A API Web Environment Integrity do Google é basicamente SafetyNet para sites e não parece boa.
O Google propôs um novo padrão da web chamado Web Environment Integrity API, e é essencialmente DRM para a Internet. Numa proposta detalhada por quatro funcionários do Google (um dos quais, Philipp Pfeiffenberger, também fazia parte do proposta original para o Privacy Sandbox do Google), descreve como a API WEI será capaz de manter a Internet "seguro."
Na introdução de a proposta, a equipe por trás dele afirma o seguinte.
"Os usuários geralmente dependem de sites que confiam no ambiente do cliente em que são executados. Esta confiança pode assumir que o ambiente do cliente é honesto sobre certos aspectos de si mesmo, mantém os dados do usuário e a propriedade intelectual são seguros e são transparentes sobre se um ser humano está ou não usando isto. Esta confiança é a espinha dorsal da Internet aberta, fundamental para a segurança dos dados dos utilizadores e para a sustentabilidade do negócio do website."
Na prática, isso se parece muito com a API SafetyNet (agora substituída pelo Play Integrity) em smartphones Android, que a equipe afirma ser uma inspiração. "Este explicador se inspira em sinais de atestado nativos existentes, como Atestado de aplicativo e a API Play Integrity," eles escrevem. A API Integrity do Android verifica se o seu dispositivo não está enraizado, não importa para que você use esse acesso root. Não importa se você o usa para interferir em aplicativos ou simplesmente para modificar seu dispositivo, pois a API indicará que seu dispositivo não passa nessas verificações. Como resultado, os usuários rooteados não podem usar muitos serviços em seus smartphones, mesmo que seja apenas por motivos de personalização.
Em outras palavras, o objetivo principal da API WEI seria verificar se o navegador não foi adulterado e se a pessoa que utiliza o navegador é uma pessoa real.
A proposta descreve o fluxo de como a conexão a um site funcionaria neste caso e requer um servidor de atestado de terceiros que provavelmente seria propriedade do Google neste caso. Seu navegador solicita uma página da web normalmente e, em seguida, é obrigado a passar em um teste onde um verificado "IntegrityToken" é fornecido para passar neste teste, provando que o navegador não foi modificado e atende aos requisitos. Contanto que a página confie nesse resultado, você terá acesso à página.
Ao ler a proposta, os autores afirmam que “sentem fortemente” que um ID de dispositivo deveria ser incluído, pois permitiria a impressão digital do dispositivo. No entanto, existem contradições na proposta nesse sentido, como a sugestão de que incluiriam um "indicador habilitando a limitação de taxa em um dispositivo físico." Como isso seria implementado sem a impressão digital do dispositivo é desconhecido.
Esta proposta passou despercebida e foi compartilhada no HackerNews recentemente, depois de ser vista na conta pessoal do GitHub de um funcionário do Google. Na verdade, embora o Google não tenha chamado a atenção para isso, já existe código de protótipo sendo montado para uma versão futura do Chrome. Tanto Mozilla quanto Vivaldi criticaram a proposta, com a Mozilla dizendo que "opõe-se a esta proposta porque contradiz os nossos princípios e visão para a Web," enquanto Vivaldi se referiu à proposta como "perigoso."
A proposta ameaça a Internet livre e aberta de várias maneiras, mas uma das maiores gira em torno do facto de que deveria existe um servidor central que atesta se um navegador é confiável ou não, isso significa que qualquer coisa fora do padrão não será confiável. Em outras palavras, os novos navegadores não seriam confiáveis e o software legado não seria mais capaz de acessar grande parte da Internet após um determinado período de tempo. Dado que verifica a integridade do navegador, também pode bloquear tecnicamente certas extensões (como Adblock) se o Google seguisse esse caminho.
Ficaremos de olho na proposta da API Web Environment Integrity do Google, pois embora ela já esteja comprovadamente controverso, parece que a empresa está a todo vapor com a prototipagem no ao menos.