Google przychyliło się do krytyki i zaprzestało promowania API Web Environment Integrity, usunęło jego eksperymentalną implementację z bazy kodu Chromium i zarchiwizowało repozytorium specyfikacji. Tymczasem na platformie Android Trwają eksperymenty z wdrożeniem podobnego interfejsu API do weryfikacji środowiska użytkownika – WebView Media Integrity, który jest pozycjonowany jako rozszerzenie Google Mobile Services (GMS). Zapowiada się, że interfejs API WebView Media Integrity będzie ograniczony do komponentu WebView i aplikacji związanych z przetwarzaniem treści multimedialnych; na przykład będzie można go używać w aplikacjach mobilnych opartych na WebView do strumieniowego przesyłania dźwięku i obrazu. Nie planuje się udostępniania tego interfejsu API z poziomu przeglądarki.
Interfejs API Integralności Środowiska Web (Web Environment Integrity API) został opracowany, aby umożliwić właścicielom witryn internetowych weryfikację, czy środowisko klienta jest godne zaufania pod względem ochrony danych użytkownika, poszanowania własności intelektualnej i interakcji z prawdziwą osobą. Nowe API miało być przydatne w obszarach, w których witryna internetowa musi zweryfikować, czy druga strona jest prawdziwą osobą i prawdziwym urządzeniem, a przeglądarka nie została zmodyfikowana ani zainfekowana złośliwym oprogramowaniem. Interfejs API opiera się na technologii Integralności Play, która jest już wykorzystywana na platformie. Android aby potwierdzić, że żądanie jest wysyłane z niezmodyfikowanej aplikacji zainstalowanej z katalogu Google Play i uruchomionej na oryginalnym urządzeniu Android-urządzenie.
Jeśli chodzi o interfejs Web Environment Integrity API, można go wykorzystać do filtrowania ruchu pochodzącego od botów podczas wyświetlania reklam; zwalczanie automatycznie wysyłanego spamu i zwiększanie ocen w sieciach społecznościowych; identyfikowanie manipulacji podczas przeglądania treści chronionych prawem autorskim; zwalczanie oszustów i fałszywych klientów w grach online; identyfikowanie tworzenia fikcyjnych kont przez boty; przeciwdziałanie atakom polegającym na zgadywaniu haseł; ochrona przed phishingiem, realizowana przy użyciu złośliwego oprogramowania, które rozsyła dane wyjściowe do prawdziwych witryn.
Aby potwierdzić środowisko przeglądarki, w którym wykonywany jest załadowany kod JavaScript, interfejs API Web Environment Integrity zaproponował użycie specjalnego tokena wydanego przez zewnętrznego atestatora, który z kolei mógłby być powiązany za pomocą łańcucha zaufania z mechanizmami kontroli integralności platformy (np. Google Play). Token był generowany poprzez wysłanie żądania do zewnętrznego atestatora. Serwer Atestacja, która po przeprowadzeniu pewnych kontroli potwierdziła, że środowisko przeglądarki nie zostało zmodyfikowane. Do uwierzytelniania wykorzystano rozszerzenia Encrypted Media Extensions (EME), podobne do tych stosowanych w DRM do dekodowania treści multimedialnych chronionych prawem autorskim. Teoretycznie EME nie jest powiązane z konkretnymi dostawcami, ale w praktyce powszechnie stosowane są trzy zastrzeżone implementacje: Google Widevine (używany w Chrome, Android i Firefox), Microsoft PlayReady (używany w Microsoft Edge i Windows) i Apple FairPlay (używany w Safari i produktach Apple).
Próba wdrożenia omawianego API wywołała obawy, że może to podważyć otwarty charakter sieci i doprowadzić do zwiększonej zależności użytkowników od poszczególnych dostawców, a także znacznie ograniczyć możliwość korzystania z alternatywnych przeglądarek i utrudnić nowym przeglądarkom wejście na rynek. W rezultacie użytkownicy mogliby zostać uzależnieni od zweryfikowanych, oficjalnie wydanych przeglądarek, bez których możliwość pracy z niektórymi głównymi witrynami i usługami zostałaby utracona.
Źródło: opennet.ru
