Google a dezvăluit un proiect al API-ului Web Integrity

 

API-ul propus are scopul de a „verifica” integritatea mediului în care este executată o pagină web.

În urmă cu câteva zile, Google a dezvăluit proiectul API-ului Web Integrity, pe care îl va include în baza de cod Chromium și în motorul Blink.

Despre API-ul de integritate a mediului web, se menționează că acesta are scopul de a permite proprietarilor de site-uri să se asigure că mediul clientului este fiabil în ceea ce privește protecția datelor utilizatorilor, respectarea proprietății intelectuale și interacțiunea cu un mediu real.

Anunțul schiței acestui nou API de către Google a generat diverse discuții în timpul cărora s-au exprimat îngrijorări că noul API ar putea submina natura deschisă a Web, limitând sever capacitatea de a folosi soluții alternative, ceea ce face mai dificilă aducerea de noi browsere și conectarea utilizatorilor la browsere lansate și verificate oficial, fără de care aceștia ar pierde capacitatea de a lucra cu unele aplicații, site-uri și servicii web majore.

Este o problemă serioasă, deoarece se menționează că în prezent acest lucru se întâmplă deja în ecosistemele Android și iOS, unde unele aplicații, cum ar fi Google Wallet, Snapchat și Netflix, folosesc API-urile Play Integrity și App Attesty pentru a bloca dispozitivele înrădăcinate care au fără restricții de producător și utilizatorul are acces complet la sistem.

În special, API-ul Web Integrity se bazează pe tehnologia Play Integrity deja utilizată pe platforma Android pentru a verifica dacă o solicitare este făcută dintr-o aplicație nemodificată instalată din catalogul Google Play și care rulează pe un dispozitiv Android autentic.

Pentru autentificare, Web Integrity folosește extensii EME (Extensii media criptate), similare cu cele utilizate în DRM pentru a decripta conținutul media protejat prin drepturi de autor. În teorie, EME nu este legat de furnizori individuali, dar în practică au proliferat trei implementări proprietare: Google Widevine (utilizat în Chrome, Android și Firefox), Microsoft PlayReady (utilizat în Microsoft Edge și Windows) și Apple FairPlay (utilizat în Safari). și Apple).

Pentru a confirma mediul de browser în care se execută codul descărcat de pe site, se folosește un token special, emis de un autentificator terț (atestat), care la rândul său se poate conecta printr-un lanț de încredere cu mecanisme de verificare a integrității. pe platformă (de exemplu, Google Play).

Pentru a realiza acest lucru, se menționează că se obține un token cu care browserul trimite o solicitare către un server terț care, după efectuarea anumitor verificări, confirmă că mediul browserului nu a fost modificat. Noul API ar trebui să fie solicitat în zonele în care site-ul trebuie să se asigure că există o persoană reală și un dispozitiv real pe cealaltă parte, iar browserul nu este modificat sau infectat cu malware.

Ca exemple de utilizare a noii implementări, se menționează filtrarea traficului de la roboți atunci când se afișează reclame, lupta împotriva spam-ului trimis automat și a evaluărilor de înșelăciune pe rețelele sociale, Detectarea falsificării la vizualizarea conținutului protejat prin drepturi de autor, Lupta împotriva trișorilor și a clienților falși în jocurile online , Detectarea creării de conturi false de către roboți, rezistență la atacurile de ghicire a parolei, protecție împotriva phishingului, implementată de malware care răspândește rezultatul pe site-uri reale.

La rândul lor, este de menționat că reprezentanții Mozilla s-au opus adăugarii unor astfel de API-uri la browsere din cauza temerii că introducerea tehnologiei va duce la o dependență mai mare a utilizatorilor de furnizorii individuali și la apariția site-urilor care funcționează doar în anumite browsere, deoarece pot crea un monopol.

În fine, dacă sunteți interesat să puteți afla mai multe despre acesta, puteți consulta detaliile în următorul link

Sursa: Despre Linux