L'azienda Google ha ascoltato le critiche e ha interrotto la promozione dell'API Web Environment Integrity, rimuovendo anche la sua implementazione sperimentale dal codice sorgente di Chromium e trasferendo il repository della specifica in modalità archivio. Nel frattempo, sono continuati esperimenti su Android con un'implementazione simile di un'API per la verifica dell'ambiente dell'utente - WebView Media Integrity, che è posizionata come un'estensione basata sui servizi Google Mobile Services (GMS). Si afferma che l'API WebView Media Integrity sarà limitata al componente WebView e ad applicazioni legate alla gestione di contenuti multimediali, ad esempio, potrà essere utilizzata in applicazioni mobili basate su WebView per la trasmissione in streaming di audio e video. Non è prevista l'abilitazione dell'accesso a quest'API tramite browser.
L'API Web Environment Integrity è stata sviluppata per fornire ai proprietari di siti web la possibilità di garantire che l'ambiente del cliente sia affidabile in termini di protezione dei dati degli utenti, rispetto della proprietà intellettuale e interazione con una persona reale. Si prevedeva che la nuova API potesse essere richiesta in ambiti in cui il sito ha bisogno di assicurarsi che dall'altro lato ci sia una persona reale e un dispositivo reale, e che il browser non sia stato modificato né infettato da malware. L'API si basa sulla tecnologia Play Integrity, già utilizzata nella piattaforma Android per confermare che la richiesta provenga da un'app non modificata, installata dal Google Play Store ed eseguita su un vero dispositivo Android.
Per quanto riguarda l'API Web Environment Integrity, essa avrebbe potuto essere utilizzata per filtrare il traffico proveniente da bot durante la visualizzazione di pubblicità; per combattere lo spam inviato automaticamente e le manipolazioni dei punteggi nei social network; per rilevare manipolazioni durante la visualizzazione di contenuti protetti da copyright; per combattere gli hacker e i clienti falsi nei giochi online; per determinare la creazione di account fittizi da parte di bot; per contrastare attacchi di forza bruta; e per proteggere da phishing realizzato tramite malware che reindirizzano a siti autentici.
Per confermare l'ambiente del browser in cui viene eseguito il codice JavaScript caricato, nell'API Web Environment Integrity si proponeva di utilizzare un token speciale rilasciato da un attestatore esterno, il quale a sua volta poteva essere associato a una catena di fiducia con i meccanismi di controllo dell'integrità sulla piattaforma (ad esempio, Google Play). Il token veniva generato inviando una richiesta a un attestatore esterno. server Questo attestatore, dopo aver effettuato determinate verifiche, confermava che l'ambiente del browser non fosse stato modificato. Per la verifica dell'autenticità venivano utilizzate estensioni EME (Encrypted Media Extensions), simili a quelle applicate nel DRM per la decodifica di contenuti multimediali protetti da copyright. In teoria, EME non è legato a fornitori specifici, ma in pratica sono state adottate tre implementazioni proprietarie: Google Widevine (utilizzato in Chrome, Android e Firefox), Microsoft PlayReady (utilizzato in Microsoft Edge e Windows) e Apple FairPlay (utilizzato in Safari e nei prodotti Apple).
Il tentativo di implementare l'API in questione ha sollevato preoccupazioni che potesse minare la natura aperta del Web e portare a una maggiore dipendenza degli utenti da fornitori specifici, limitando notevolmente le opportunità di utilizzare browser alternativi e complicando l'ingresso di nuovi browser nel mercato. Di conseguenza, gli utenti avrebbero potuto trovarsi dipendenti da browser ufficialmente verificati, senza i quali si sarebbe persa la capacità di operare con alcuni grandi siti web e servizi.
Fonte: opennet.ru
