Google heeft naar de kritiek geluisterd en de promotie van de API Web Environment Integrity stopgezet. Bovendien heeft het de experimentele implementatie uit de codebase van Chromium verwijderd en de repository met specificaties naar archiefmodus verplaatst. Op het Android-platform gaan de experimenten echter door met de implementatie van een vergelijkbare API voor het verifiĆ«ren van de gebruikersomgeving ā WebView Media Integrity, dat als een uitbreiding wordt gepositioneerd op basis van Google Mobile Services (GMS). Het wordt gesteld dat de API WebView Media Integrity zich zal beperken tot de WebView-component en toepassingen die verband houden met de verwerking van multimedia-inhoud, bijvoorbeeld het kan worden gebruikt in mobiele applicaties op basis van WebView voor het streamen van audio en video. Toegang tot deze API via de browser wordt niet gepland.
API Web Environment Integrity was ontwikkeld om website-eigenaren de mogelijkheid te bieden te verifiĆ«ren dat de klantomgeving betrouwbaar is wat betreft de bescherming van gebruikersgegevens, naleving van intellectuele eigendom en interactie met een echte persoon. Het werd verondersteld dat de nieuwe API in vraag zou komen op gebieden waar de website moet verifiĆ«ren dat er aan de andere kant een echte persoon en een echt apparaat is, en dat de browser niet is aangepast of geĆÆnfecteerd met malware. De API is gebaseerd op de Play Integrity-technologie, die al wordt toegepast op het Android-platform om te bevestigen dat het verzoek is gedaan vanuit een niet-aangepaste applicatie die is geĆÆnstalleerd vanuit de Google Play-winkel en uitgevoerd wordt op een authentiek Android-apparaat.
Wat betreft de API Web Environment Integrity, het kon worden gebruikt om verkeer van bots uit te sluiten bij het weergeven van advertenties; om automatisch verzonden spam en nep beoordelingen op sociale netwerken te bestrijden; het vaststellen van manipulaties bij het bekijken van auteursrechtelijk beschermd materiaal; het bestrijden van valsspelers en nepklanten in online games; het identificeren van het creƫren van valse accounts door bots; het tegengaan van aanvallen via wachtwoordgissingen; en bescherming tegen phishing via malware die output naar echte websites verzendt.
Om de browseromgeving te bevestigen waarin de te laden JavaScript-code wordt uitgevoerd, werd in de Web Environment Integrity API voorgesteld een speciale token te gebruiken, afgegeven door een externe attesteerder, die op zijn beurt kon worden verbonden via een keten van vertrouwen met de integriteitscontrolemechanismen op het platform (bijvoorbeeld Google Play). De token werd gegenereerd door een verzoek naar een externe server attestatie te verzenden, die na het uitvoeren van bepaalde controles bevestigde dat de browseromgeving niet gemodificeerd was. Voor authenticatie werden EME (Encrypted Media Extensions) gebruikt, vergelijkbaar met die welke in DRM worden toegepast voor het decoderen van auteursrechtelijk beschermd media-inhoud. In theorie is EME niet aan specifieke leveranciers gebonden, maar in de praktijk hebben drie propriƫtaire implementaties zich verspreid: Google Widevine (gebruikt in Chrome, Android en Firefox), Microsoft PlayReady (gebruikt in Microsoft Edge en Windows) en Apple FairPlay (gebruikt in Safari en Apple-producten).
De poging om de besproken API in te voeren leidde tot bezorgdheid dat deze het open karakter van het web zou kunnen ondermijnen en zou leiden tot een grotere afhankelijkheid van gebruikers van specifieke leveranciers, terwijl het de mogelijkheden voor het gebruik van alternatieve browsers zou beperken en de introductie van nieuwe browsers op de markt zou bemoeilijken. Als gevolg hiervan zouden gebruikers afhankelijk kunnen worden van officieel geverifieerde browsers, zonder welke ze de mogelijkheid zouden verliezen om toegang te krijgen tot bepaalde grote websites en diensten.
Bron: opennet.ru
