L'implementazione sperimentale della tecnologia FLoC, avviata in Chrome 89 e sviluppata da Google come sostituto dei cookie di tracciamento, ha incontrato resistenza da parte della comunità. Dopo l'implementazione di FLoC, Google prevede di interrompere completamente il supporto ai cookie di terze parti in Chrome/Chromium quando si accede a siti al di fuori del dominio della pagina attuale. Attualmente, è già in corso una sperimentazione selettiva di FLoC su una piccola percentuale di utenti di Chrome 90 e il supporto per FLoC è incluso nel codice di base di Chromium.
Secondo i critici dell'implementazione di FLoC, questa tecnologia non rappresenta una completa rinuncia al tracciamento degli utenti, ma sostituisce un tipo di targeting con un altro, creando nuovi problemi mentre si cercano di risolverne altri. Ad esempio, FLoC crea condizioni per la discriminazione degli utenti in base alle loro preferenze e opinioni.
Reazione di alcuni progetti all'integrazione di FLoC nel codice di base di Chromium:
- Uno dei principali sviluppatori del sistema di gestione dei contenuti WordPress, che detiene circa il 40% del mercato CMS, ha proposto di considerare FLoC come una minaccia alla sicurezza e di sfruttare la possibilità fornita nella specifica di vietare l'uso di FLoC e disabilitare la raccolta delle informazioni sugli interessi degli utenti per siti specifici. Il rifiuto di FLoC può essere attivato dal lato del sito impostando l'header HTTP "Permissions-Policy: interest-cohort=()". Questa restrizione su FLoC sarà proposta per essere abilitata di default in tutte le istanze di WordPress e le modifiche saranno incluse in uno degli aggiornamenti per risolvere i problemi di sicurezza.
Se la proposta sarà approvata, FLoC sarà disabilitato per impostazione predefinita su tutti i siti che applicano automaticamente gli aggiornamenti di WordPress. Per coloro che desiderano utilizzare FLoC, sarà fornita un'opzione per disabilitare l'invio dell'header "Permissions-Policy: interest-cohort=()". Un divieto simile su FLoC sarà proposto anche per la prossima versione significativa di WordPress 5.8, pianificata per luglio, e potrebbe non essere in tempo per l'attivazione di massa di FLoC, motivo per cui si sta considerando la possibilità di disattivare FLoC tramite un aggiornamento intermedio.
Nei commenti, non tutti erano d'accordo sulla necessità di un tale aggiornamento, sostenendo che non si dovrebbero mescolare i problemi di sicurezza con la preoccupazione per la privacy. Gli abusi delle modifiche proposte negli aggiornamenti automatici potrebbero portare a una perdita di fiducia in tali aggiornamenti.
- Gli sviluppatori dei browser Vivaldi e Brave Browser hanno rifiutato di implementare il supporto per FLoC nei loro prodotti, affermando che i loro utenti hanno il diritto alla privacy. I rappresentanti di Vivaldi hanno anche sottolineato che è importante chiamare le cose con il loro nome, e che FLoC non è una tecnologia per garantire la privacy, come cerca di promuoverla Google, ma una tecnologia di tracciamento che viola la privacy.
- L'organizzazione per i diritti civili EFF (Electronic Frontier Foundation) ha lanciato il sito amifloced.org, che consente di determinare se FLoC è abilitato nel browser, dando all'utente la possibilità di capire se partecipa all'esperimento di Google.
- Il motore di ricerca DuckDuckGo ha criticato FLoC e ha aggiunto all'estensione Chrome DuckDuckGo Privacy Essentials la possibilità di bloccare FLoC, oltre a vietare l'uso di FLoC sul sito duckduckgo.com (DuckDuckGo Search) impostando l'intestazione HTTP «Permissions-Policy: interest-cohort=()».
- Microsoft non ha ancora attivato FLoC nel browser Edge, mantenendo una posizione di attesa e cercando di sviluppare la propria tecnologia per il monitoraggio delle preferenze chiamata PARAKEET (Private and Anonymized Requests for Ads that Keep Efficacy and Enhance Transparency). L'essenza di PARAKEET è quella di utilizzare un proxy,server, che si trova tra l'utente e la rete pubblicitaria. All'utente viene assegnato un identificatore unico, ma solo il proxy riceve informazioni su di lui, trasmettendo alla rete pubblicitaria solo un insieme limitato di informazioni anonimizzate.
- Mozilla e Opera non prevedono di aggiungere l'implementazione di FLoC nei loro prodotti. Apple, al momento, non ha preso una decisione definitiva riguardo all'implementazione di FLoC in Safari.
- Nel blocco pubblicitario uBlock è stata implementata, di default, la disabilitazione delle richieste FLoC. Una simile funzionalità di blocco di FLoC è stata aggiunta anche nelle estensioni Adguard e Adblock Plus.
Ricordiamo che l'API FLoC (Federated Learning of Cohorts) è progettata per determinare la categoria di interessi dell'utente senza identificazione individuale e senza legame con la cronologia di visita di siti specifici. FLoC consente di identificare gruppi di utenti con interessi simili, senza identificare singoli individui. Gli interessi degli utenti vengono definiti tramite 'coorti', etichette brevi che descrivono diversi gruppi di interesse. Le coorti sono calcolate dal browser attraverso l'applicazione di algoritmi di machine learning ai dati di navigazione e al contenuto visualizzato nel browser. I dettagli rimangono sul lato utente, e solo informazioni generali sulle coorti, che riflettono gli interessi e consentono di fornire pubblicità rilevante senza tracciare un singolo utente, vengono trasmesse all'esterno.
I principali rischi associati all'implementazione di FLoC:
- Discriminazione basata sulle preferenze degli utenti. Ad esempio, le offerte di lavoro e i prestiti possono variare in base all'appartenenza etnica, alla religione, al genere e all'età. Gli utenti che hanno difficoltà economiche possono essere costretti ad accettare prestiti a tassi di interesse elevati, e l'identificazione di dati demografici e preferenze politiche può essere utilizzata per aumentare l'efficacia della disinformazione. Con l'uso di FLoC, le informazioni sul comportamento seguiranno l'utente da un sito all'altro e i dati sulle attività passate possono essere utilizzati per manipolare l'utente all'apertura dei siti.
- Non è escluso il reverse engineering della cronologia di navigazione basato sui dati di coorte. L'analisi dell'algoritmo di assegnazione delle coorti può fornire indicazioni su quali siti l'utente potrebbe aver visitato. Inoltre, sulle basi delle coorti si possono trarre conclusioni circa l'età, la condizione sociale, l'orientamento di genere, le preferenze politiche, le difficoltà finanziarie o le sventure vissute.
- L'emergere di un ulteriore fattore per l'identificazione nascosta del browser dell'utente («browser fingerprinting»). Sebbene i gruppi FLoC possano includere migliaia di persone, possono essere utilizzati per migliorare l'accuratezza dell'identificazione del browser quando combinati con altri dati indiretti, come la risoluzione dello schermo, l'elenco dei MIME type supportati, le impostazioni specifiche negli header (HTTP/2 e HTTPS), i plugin e i font installati, la disponibilità di specifiche API Web, le caratteristiche di rendering specifiche delle schede video tramite WebGL e Canvas, le manipolazioni CSS, e le peculiarità dell'uso del mouse e della tastiera.
- Fornire ulteriori dati personali ai tracker che già identificano gli utenti. Ad esempio, se un utente è identificato e ha effettuato l'accesso al proprio account, il servizio può abbinare esplicitamente le informazioni sulle preferenze indicate nel gruppo a un utente specifico e, al cambiamento dei gruppi, monitorare la trasformazione delle preferenze.
Inoltre, si segnala che parallelamente i rappresentanti dell'industria pubblicitaria stanno sviluppando altri metodi alternativi di identificazione che potranno essere utilizzati per il monitoraggio degli utenti nel caso in cui i cookie di terze parti vengano bloccati in Chrome. Ad esempio, l'azienda The Trade Desk ha proposto la tecnologia UID2 (Identificatore Unificato), che implementa un meccanismo di identificazione degli utenti che lavora in cooperazione con i proprietari dei siti web. L'identificatore UID2 viene generato sulla base delle informazioni fornite dall'utente durante la registrazione al sito, come email, numero di telefono o dati del profilo social. Sulla base della crittografia del contenuto di UID2, un coordinatore dell'infrastruttura crea un token che il proprietario del sito può trasferire alle reti pubblicitarie. Le reti pubblicitarie autorizzate possono ottenere le chiavi per decifrare il token e ottenere l'UID2 originale, che può essere utilizzato per costruire un profilo utente complessivo, aggregando informazioni provenienti da diverse fonti.
Fonte: opennet.ru
