Google ha ascoltato le critiche e ha smesso di promuovere l'API Web Environment Integrity. Ha anche rimosso la sua implementazione sperimentale dalla base di codice di Chromium e ha archiviato il repository della specifica. Tuttavia, su Android continuano esperimenti con un'implementazione simile di API per la verifica dell'ambiente utente: WebView Media Integrity, che è posizionato come un'estensione basata sui servizi Google Mobile Services (GMS). Si afferma che l'API WebView Media Integrity sarà limitata al componente WebView e alle applicazioni correlate all'elaborazione dei contenuti multimediali; ad esempio, potrà essere utilizzata nelle applicazioni mobili basate su WebView per lo streaming audio e video. Non è previsto l'accesso a questo API tramite il browser.
L'integrità dell'ambiente API Web è stata sviluppata per fornire ai proprietari di siti la possibilità di verificare che l'ambiente del cliente sia affidabile in termini di protezione dei dati degli utenti, rispetto della proprietà intellettuale e interazione con una persona reale. Si prevedeva che il nuovo API potesse trovare applicazione in ambiti in cui un sito ha bisogno di assicurarsi che dall'altra parte ci sia una persona reale e un dispositivo reale, e che il browser non sia stato modificato o infettato da malware. L'API si basa sulla tecnologia Play Integrity, già utilizzata nella piattaforma Android per confermare che la richiesta provenga da un'app non modificata, installata dal Google Play Store e in esecuzione su un autentico dispositivo Android.
Per quanto riguarda l'API Web Environment Integrity, questo poteva essere utilizzato per filtrare il traffico dei bot durante la visualizzazione degli annunci; combattere lo spam inviato automaticamente e il gonfiaggio delle classifiche sui social media; identificare le manipolazioni nella visualizzazione di contenuti protetti da copyright; contrastare i cheater e i clienti falsi nei giochi online; rilevare la creazione di account falsi da parte dei bot; prevenire attacchi di forza bruta; proteggersi dal phishing realizzato tramite malware che reindirizza verso siti legittimi.
Per convalidare l'ambiente del browser in cui viene eseguito il codice JavaScript caricato, nell'API Web Environment Integrity si proponeva di utilizzare un token speciale fornito da un attestatore esterno (attester), che a sua volta poteva essere collegato attraverso una catena di fiducia ai meccanismi di controllo dell'integrità sulla piattaforma (ad esempio, Google Play). Il token veniva generato tramite l'invio di una richiesta a un attore esterno. un server certificazioni, che dopo il completamento di determinati controlli confermavano che l'ambiente del browser non fosse modificato. Per la verifica dell'autenticità sono stati utilizzati i componenti aggiuntivi EME (Encrypted Media Extensions), simili a quelli utilizzati nel DRM per la decodifica dei contenuti multimediali protetti da copyright. In teoria, EME non è legato a fornitori specifici, ma nella pratica si sono affermate tre implementazioni proprietarie: Google Widevine (utilizzato in Chrome, Android e Firefox), Microsoft PlayReady (utilizzato in Microsoft Edge e Windows) e Apple FairPlay (utilizzato in Safari e nei prodotti Apple).
Il tentativo di implementare l'API in questione ha sollevato preoccupazioni riguardo al fatto che potesse compromettere il carattere aperto del Web e portare a una maggiore dipendenza degli utenti da fornitori specifici, limitando sostanzialmente la possibilità di utilizzare browser alternativi e complicando l'ingresso di nuovi browser nel mercato. Di conseguenza, gli utenti potrebbero trovarsi a dipendere da browser ufficialmente verificati, la cui mancanza impedirebbe l'accesso a importanti siti web e servizi.
Fonte: opennet.ru
