Compania Google a ascultat criticile și a suspendat promovarea API-ului Web Environment Integrity, a șters implementarea sa experimentală din codul de bază Chromium și a trecut repository-ul specificației în modul arhivă. În același timp, pe platforma Android continuă experimentele cu realizarea unui API similar pentru verificarea mediului utilizatorului – WebView Media Integrity, care este poziționat ca o extensie bazată pe serviciile Google Mobile Services (GMS). Se afirmă că API-ul WebView Media Integrity se va limita la componenta WebView și aplicațiile legate de procesarea conținutului multimedia; de exemplu, va putea fi utilizat în aplicațiile mobile bazate pe WebView pentru streaming audio și video. Accesul la acest API prin intermediul browserului nu este planificat.
API-ul Web Environment Integrity a fost dezvoltat pentru a oferi proprietarilor de site-uri posibilitatea de a se asigura că mediu client este de încredere în ceea ce privește protecția datelor utilizatorilor, respectarea proprietății intelectuale și interacțiunea cu o persoană reală. Se presupunea că noul API ar putea fi utilizat în domenii în care un site trebuie să se asigure că de cealaltă parte se află o persoană reală și un dispozitiv real, iar browserul nu este modificat și nu este infectat cu malware. API-ul se bazează pe tehnologia Play Integrity, utilizată deja pe platforma Android pentru a confirma că cererea a fost făcută dintr-o aplicație nemodificată, instalată din catalogul Google Play și rulată pe un dispozitiv Android autentic.
Cât privește API-ul Web Environment Integrity, acesta ar putea fi utilizat pentru a filtra traficul de la boți în timpul afișării publicității; pentru a combate spam-ul trimis automat și manipularea clasamentelor pe rețelele sociale; pentru a detecta manipulările în timpul vizionării conținutului protejat prin drepturi de autor; pentru a combate jucătorii nesinceri și clienții falsi în jocurile online; pentru a determina crearea de conturi fictive de către boți; pentru a contracara atacurile prin forțarea parolelor; pentru a proteja de phishing, realizat prin programe malware care redirecționează utilizatorii către site-uri reale.
Pentru a confirma mediu browser în care se execută codul JavaScript încărcat, API Web Environment Integrity a propus utilizarea unui token special, emis de un verificator extern (attester), care putea fi legat, la rândul său, de o anumită înlănțuire de încredere cu mecanismele de control al integrității din platformă (de exemplu, Google Play). Tokenul era generat prin trimiterea unei cereri către un terț serverul de atestare, care, după ce erau efectuate anumite verificări, confirma că mediul browser-ului nu era modificat. Pentru verificarea autenticității erau folosite extensii EME (Encrypted Media Extensions), similare cu cele folosite în DRM pentru decodificarea conținutului media protejat prin drepturi de autor. În teorie, EME nu este legat de furnizori specifici, dar în practică, trei implementări proprietare au câștigat popularitate: Google Widevine (folosit în Chrome, Android și Firefox), Microsoft PlayReady (folosit în Microsoft Edge și Windows) și Apple FairPlay (folosit în Safari și produsele Apple).
Încercarea de implementare a API-ului în discuție a generat temeri că acesta ar putea submina caracterul deschis al Web-ului și ar conduce la o dependență mai mare a utilizatorilor de furnizori specifici, precum și la limitarea considerabilă a posibilităților de utilizare a browserelor alternative și la dificultăți în promovarea noilor browsere pe piață. Astfel, utilizatorii ar putea deveni dependenți de browsere oficial verificate, fără de care pierdea capacitatea de a accesa anumite site-uri web și servicii importante.
Sursa: opennet.ro
