Die Unternehmen Cloudflare, Google, Mozilla, Microsoft und Shopify haben ein gemeinsames Projekt zur Entwicklung und Standardisierung des Protokolls Private Access Control Tokens (PACT) vorgestellt, das es ermöglicht, echte Benutzer und legitim agierende Bots von Spam-Traffic und unkontrollierter Aktivität von AI-Bots zu trennen und gleichzeitig die Privatsphäre der Nutzer zu wahren. Es wird behauptet, dass das neue Protokoll es ermöglichen wird, Bot-Traffic auf Websites mithilfe anonymisierter Tokens zu filtern, ohne CAPTCHA-Anfragen, verpflichtende Authentifizierung oder Tracking über Cookies erforderlich zu machen.
Die Idee ist, dass Dienste, die berechtigte Anzeichen dafür haben, dass ein Benutzer ein echter Mensch ist, zum Beispiel nach erfolgreicher Authentifizierung oder Anti-Bot-Überprüfung, diesem Benutzer anonyme Tokens ausstellen. Der Browser des Benutzers kann diese Tokens dann anderen Websites vorlegen, um zu bestätigen, dass die Anfrage nicht automatisiert ist. Ein solcher Ansatz wird es ermöglichen, bereits auf einer Website durchgeführte Prüfungen für den Zugriff auf andere Websites ohne zusätzliche Verifizierung zu nutzen. Dabei wird das Protokoll so entworfen, dass Websites die Tokens nicht zur Identifizierung des Benutzers oder zur Wiederherstellung von Besuchshistorien verwenden können.
Der Anstoß für die Initiative war der Anstieg des Anteils automatisierter Traffic von AI-Agenten, Crawlers und Scrapers, die sich als Anfragen von normalen Nutzern ausgeben, die die Regeln aus robots.txt ignorieren und eine enorme parasitäre Last auf Server. Zuvor hatte Cloudflare vorgeschlagen, ein Mechanismus zur Authentifizierung von Bots namens Web Bot Auth zu verwenden, der auf der Anbringung einer kryptographischen Signatur an HTTP-Anfragen von Bots basiert, um Entscheidungen über den Zugang auf der Grundlage verifizierbarer Daten zu treffen, und nicht auf IP-Adressen oder leicht fälschbaren Inhalten des User-Agent-Feldes.
Zu den potenziellen Risiken, die mit der Einführung des PACT-Protokolls verbunden sind, wird erwähnt, dass der Mechanismus, der zur freiwilligen Bestätigung von Benutzern geschaffen wurde, sich in einen verpflichtenden Zugangsfiler zu Websites verwandeln könnte und eine Barriere darstellen könnte, bei der Programme, Browser und Benutzer nachweisen müssen, dass sie Zugang verdienen.
Ein ähnliches Problem hat bereits die Organisation EFF (Electronic Frontier Foundation) in ihrer Kritik an der API Web Environment Integrity und der Remote-Zertifizierung angesprochen. Solche Mechanismen ermöglichen es Website-Betreibern, unerwünschte Browser, Betriebssysteme und Automatisierungstools zu blockieren, was sie als Bekämpfung von Betrug und böswilliger Aktivität darstellen. Die EFF erkennt an, dass Probleme mit Bots real sind, hält es jedoch für inakzeptabel, diese durch die Einführung neuer Einschränkungen und die Beschneidung des Rechts des Benutzers auf eine eigene Computerverwaltung zu lösen.
Quelle: opennet.ru
