Le aziende Cloudflare, Google, Mozilla, Microsoft e Shopify hanno presentato un progetto congiunto per lo sviluppo e la standardizzazione del protocollo Private Access Control Tokens (PACT), che consente di separare utenti reali e bot legittimi dal traffico spazzatura e dall'attività incontrollata dei bot AI, mantenendo al contempo la riservatezza dell'utente. È stato dichiarato che il nuovo protocollo permetterà di filtrare il traffico dei bot sui siti utilizzando token anonimi, evitando la necessità di CAPTCHA, di autenticazione obbligatoria e di tracciamento tramite Cookies.
L'idea è che i servizi che hanno motivi per considerare l'utente come una persona reale, ad esempio, dopo una riuscita autenticazione o verifica anti-bot, possano rilasciare token anonimi all'utente. Successivamente, il browser dell'utente sarà in grado di presentare questi token ad altri siti come conferma che la richiesta non è automatica. Questo approccio consentirà di utilizzare le verifiche già superate su un sito per connettersi ad altri siti senza ulteriori controlli. Inoltre, il protocollo è progettato in modo tale che i siti non possano utilizzare i token per identificare l'utente o ricostruire la cronologia delle visite.
La causa di questa iniziativa è stata l'aumento della quota di traffico automatizzato da parte di agenti AI, crawler e scraper, che si mascherano da richieste di normali utenti, ignorano le regole del file robots.txt e creano un'enorme carico parassitario su servers. In precedenza, Cloudflare aveva proposto di utilizzare un meccanismo di autenticazione dei bot chiamato Web Bot Auth, basato sull'aggiunta di una firma crittografica alle richieste HTTP provenienti dai bot per prendere decisioni di accesso basate su dati verificabili, piuttosto che Indirizzi IP o contenuti facilmente falsificabili del campo User-Agent.
Tra i potenziali rischi associati all'implementazione del protocollo PACT, si menziona che il meccanismo creato per la conferma volontaria dell'utente potrebbe trasformarsi in un filtro di accesso obbligatorio ai siti e diventare una barriera, costringendo i programmi, i browser e gli utenti a dimostrare di meritare l'accesso.
Un problema simile era già stato evidenziato dall'organizzazione EFF (Electronic Frontier Foundation) nella sua critica all'API Web Environment Integrity e alla certificazione remota. Meccanismi di questo tipo consentono ai proprietari dei siti di bloccare browser, sistemi operativi e strumenti di automazione indesiderati, presentandolo come una lotta contro le frodi e le attività dannose. L'EFF riconosce che i problemi con i bot sono reali, ma ritiene inaccettabile affrontarli introducendo nuove restrizioni e limitando il diritto dell'utente di gestire il proprio computer.
Fonte: opennet.ru
