Die Unternehmen Cloudflare, Google, Mozilla, Microsoft und Shopify haben ein gemeinsames Projekt zur Entwicklung und Standardisierung des Protokolls Private Access Control Tokens (PACT) vorgestellt. Dieses Protokoll soll es ermöglichen, reale Benutzer und legitime Bots von Spam-Traffic und unkontrollierten AI-Bots zu unterscheiden und dabei die Privatsphäre der Nutzer zu wahren. Es wird erwartet, dass das neue Protokoll die Möglichkeit bietet, Bot-Traffic auf Websites mithilfe anonymer Tokens zu filtern, ohne darauf angewiesen zu sein, Captcha-Anfragen, obligatorische Authentifizierung oder Cookie-Tracking durchzuführen.
Die Idee besteht darin, dass Dienste, die Gründe haben zu glauben, dass der Benutzer eine echte Person ist, z. B. nach erfolgreicher Authentifizierung oder Bot-Prüfung, an den Benutzer anonyme Tokens ausgeben. Der Browser des Benutzers kann diese Tokens dann anderen Websites vorlegen, um zu bestätigen, dass die Anfrage nicht automatisiert ist. Ein solcher Ansatz ermöglicht es, bereits auf einer Website durchgeführte Prüfungen für die Verbindung zu anderen Websites zu nutzen, ohne zusätzliche Prüfungen durchführen zu müssen. Das Protokoll wird so entworfen, dass Websites die Tokens nicht zur Identifizierung des Benutzers oder zur Wiederherstellung der Surfgeschichte verwenden können.
Der Anlass für die Initiative war das Wachstum des Anteils an automatisiertem Traffic von KI-Agenten, Crawlern und Scrapers, die sich als Anfragen von normalen Benutzern ausgeben, die die Regeln aus robots.txt ignorieren und eine enorme parasitäre Last auf Server. Zuvor bot angeboten wurde, um die Authentifizierung von Bots mithilfe des Web Bot Auth-Mechanismus, der auf der Anbringung einer kryptografischen Signatur an HTTP-Anfragen von Bots basiert, um Entscheidungen über den Zugang auf Grundlage von verifizierbaren Daten zu treffen, nicht IP-Adressen oder leicht fälschbaren Inhalten im User-Agent-Feld.
Zu den potenziellen Risiken der Einführung des PACT-Protokolls gehört, dass der Mechanismus, der für die freiwillige Bestätigung des Benutzers entwickelt wurde, sich in einen verpflichtenden Zugangsschutzfilter für Websites verwandeln könnte und zu einem Hindernis werden würde, bei dem Programme, Browser und Benutzer beweisen müssen, dass sie Zugang verdienen.
Eine ähnliche Problematik hatte bereits die EFF (Electronic Frontier Foundation) in ihrer Kritik zu API Web Environment Integrity und Remote Attestation angesprochen. Solche Mechanismen geben Website-Betreibern die Möglichkeit, unerwünschte Browser, Betriebssysteme und Automatisierungstools zu blockieren, während sie dies als Kampf gegen Betrug und bösartige Aktivitäten darstellen. Die EFF erkennt an, dass Probleme mit Bots real sind, hält es jedoch für inakzeptabel, diese durch neue Einschränkungen und Einschränkungen des Rechts der Benutzer, ihren eigenen Computer zu verwalten, zu lösen.
Quelle: opennet.ru
