L'implementazione sperimentale della tecnologia FLoC, lanciata in Chrome 89 e sviluppata da Google per sostituire i cookie di tracciamento, ha incontrato resistenza da parte della comunità. Dopo l'introduzione di FLoC, Google prevede di interrompere completamente il supporto ai cookie di terze parti in Chrome/Chromium, quelli impostati durante la navigazione su siti diversi da quello del dominio attuale. Attualmente, è in corso un test selettivo di FLoC su una piccola percentuale di utenti di Chrome 90 e il supporto per FLoC è già incluso nella base di codice di Chromium.
Secondo i critici dell'implementazione di FLoC, questa tecnologia, invece di eliminare completamente il tracciamento degli utenti, sostituisce semplicemente un tipo di targeting con un altro e, nel tentativo di risolvere alcuni problemi, ne crea altri. Ad esempio, FLoC crea condizioni per la discriminazione degli utenti in base alle loro preferenze e opinioni.
La reazione di alcuni progetti all'integrazione di FLoC nella base di codice di Chromium:
- Uno dei principali sviluppatori del sistema di gestione dei contenuti WordPress, che detiene circa il 40% del mercato delle CMS, ha suggerito di considerare FLoC come una minaccia alla sicurezza e di avvalersi della possibilità fornita dalle specifiche per vietare l'uso di FLoC e disabilitare l'identificazione delle informazioni sugli interessi degli utenti per siti specifici. Il rifiuto di FLoC può essere attivato dal lato del sito impostando l'intestazione HTTP "Permissions-Policy: interest-cohort=()". Si propone di abilitare di default questo divieto di FLoC in tutte le istanze di WordPress e di includere le modifiche in uno degli aggiornamenti per risolvere problemi di sicurezza.
Se la proposta verrà approvata, FLoC sarà disabilitato di default su tutti i siti che applicano aggiornamenti automatici di WordPress. Per coloro che desiderano utilizzare FLoC, sarà fornita un'opzione per disabilitare l'invio dell'intestazione "Permissions-Policy: interest-cohort=()". Un divieto simile di FLoC è stato proposto di default anche per la significativa release di WordPress 5.8, prevista per luglio, e potrebbe non arrivare in tempo per l'inclusione di massa di FLoC, motivo per cui si sta considerando la possibilità di disabilitare FLoC tramite un aggiornamento intermedio.
Nei commenti, non tutti si sono mostrati d'accordo sull'opportunità di rilasciare un aggiornamento di questo tipo, motivando che non bisognerebbe mescolare i problemi di sicurezza con la preoccupazione per la privacy. Gli abusi delle modifiche proposte negli aggiornamenti automatici possono portare a una perdita di fiducia nei confronti di tali aggiornamenti.
- Gli sviluppatori dei browser Vivaldi e Brave Browser hanno rifiutato di implementare il supporto FLoC nei loro prodotti, dichiarando che i loro utenti hanno diritto alla privacy. I rappresentanti di Vivaldi hanno anche sottolineato che è giusto chiamare le cose con il loro nome, e FLoC non è una tecnologia di protezione della privacy, come cerca di promuovere Google, ma una tecnologia di tracciamento che viola la privacy.
- L'organizzazione per i diritti civili EFF (Electronic Frontier Foundation) ha lanciato il sito amifloced.org, che consente di determinare se il FLoC è attivato nel browser, dando così all'utente la possibilità di capire se sta partecipando all'esperimento di Google.
- Il motore di ricerca DuckDuckGo ha criticato il FLoC e ha aggiunto nel componente aggiuntivo di Chrome DuckDuckGo Privacy Essentials il blocco del FLoC, oltre a vietare l'uso del FLoC sul sito duckduckgo.com (DuckDuckGo Search) attraverso l'impostazione dell'intestazione HTTP "Permissions-Policy: interest-cohort=()".
- L'azienda Microsoft per ora non ha implementato il FLoC nel browser Edge, ha adottato una posizione attendista e cerca di sviluppare la propria tecnologia di tracciamento delle preferenze PARAKEET (Private and Anonymized Requests for Ads that Keep Efficacy and Enhance Transparency). La sostanza di PARAKEET consiste nell'utilizzo di un proxy-server, che si trova tra l'utente e la rete pubblicitaria. All'utente viene assegnato un identificatore unico, ma le informazioni su di esso vengono acquisite solo dal proxy, che trasmette alla rete pubblicitaria solo un insieme limitato di informazioni anonimizzate.
- Mozilla e Opera non prevedono di implementare il FLoC nei loro prodotti. L'azienda Apple per il momento non ha preso una decisione definitiva riguardo l'implementazione del FLoC in Safari.
- Nel blocco pubblicitario uBlock è stata implementata la disattivazione di default delle richieste FLoC. Un blocco simile del FLoC è stato aggiunto nei componenti aggiuntivi Adguard e Adblock Plus.
Ricordiamo che l'API FLoC (Federated Learning of Cohorts) è destinata a determinare la categoria di interessi dell'utente senza effettuare un'identificazione individuale e senza alcun legame con la cronologia delle visite a siti specifici. FLoC consente di individuare gruppi di utenti con interessi simili, senza identificare singoli utenti. Gli interessi degli utenti vengono determinati tramite 'coorti', brevi etichette che descrivono diversi gruppi di interessi. Le coorti vengono calcolate sul lato del browser attraverso l'applicazione di algoritmi di apprendimento automatico ai dati di cronologia delle visite e ai contenuti visualizzati nel browser. I dettagli rimangono sul lato dell'utente, e solo informazioni generali sulle coorti, riflettenti gli interessi e che consentono di mostrare pubblicità rilevanti senza seguire il singolo utente, vengono trasmesse all'esterno.
I principali rischi associati all'implementazione di FLoC:
- Discriminazione basata sulle preferenze degli utenti. Ad esempio, le offerte di lavoro e di concessione di prestiti possono variare in base all'etnia, religione, sesso e età. Gli utenti in difficoltà finanziaria possono essere costretti a prendere prestiti a tassi elevati, e la definizione dei dati demografici e delle preferenze politiche può essere utilizzata per aumentare la persuasione della disinformazione. Con l'uso di FLoC, le informazioni sul comportamento seguiranno l'utente da sito a sito e i dati sull'attività passata possono essere utilizzati per manipolare l'utente durante la navigazione nei siti.
- Non si esclude la possibilità di condurre un ingegneria inversa della cronologia delle visite basata sui dati della coorte. L'analisi dell'algoritmo di assegnazione delle coorti consentirà di dedurre quali siti ha probabilmente visitato l'utente. Inoltre, sulla base delle coorti, si possono fare ipotesi sull'età, sulla condizione sociale, sull'orientamento di genere, sulle preferenze politiche, sulle difficoltà finanziarie o sulle esperienze traumatiche vissute.
- L'emergere di un fattore aggiuntivo per l'identificazione nascosta del browser dell'utente («browser fingerprinting»). Sebbene i gruppi FLoC coprano migliaia di persone, possono essere utilizzati per migliorare la precisione dell'identificazione del browser quando utilizzati in combinazione con altri dati indiretti, come la risoluzione dello schermo, l'elenco dei tipi MIME supportati, parametri specifici nelle intestazioni (HTTP/2 e HTTPS), plugin installati e font, disponibilità di determinate Web API, caratteristiche specifiche delle schede video per il rendering tramite WebGL e Canvas, manipolazione CSS, caratteristiche di interazione con il mouse e la tastiera.
- Fornire ulteriori dati personali ai tracker, che già identificano gli utenti. Ad esempio, se un utente è identificato e ha effettuato l'accesso al proprio account, il servizio può esplicitamente abbinare i dati sulle preferenze indicate nel gruppo a un utente specifico, e monitorare la trasformazione delle preferenze con la modifica dei gruppi.
In aggiunta, si può notare che parallelamente i rappresentanti dell'industria pubblicitaria stanno sviluppando altre metodologie alternative di identificazione, che potrebbero essere utilizzate per tracciare gli utenti in caso di blocco dei cookie di terze parti in Chrome. Ad esempio, la società The Trade Desk ha proposto la tecnologia UID2 (Identificatore Unificato), realizzando un meccanismo di identificazione degli utenti che opera in cooperazione con i proprietari dei siti. L'identificatore UID2 viene generato sulla base delle informazioni fornite dall'utente durante la registrazione al sito, come email, numero di telefono o dati di un account sui social network. Sulla base della crittografia del contenuto di UID2, viene creato un token dal coordinatore dell'infrastruttura, che il proprietario del sito può trasmettere alle reti pubblicitarie. Le reti pubblicitarie autorizzate possono ricevere le chiavi per decifrare il token e ottenere l'UID2 originale, che può essere utilizzato per costruire un profilo utente complessivo, aggregando informazioni da diverse fonti.
Fonte: opennet.ru
