Le aziende Cloudflare, Google, Mozilla, Microsoft e Shopify hanno lanciato un progetto congiunto per sviluppare e standardizzare il protocollo Private Access Control Tokens (PACT), che consente di distinguere gli utenti reali e i bot legittimi dal traffico indesiderato e dalle attività non controllate dei bot AI, mantenendo al contempo la privacy degli utenti. Si afferma che il nuovo protocollo permetterà di filtrare il traffico dei bot sui siti utilizzando token anonimi, senza la necessità di richiedere CAPTCHA, autenticazione obbligatoria e tracciamento tramite cookie.
L'idea è che i servizi che hanno motivi per ritenere l'utente una persona reale, ad esempio dopo una riuscita autenticazione o un controllo anti-bot, emetteranno token anonimi per l'utente. Successivamente, il browser dell'utente potrà presentare questi token ad altri siti come conferma che la richiesta non è automatica. Questo approccio permetterà di utilizzare i controlli già superati su un sito per collegarsi ad altri siti senza ulteriori verifiche. Il protocollo è progettato in modo tale che i siti non possano utilizzare i token per identificare l'utente o ripristinare la cronologia di navigazione.
L'iniziativa è stata motivata dall'aumento della quota di traffico automatizzato proveniente da agenti AI, crawler e scrapers, che si spacciano per richieste da normali utenti, ignorando le regole di robots.txt e creando un'enorme carico parassitario su server. In precedenza, Cloudflare offriva di utilizzare per l'autenticazione dei bot un meccanismo di Web Bot Auth, basato sull'allegazione di una firma crittografica alle richieste HTTP dai bot per decidere l'accesso in base a dati verificabili piuttosto che Indirizzi IP a contenuti facilmente falsificabili nel campo User-Agent.
Tra i potenziali rischi legati all'implementazione del protocollo PACT, si menziona che il meccanismo, creato per la convalida volontaria dell'utente, potrebbe trasformarsi in un filtro di accesso obbligatorio ai siti web, diventando un ostacolo in cui programmi, browser e utenti devono dimostrare di meritare l'accesso.
In passato, l'organizzazione EFF (Electronic Frontier Foundation) ha sollevato problemi simili nella sua critica all'API Web Environment Integrity e alla certificazione remota. Tali meccanismi consentono ai proprietari dei siti di bloccare browser, sistemi operativi e strumenti di automazione indesiderati, presentando questo come una lotta contro le frodi e l'attività dannosa. L'EFF riconosce che i problemi con i bot sono reali, ma considera inaccettabile affrontarli attraverso l'introduzione di nuove restrizioni e la violazione del diritto dell'utente di gestire il proprio computer.
Fonte: opennet.ru
