Die Unternehmen Cloudflare, Google, Mozilla, Microsoft und Shopify haben ein gemeinsames Projekt zur Entwicklung und Standardisierung des Protokolls Private Access Control Tokens (PACT) vorgestellt. Dieses Protokoll soll es ermöglichen, reale Benutzer und legitime Bots von Spam-Traffic und unkontrollierten AI-Bots zu unterscheiden und dabei die PrivatsphĂ€re der Nutzer zu wahren. Es wird erwartet, dass das neue Protokoll die Möglichkeit bietet, Bot-Traffic auf Websites mithilfe anonymer Tokens zu filtern, ohne darauf angewiesen zu sein, Captcha-Anfragen, obligatorische Authentifizierung oder Cookie-Tracking durchzufĂŒhren.
Die Idee besteht darin, dass Dienste, die GrĂŒnde haben zu glauben, dass der Benutzer eine echte Person ist, z. B. nach erfolgreicher Authentifizierung oder Bot-PrĂŒfung, an den Benutzer anonyme Tokens ausgeben. Der Browser des Benutzers kann diese Tokens dann anderen Websites vorlegen, um zu bestĂ€tigen, dass die Anfrage nicht automatisiert ist. Ein solcher Ansatz ermöglicht es, bereits auf einer Website durchgefĂŒhrte PrĂŒfungen fĂŒr die Verbindung zu anderen Websites zu nutzen, ohne zusĂ€tzliche PrĂŒfungen durchfĂŒhren zu mĂŒssen. Das Protokoll wird so entworfen, dass Websites die Tokens nicht zur Identifizierung des Benutzers oder zur Wiederherstellung der Surfgeschichte verwenden können.
Der Anlass fĂŒr die Initiative war das Wachstum des Anteils an automatisiertem Traffic von KI-Agenten, Crawlern und Scrapers, die sich als Anfragen von normalen Benutzern ausgeben, die die Regeln aus robots.txt ignorieren und eine enorme parasitĂ€re Last auf Server. Zuvor bot angeboten wurde, um die Authentifizierung von Bots mithilfe des Web Bot Auth-Mechanismus, der auf der Anbringung einer kryptografischen Signatur an HTTP-Anfragen von Bots basiert, um Entscheidungen ĂŒber den Zugang auf Grundlage von verifizierbaren Daten zu treffen, nicht IP-Adressen oder leicht fĂ€lschbaren Inhalten im User-Agent-Feld.
Zu den potenziellen Risiken der EinfĂŒhrung des PACT-Protokolls gehört, dass der Mechanismus, der fĂŒr die freiwillige BestĂ€tigung des Benutzers entwickelt wurde, sich in einen verpflichtenden Zugangsschutzfilter fĂŒr Websites verwandeln könnte und zu einem Hindernis werden wĂŒrde, bei dem Programme, Browser und Benutzer beweisen mĂŒssen, dass sie Zugang verdienen.
Eine Ă€hnliche Problematik hatte bereits die EFF (Electronic Frontier Foundation) in ihrer Kritik zu API Web Environment Integrity und Remote Attestation angesprochen. Solche Mechanismen geben Website-Betreibern die Möglichkeit, unerwĂŒnschte Browser, Betriebssysteme und Automatisierungstools zu blockieren, wĂ€hrend sie dies als Kampf gegen Betrug und bösartige AktivitĂ€ten darstellen. Die EFF erkennt an, dass Probleme mit Bots real sind, hĂ€lt es jedoch fĂŒr inakzeptabel, diese durch neue EinschrĂ€nkungen und EinschrĂ€nkungen des Rechts der Benutzer, ihren eigenen Computer zu verwalten, zu lösen.
Quelle: opennet.ru
