La empresa Google ha escuchado las críticas y ha dejado de promover la API Web Environment Integrity, así como también ha eliminado su implementación experimental de la base de código de Chromium y ha archivado el repositorio de la especificación. Sin embargo, en la plataforma Android continúan los experimentos con la implementación de una API similar para verificar el entorno del usuario: WebView Media Integrity, que se presenta como una extensión basada en los servicios de Google Mobile Services (GMS). Se afirma que la API WebView Media Integrity se limitará al componente WebView y a aplicaciones relacionadas con el procesamiento de contenido multimedia, por ejemplo, podrá usarse en aplicaciones móviles basadas en WebView para la transmisión de audio y video. No se planea proporcionar acceso a esta API a través de un navegador.
La API Web Environment Integrity fue diseñada para proporcionar a los propietarios de sitios web la capacidad de verificar que el entorno del cliente es confiable en términos de protección de datos de los usuarios, cumplimiento de la propiedad intelectual e interacción con una persona real. Se suponía que esta nueva API podría ser útil en áreas donde el sitio necesita asegurarse de que al otro lado hay una persona y un dispositivo reales, y que el navegador no ha sido modificado ni está infectado con malware. La API se basa en la tecnología Play Integrity, que ya se utiliza en la plataforma Android para confirmar que la solicitud proviene de una aplicación no modificada instalada desde el catálogo de Google Play y que se ejecuta en un dispositivo Android genuino.
En cuanto a la API Web Environment Integrity, podría utilizarse para filtrar el tráfico de bots durante la exhibición de anuncios; combatir el spam generado automáticamente y la manipulación de calificaciones en redes sociales; detectar manipulaciones al visualizar contenido protegido por derechos de autor; luchar contra tramposos y clientes falsos en juegos en línea; identificar la creación de cuentas ficticias por bots; contrarrestar ataques de fuerza bruta; y proteger contra el phishing realizado mediante programas maliciosos que redirigen a sitios reales.
Para confirmar el entorno del navegador en el que se ejecuta el código JavaScript que se está cargando, se propuso en la API de Web Environment Integrity utilizar un token especial, emitido por un certificador externo (attester), que a su vez podría estar vinculado a una cadena de confianza con los mecanismos de control de integridad en la plataforma (por ejemplo, Google Play). El token se generaba enviando una solicitud a un tercero. servidor de certificación, que después de realizar ciertas verificaciones confirmaba que el entorno del navegador no había sido modificado. Se utilizaban extensiones EME (Encrypted Media Extensions) para la verificación de autenticidad, similares a las que se emplean en DRM para decodificar contenido de medios protegido por derechos de autor. En teoría, EME no está vinculado a proveedores específicos, pero en la práctica han prevalecido tres implementaciones propietarias: Google Widevine (utilizado en Chrome, Android y Firefox), Microsoft PlayReady (utilizado en Microsoft Edge y Windows) y Apple FairPlay (utilizado en Safari y en productos de Apple).
El intento de implementación de la API en cuestión generó preocupaciones de que podría socavar la naturaleza abierta de la web y resultar en una mayor dependencia de los usuarios de proveedores individuales, además de limitar drásticamente las posibilidades de utilizar navegadores alternativos y complicar la entrada de nuevos navegadores al mercado. Como resultado, los usuarios podrían verse obligados a depender de navegadores oficialmente verificados, sin los cuales perderían la capacidad de acceder a ciertos sitios web y servicios importantes.
Fuente: opennet.ru
