Firma Google wysłuchała krytyki i zaprzestała promowania API Web Environment Integrity, a także usunęła jego eksperymentalną implementację z bazy kodów Chromium, przenosząc repozytorium ze specyfikacją w tryb archiwalny. Jednocześnie na platformie Android kontynuowane są eksperymenty z implementacją podobnego API do weryfikacji środowiska użytkownika — WebView Media Integrity, które jest pozycjonowane jako rozszerzenie oparte na usługach Google Mobile Services (GMS). Twierdzi się, że API WebView Media Integrity będzie ograniczone do komponentu WebView i zastosowań związanych z przetwarzaniem treści multimedialnych, na przykład będzie można go wykorzystać w mobilnych aplikacjach opartych na WebView do strumieniowego przesyłania dźwięku i wideo. Nie przewiduje się udostępnienia tego API przez przeglądarkę.
API Web Environment Integrity zostało opracowane w celu umożliwienia właścicielom witryn upewnienia się, że środowisko klienta zasługuje na zaufanie w zakresie ochrony danych użytkowników, przestrzegania praw własności intelektualnej i interakcji z rzeczywistą osobą. Zakładano, że nowe API może okazać się przydatne w obszarach, w których strona wymaga upewnienia się, że po drugiej stronie jest rzeczywista osoba i rzeczywiste urządzenie, a przeglądarka nie była modyfikowana i nie została zainfekowana złośliwym oprogramowaniem. API opiera się na technologii Play Integrity, która już jest stosowana na platformie Android do potwierdzania, że zapytanie zostało złożone z niemodyfikowanej aplikacji zainstalowanej z katalogu Google Play i działającej na prawdziwym urządzeniu z Androidem.
Jeśli chodzi o API Web Environment Integrity, mogło być wykorzystywane do eliminacji ruchu botów przy wyświetlaniu reklam; walki z automatycznie rozsyłanym spamem i manipulowaniem ocenami w mediach społecznościowych; identyfikacji manipulacji podczas przeglądania treści chronionych prawami autorskimi; walki z oszustami i fałszywymi klientami w grach online; określania tworzenia fikcyjnych kont przez boty; przeciwdziałania atakom typu brute force; ochrony przed phishingiem realizowanym za pomocą złośliwego oprogramowania kierującego do rzeczywistych witryn.
Aby potwierdzić środowisko przeglądarki, w którym wykonuje się załadowany kod JavaScript, w API Web Environment Integrity zaproponowano użycie specjalnego tokenu wydawanego przez zewnętrznego attester'a, który z kolei mógł być powiązany z mechanizmami kontroli integralności na platformie (na przykład Google Play). Token był formowany przez wysłanie zapytania do zewnętrznego serwer attestera, który po wykonaniu określonych testów potwierdzał, że środowisko przeglądarki nie zostało zmodyfikowane. Do weryfikacji autentyczności wykorzystywano rozszerzenia EME (Encrypted Media Extensions), podobne do tych, które są używane w DRM do dekodowania treści multimedialnych chronionych prawami autorskimi. W teorii EME nie jest powiązane z poszczególnymi dostawcami, ale w praktyce upowszechniły się trzy proprietary implementacje: Google Widevine (używane w Chrome, Androidzie i Firefoxie), Microsoft PlayReady (używane w Microsoft Edge i Windows) oraz Apple FairPlay (używane w Safari i produktach Apple).
Próba wprowadzenia omawianego API budziła obawy, że może ono podważyć otwarty charakter Internetu i prowadzić do zwiększenia zależności użytkowników od konkretnych dostawców, a także znacznie ograniczyć możliwości korzystania z alternatywnych przeglądarek oraz utrudnić wprowadzanie nowych przeglądarek na rynek. W rezultacie użytkownicy mogli zostać uzależnieni od oficjalnie zweryfikowanych przeglądarek, bez użycia których traci się zdolność do korzystania z niektórych dużych stron internetowych i usług.
Źródło: opennet.ru
