Google премахна API Web Integrity, възприет като опит за прокарване на подобие на DRM за уеб

Компания Google се вслуша в критиката и прекрати промоцията на API Web Environment Integrity, а също така изтегли неговата експериментална реализация от кодовата база на Chromium и премести хранилището на спецификацията в архивен режим. Въпреки това на платформата Android продължават експериментите с реализирането на подобен API за верификация на потребителската среда — WebView Media Integrity, който се позиционира като разширение, основано на услугите на Google Mobile Services (GMS). Утвърдително се заявява, че API WebView Media Integrity ще се ограничи до компонента WebView и приложенията, свързани с обработката на мултимедийно съдържание; например, той ще може да се използва в мобилни приложения на базата на WebView за стрийминг на звук и видео. Няма планове за предоставяне на достъп до този API през браузър.

API Web Environment Integrity е разработен, за да предостави на собствениците на сайтове възможността да удостоверят, че клиентската среда е надеждна по отношение на защита на потребителските данни, спазване на интелектуалната собственост и взаимодействие с реален човек. Предполагаше се, че новият API може да се окаже полезен в области, в които сайтът трябва да се увери, че от другата страна стои реален човек и реално устройство, а браузърът не е модифициран и не е заразен с вредоносен софтуер. API-то се базира на технологията Play Integrity, която вече се прилага на платформата Android за потвърждаване, че заявката е направена от немодифицирано приложение, инсталирано от каталога на Google Play и изпълняващо се на автентично Android устройство.

Що се отнася до API Web Environment Integrity, той можеше да се използва за отделяне на трафика от ботове при показване на реклама; борба с автоматично разпространявания спам и манипулация на рейтинги в социалните мрежи; откриване на манипулации при прегледа на защитено от авторски права съдържание; борба с измамниците и фалшиви клиенти в онлайн игри; определяне на създаването на фиктивни акаунти от ботове; противодействие на атаки с подбиране на пароли; защита от фишинг, реализиран чрез вредоносни програми, транслиращи към реални сайтове.

За потвърждаване на браузърната среда, в която се изпълнява зарежданият JavaScript код, в API Web Environment Integrity се предлага да се използва специален токен, издаден от външен удостоверител (attester), който от своя страна може да бъде свързан с механизми за контрол на целостта в платформата (например, Google Play). Токенът се формира чрез изпращане на заявка към външен сървър аттестатор, който след извършване на определени проверки потвърдява, че браузърната среда не е модифицирана. За проверка на автентичността се използват разширения EME (Encrypted Media Extensions), подобни на тези, които се прилагат в DRM за декодиране на медийно съдържание, защитено с авторски права. В теорията EME не е свързан с отделни доставчици, но на практика три проприетарни реализации получават широко разпространение: Google Widevine (използва се в Chrome, Android и Firefox), Microsoft PlayReady (използва се в Microsoft Edge и Windows) и Apple FairPlay (използва се в Safari и продуктите на Apple).

Опитът за внедряване на разглеждания API породил опасения, че той може да подкопае открития характер на уеба и да доведе до засилена зависимост на потребителите от отделни доставчици, а също така да ограничи възможностите за използване на алтернативни браузъри и да затрудни навлизането на нови браузъри на пазара. В резултат на това потребителите можели да бъдат поставени в зависимост от официално валидирани браузъри, без които губят способността да работят с някои големи уебсайтове и услуги.

Източник: opennet.ru