му реализация от кода на Chromium и архивира репозитория със спецификацията. Все пак на платформата Android продължават експериментите с реализация на подобен API за проверка на потребителската среда — WebView Media Integrity, който се представя като разширение на базата на услугите на Google Mobile Services (GMS). Утвърдило се е, че API WebView Media Integrity ще бъде ограничен до компонента WebView и приложения, свързани с обработка на мултимедийно съдържание; например, ще може да бъде използван в мобилни приложения на базата на WebView за стрийминг на звук и видео. Предоставянето на достъп до този API през браузър не е планирано.
API Web Environment Integrity е разработен, за да предостави на собствениците на сайтове възможност да се уверят, че клиентската среда е безопасна по отношение на защита на личните данни, спазване на интелектуална собственост и взаимодействие с реален човек. Предполага се, че новият API може да бъде търсен в области, в които сайтът трябва да се увери, че от едната страна стои реален човек и реално устройство, а браузърът не е модифициран и не е заразен с злонамерен софтуер. API се базира на технологията Play Integrity, която вече се прилага в платформата Android за потвърждаване, че заявката е направена от немодифицирано приложение, инсталирано от каталога Google Play и изпълняващо се на истинско Android устройство.
Що се отнася до API Web Environment Integrity, той можеше да се използва за отсяване на трафика от ботове при показване на реклама; за борба с автоматично разпространявани спам и манипулация на рейтинги в социалните мрежи; за идентифициране на манипулации при гледане на съдържание, защитено с авторски права; за борба с хакери и фалшиви клиенти в онлайн игри; за установяване на създаването на фалшиви акаунти от ботове; за противодействие на атаки по подбиране на пароли; за защита от фишинг, реализиран с помощта на злонамерени програми, които пренасочват потребителите към истински сайтове.
За да се потвърди браузърната среда, в която се изпълнява зарежданият JavaScript код, в API Web Environment Integrity се предлага да се използва специален токен, издаден от страничен удостоверител (attester), който от своя страна може да бъде свързан с верига на доверие с механизмите за контрол на целостта в платформата (например Google Play). Токенът се генерира чрез изпращане на заявка до страничен сървър аттестатор, който след извършване на определени проверки потвърдил, че браузърната среда не е модифицирана. За проверка на автентичността се използват разширения EME (Encrypted Media Extensions), подобни на тези, които се прилагат в DRM за декодиране на медийно съдържание, защитено с авторски права. Теоретично EME не е свързан с отделни доставчици, но на практика три проприетарни реализации са се утвърдили: Google Widevine (използва се в Chrome, Android и Firefox), Microsoft PlayReady (използва се в Microsoft Edge и Windows) и Apple FairPlay (използва се в Safari и в продуктите на Apple).
Опитът за внедряване на разглеждания API предизвика опасения, че той може да подкопае отворения характер на уеба и да доведе до усилване на зависимостта на потребителите от отделни доставчици, както и значително да ограничи възможностите за използване на алтернативни браузъри и да усложни навлизането на нови браузъри на пазара. В крайна сметка потребителите може да бъдат поставени в зависимост от официално признати браузъри, без които се губеше възможността за работа с някои големи уебсайтове и услуги.
Източник: opennet.ru
