Firmy Cloudflare, Google, Mozilla, Microsoft i Shopify zaprezentowały wspólny projekt dotyczący opracowania i standaryzacji protokołu Private Access Control Tokens (PACT), który ma na celu rozróżnienie między prawdziwymi użytkownikami a legalnie działającymi botami, a śmieciowym ruchem i niekontrolowaną aktywnością botów AI, zachowując przy tym prywatność użytkowników. Nowy protokół ma umożliwić filtrowanie ruchu botów na stronach internetowych za pomocą anonimowych tokenów, bez potrzeby stosowania CAPTCHA, obowiązkowej autoryzacji i śledzenia przez Cookies.
Pomysł polega na tym, że serwisy, które mają podstawy sądzić, że użytkownik jest prawdziwą osobą, na przykład po udanej autoryzacji lub teście antybotowym, będą wydawały użytkownikowi anonimowe tokeny. Następnie przeglądarka użytkownika będzie mogła przedstawiać te tokeny innym stronom jako potwierdzenie, że zapytanie nie jest automatyczne. Takie podejście umożliwi wykorzystanie już przeprowadzonych testów na jednej stronie do logowania się na innych stronach bez dodatkowych weryfikacji. Protokół jest projektowany w taki sposób, aby strony nie mogły wykorzystać tokenów do identyfikacji użytkownika ani do odzyskiwania historii odwiedzin.
Impuls do inicjatywy stanowił wzrost udziału zautomatyzowanego ruchu generowanego przez agentów AI, crawlerów i skrypterów, które podszywają się pod zapytania zwykłych użytkowników, ignorując zasady zawarte w robots.txt i tworząc ogromne obciążenia paraszytowe na serwery. Wcześniej Cloudflare proponowało wykorzystanie mechanizmu Web Bot Auth do autoryzacji botów, opartego na dołączeniu podpisu kryptograficznego do zapytań HTTP od botów w celu podjęcia decyzji o dostępie na podstawie weryfikowalnych danych, a nie adresy IP lub łatwo podrabialnych danych w polu User-Agent.
Wśród potencjalnych ryzyk związanych z wprowadzeniem protokołu PACT wspomniano, że mechanizm stworzony do dobrowolnego potwierdzania użytkownika może stać się obligatoryjnym filtrem dostępu do stron internetowych i stanowić barierę, w której programy, przeglądarki i użytkownicy będą musieli udowodnić, że zasługują na dostęp.
Organizacja EFF (Electronic Frontier Foundation) wcześniej zwracała uwagę na podobny problem w swojej krytyce API Web Environment Integrity i zdalnej weryfikacji. Takie mechanizmy dają właścicielom stron możliwość blokowania niepożądanych przeglądarek, systemów operacyjnych i narzędzi automatyzacji, uzasadniając to walką z oszustwami i złośliwą aktywnością. EFF uznaje, że problemy z botami są rzeczywiste, ale uważa, że nieakceptowalne jest ich rozwiązywanie poprzez wprowadzanie nowych ograniczeń i naruszanie prawa użytkownika do zarządzania własnym komputerem.
Źródło: opennet.ru
