Företagen Cloudflare, Google, Mozilla, Microsoft och Shopify har presenterat ett gemensamt projekt för att utveckla och standardisera protokollet Private Access Control Tokens (PACT), som gör det möjligt att separera verkliga användare och legitima botar från skräptrafik och okontrollerade AI-botaktiviteter, samtidigt som användarens sekretess bevaras. Det påstås att det nya protokollet kommer att möjliggöra filtrering av bottrafik på webbplatser med hjälp av anonyma tokens, utan att behöva begära captcha, obligatorisk autentisering eller spårning via cookies.
Idén är att tjänster som har skäl att tro att en användare är en verklig person, till exempel efter framgångsrik autentisering eller antibotkontroll, kommer att utfärda anonyma tokens till användaren. Efter detta kan användarens webbläsare presentera dessa tokens för andra webbplatser som bekräftelse på att förfrågan inte är automatisk. Denna strategi gör det möjligt att använda tester som redan gjorts på en webbplats för att ansluta sig till andra webbplatser utan ytterligare kontroller. Protokollet utformas så att webbplatser inte kan använda tokens för att identifiera användaren eller återskapa besökshistorik.
Startskottet för initiativet var ökningen av den automatiserade trafiken från AI-agenter, crawlers och scrapers, som låtsas vara förfrågningar från vanliga användare, ignorerar reglerna i robots.txt och skapar en enorm parasitisk belastning på servrar. Tidigare föreslog Cloudflare att använda Web Bot Auth-mekanismen för botautentisering, som bygger på att fästa en kryptografisk signatur på HTTP-förfrågningar från botar för att fatta beslut om åtkomst baserat på verifierbara data, snarare än IP-adresser eller lätt förfalskande innehåll i fältet User-Agent.
Bland de potentiella riskerna med införandet av PACT-protokollet nämns att mekanismen, som skapades för frivillig bekräftelse av användaren, kan omvandlas till en obligatorisk åtkomstfilter för webbplatser och bli en barriär där program, webbläsare och användare måste bevisa att de förtjänar åtkomst.
Den liknande problematiken har tidigare uppmärksammats av organisationen EFF (Electronic Frontier Foundation) i sin kritik av API:et Web Environment Integrity och fjärrcertifiering. Sådana mekanismer ger webbplatsägare möjlighet att blockera oönskade webbläsare, operativsystem och automatiseringsverktyg, vilket framställs som en kamp mot bedrägerier och skadlig aktivitet. EFF erkänner att problem med bots är verkliga, men anser att det är oacceptabelt att lösa dem genom att införa nya begränsningar och inskränka användarens rätt att kontrollera sin egen dator.
Källa: opennet.ru
