De in Chrome 89 geĆÆntroduceerde experimentele technologie FLoC, ontwikkeld door Google ter vervanging van tracking cookies, heeft weerstand ondervonden van de gemeenschap. Na de implementatie van FLoC is Google van plan om in Chrome/Chromium de ondersteuning van derden cookies, die worden ingesteld bij bezoeken aan websites anders dan het domein van de huidige pagina, volledig stop te zetten. Momenteel wordt FLoC geselectief getest op een klein percentage van Chrome 90-gebruikers, en de ondersteuning van FLoC is ook opgenomen in de codebasis van Chromium.
Volgens tegenstanders van de implementatie van FLoC vervangt deze technologie in plaats van een volledige stopzetting van het volgen van gebruikers slechts de ene vorm van targeting door een andere, en terwijl het probeert enkele problemen op te lossen, creƫert het nieuwe. Bijvoorbeeld, FLoC creƫert voorwaarden voor discriminatie van gebruikers op basis van hun voorkeuren en overtuigingen.
De reactie van sommige projecten op de integratie van FLoC in de codebasis van Chromium:
- Een van de belangrijkste ontwikkelaars van het contentmanagementsysteem WordPress, dat ongeveer 40% van de CMS-markt beslaat, stelde voor om FLoC als een veiligheidsbedreiging te beschouwen en gebruik te maken van de mogelijkheid die in de specificatie is voorzien om het gebruik van FLoC te verbieden en het vaststellen van interesse-informatie over gebruikers voor bepaalde sites uit te schakelen. Het afzien van FLoC kan aan de sitezijde worden geactiveerd door de HTTP-header āPermissions-Policy: interest-cohort=()ā in te stellen. Een dergelijk FLoC-verbod wordt voorgesteld om standaard in alle WordPress-instances te worden ingeschakeld en de wijzigingen in een van de updates met de oplossing van veiligheidsproblemen door te voeren.
Als het voorstel wordt goedgekeurd, zal FLoC op alle sites die automatisch WordPress-updates toepassen, standaard zijn uitgeschakeld. Voor degenen die FLoC willen gebruiken, zal er een optie worden geboden om de header āPermissions-Policy: interest-cohort=()ā uit te schakelen. Een soortgelijk FLoC-verbod wordt ook voorgesteld om standaard toe te voegen in een belangrijke release van WordPress 5.8, maar deze is gepland voor juli en het is mogelijk dat dit niet op tijd kan worden gedaan voor de massale implementatie van FLoC, daarom wordt ook overwogen om FLoC uit te schakelen via een tussentijdse update.
In de reacties was niet iedereen het eens met de noodzaak van een dergelijke update, met het argument dat men privacyproblemen niet moet vermengen met zorgen over beveiliging. Misbruik van de wijzigingen die worden voorgesteld in automatisch geĆÆnstalleerde updates kan leiden tot verlies van vertrouwen in dergelijke updates.
- De ontwikkelaars van de browsers Vivaldi en Brave Browser hebben geweigerd om FLoC-ondersteuning in hun producten te implementeren, en verklaarden dat hun gebruikers recht hebben op privacy. Vertegenwoordigers van Vivaldi merkten ook op dat men dingen bij de naam moet noemen, en dat FLoC geen technologie voor het waarborgen van privacy is, zoals Google het probeert te verkopen, maar een technologie voor tracking die de privacy schendt.
- De mensenrechtorganisatie EFF (Electronic Frontier Foundation) heeft de website amifloced.org gelanceerd, waarmee gebruikers kunnen controleren of FLoC is ingeschakeld in hun browser, waardoor ze kunnen begrijpen of ze deelnemen aan Googleās experiment.
- De zoekmachine DuckDuckGo heeft FLoC bekritiseerd en heeft in de Chrome-extensie DuckDuckGo Privacy Essentials een blokkering van FLoC toegevoegd, evenals het verbod op het gebruik van FLoC op de website duckduckgo.com (DuckDuckGo Search) door de HTTP-header 'Permissions-Policy: interest-cohort=()' in te stellen.
- Microsoft heeft FLoC nog niet ingeschakeld in de Edge-browser, heeft een afwachtende houding aangenomen en probeert zijn eigen technologie voor het volgen van voorkeuren genaamd PARAKEET (Private and Anonymized Requests for Ads that Keep Efficacy and Enhance Transparency) te ontwikkelen. Het doel van PARAKEET is het gebruik van een proxy-de server, die zich tussen de gebruiker en het advertentienetwerk bevindt. De gebruiker krijgt een unieke identificator, maar de informatie over deze identificator wordt alleen door de proxy ontvangen, die alleen een beperkt aantal geanonimiseerde gegevens naar het advertentienetwerk doorgeeft.
- Mozilla en Opera zijn niet van plan om FLoC-implementaties in hun producten toe te voegen. Apple heeft nog geen definitieve beslissing genomen over de implementatie van FLoC in Safari.
- In de advertentiebloker uBlock is het standaard mogelijk om FLoC-verzoeken uit te schakelen. Een soortgelijke blokkering van FLoC is toegevoegd in de extensies Adguard en Adblock Plus.
Laten we herinneren dat de API FLoC (Federated Learning of Cohorts) is ontworpen om de interesses van een gebruiker te bepalen zonder individuele identificatie en zonder koppeling aan het browsegeschiedenis van specifieke websites. FLoC maakt het mogelijk om groepen gebruikers met soortgelijke interesses te onderscheiden, zonder afzonderlijke gebruikers te identificeren. De interesses van de gebruiker worden bepaald met behulp van "cohorten", korte labels die verschillende groepen interesses beschrijven. Cohorten worden aan de browserzijde berekend door algoritmen voor machine learning toe te passen op de browsegeschiedenis en de inhoud die in de browser wordt geopend. Details blijven aan de gebruikerszijde, terwijl alleen algemene informatie over de cohorten die de interesses weerspiegelen, naar buiten wordt gestuurd om relevante advertenties te tonen zonder specifieke gebruikers te volgen.
De belangrijkste risico's verbonden aan de implementatie van FLoC:
- Discriminatie op basis van gebruikersvoorkeuren. Bijvoorbeeld, werk- en kredietaanbiedingen kunnen variƫren op basis van etniciteit, religie, geslacht en leeftijd. Gebruikers die financieel in de problemen zitten, kunnen kredieten met hoge rente worden opgedrongen, en demografische gegevens en politieke voorkeuren kunnen worden gebruikt om de effectiviteit van desinformatie te vergroten. Bij het gebruik van FLoC zal informatie over gedrag de gebruiker van site naar site volgen en gegevens over eerdere activiteiten kunnen worden gebruikt om de gebruiker te manipuleren bij het openen van websites.
- Het is niet uitgesloten dat er reverse engineering van de browsegeschiedenis plaatsvindt op basis van cohortedata. Analyse van het algoritme voor het toekennen van cohorten zal inzicht geven in de soortgelijke websites die de gebruiker waarschijnlijk heeft bezocht. Ook op basis van cohorten kunnen conclusies worden getrokken over leeftijd, sociaaleconomische status, seksuele geaardheid, politieke voorkeuren, financiƫle moeilijkheden of ervaren tegenslag.
- De opkomst van een aanvullende factor voor het verborgen identificeren van de browser van de gebruiker (ābrowser fingerprintingā). Hoewel de FLoC-cohorten duizenden mensen zullen omvatten, kunnen ze worden gebruikt om de nauwkeurigheid van browseridentificatie te verbeteren wanneer ze worden gecombineerd met andere indirecte gegevens, zoals schermresolutie, lijst met ondersteunde MIME-types, specifieke parameters in headers (HTTP/2 en HTTPS), geĆÆnstalleerde plug-ins en lettertypen, de beschikbaarheid van bepaalde Web API's, specifieke eigenschappen van grafische kaarten bij rendering met WebGL en Canvas, manipulatie van CSS, en het gebruik van de muis en het toetsenbord.
- Het verstrekken van aanvullende persoonlijke gegevens aan trackers die gebruikers al identificeren. Bijvoorbeeld, als een gebruiker geĆÆdentificeerd is en is ingelogd op zijn of haar account, kan de service expliciet de in de cohort vermelde voorkeuren koppelen aan de specifieke gebruiker, en bij wijziging van de cohorten de transformatie van voorkeuren volgen.
Daarnaast kan worden opgemerkt dat vertegenwoordigers uit de reclame-industrie parallel ook andere alternatieve identificatiemethoden ontwikkelen, die kunnen worden gebruikt om gebruikers te volgen in het geval van geblokkeerde externe cookies in Chrome. Bijvoorbeeld, The Trade Desk heeft de UID2-technologie (Unified Identifier) voorgesteld, die een mechanisme voor gebruikersidentificatie implementeert, dat werkt in samenwerking met website-eigenaren. De UID2-identificator wordt gegenereerd op basis van informatie die door de gebruiker is verstrekt bij registratie op de site, zoals e-mail, telefoonnummer of gegevens van sociale netwerken. Op basis van de encryptie van de inhoud van UID2, wordt door de infrastructuurcoƶrdinator een token gemaakt dat de website-eigenaar kan doorgeven aan advertentienetwerken. Geautoriseerde advertentienetwerken kunnen sleutels verkrijgen om het token te ontsleutelen en de originele UID2 te verkrijgen, die kan worden gebruikt om een algemeen profiel van de gebruiker op te bouwen, dat informatie uit verschillende bronnen aggregeert.
Bron: opennet.ru
