Cloudflare, Google, Mozilla, Microsoft ja Shopify ovat julkistaneet yhteisprojektin Private Access Control Tokens (PACT) -protokollan kehittämiseksi ja standardoimiseksi. PACT-protokolla erottaa oikeat käyttäjät ja lailliset botit roskapostiliikenteestä ja hallitsemattomasta tekoälybottien toiminnasta säilyttäen samalla käyttäjien yksityisyyden. Uuden protokollan väitetään mahdollistavan bottiliikenteen suodattamisen verkkosivustoilla anonyymejä tokeneita käyttäen, poistaen CAPTCHA-pyynnöt, pakollisen todennuksen ja evästeiden seurannan.
Ajatuksena on, että palvelut, joilla on syytä uskoa käyttäjän olevan oikea henkilö, esimerkiksi onnistuneen todennuksen tai bottien vastaisen varmennuksen jälkeen, myöntävät käyttäjälle nimettömiä tokeneita. Käyttäjän selain voi sitten esittää nämä tokenit muille verkkosivustoille todisteena siitä, että pyyntöä ei ole automatisoitu. Tämä lähestymistapa mahdollistaa yhden sivuston jo läpäistyjen varmennustarkistusten käytön yhteyden muodostamiseen muille sivustoille ilman lisävahvistusta. Protokolla on suunniteltu siten, että verkkosivustot eivät voi käyttää tokeneita käyttäjän tunnistamiseen tai selaushistorian palauttamiseen.
Aloitteen syynä oli tekoälyagenttien, hakurobottien ja kaapimien automatisoidun liikenteen osuuden kasvu. Nämä robotit teeskentelivät olevan tavallisten käyttäjien pyyntöjä, jättivät robots.txt-tiedoston säännöt huomiotta ja loivat valtavan loiskuormituksen palvelimelle. serveriaAiemmin Cloudflare ehdotti Web Bot Auth -mekanismin käyttöä bottien todennukseen, joka perustuu kryptografisen allekirjoituksen liittämiseen bottien HTTP-pyyntöihin, jotta käyttöoikeuspäätökset voidaan tehdä todennettavissa olevien tietojen perusteella sen sijaan, että IP-osoitteet tai helposti väärennettävien käyttäjäagenttikenttien sisältöjä.
Yksi PACT-protokollan käyttöönottoon liittyvä mahdollinen riski on, että vapaaehtoista käyttäjän vahvistusta varten luotu mekanismi voisi muuttua pakolliseksi suodattimeksi verkkosivustojen käyttöönotolle ja esteeksi, jossa ohjelmien, selainten ja käyttäjien olisi todistettava oikeutensa pääsyyn.
Electronic Frontier Foundation (EFF) on aiemmin nostanut esiin samanlaisen ongelman kritiikissään Web Environment Integrity API:a ja etätodentamista kohtaan. Tällaiset mekanismit antavat verkkosivustojen omistajille mahdollisuuden estää ei-toivotut selaimet, käyttöjärjestelmät ja automaatiotyökalut, esittäen tämän keinona torjua petoksia ja haitallista toimintaa. EFF myöntää, että bottiongelmat ovat todellisia, mutta pitää mahdottomana ratkaista niitä ottamalla käyttöön uusia rajoituksia ja loukkaamalla käyttäjien oikeuksia hallita omia tietokoneitaan.
Lähde: opennet.ru
