Rozhranie Google Web Environment Integrity API je SafetyNet pre webové stránky

Google navrhol nový webový štandard s názvom Web Environment Integrity API a je to v podstate DRM pre internet. V návrhu, ktorý opísali štyria zamestnanci spoločnosti Google (jeden z nich, Philipp Pfeiffenberger, bol tiež súčasťou pôvodný návrh pre Google Privacy Sandbox), načrtáva, ako bude WEI API schopné udržať internet "zabezpečiť."

V úvode návrh, tím za ním uvádza nasledovné.

„Používatelia často závisia od webových stránok, ktoré dôverujú klientskemu prostrediu, v ktorom bežia. Táto dôvera môže predpokladať, že klientske prostredie je úprimné o určitých aspektoch seba samého, zachováva si ho používateľské údaje a duševné vlastníctvo sú bezpečné a je transparentné, či ich používa alebo nepoužíva človek to. Táto dôvera je chrbtovou kosťou otvoreného internetu, ktorá je rozhodujúca pre bezpečnosť používateľských údajov a pre udržateľnosť podnikania na webovej stránke.“

V praxi to znie veľmi podobne ako SafetyNet API (teraz nahradené Play Integrity) na smartfónoch s Androidom, ktoré tím uvádza ako inšpiráciu. „Tento vysvetľovač sa inšpiruje existujúcimi natívnymi atestačnými signálmi, ako napr

Atest aplikácie a Play Integrity API," oni píšu. Integrity API systému Android overí, či vaše zariadenie nie je rootované, bez ohľadu na to, na čo môžete tento root prístup použiť. Nezáleží na tom, či ho použijete na zasahovanie do aplikácií alebo na jednoduchú úpravu zariadenia, pretože rozhranie API bude uvádzať, že vaše zariadenie neprešlo týmito kontrolami. Výsledkom je, že rootovaní používatelia nemôžu na svojich smartfónoch používať veľa služieb, aj keď je to čisto z dôvodov prispôsobenia.

Inými slovami, primárnym cieľom WEI API by bolo uistiť sa, že s prehliadačom sa nemanipulovalo a že osoba, ktorá prehliadač používa, je skutočná osoba.

Návrh načrtáva tok, ako by v tomto prípade fungovalo pripojenie k webovej lokalite, a vyžaduje si overovací server tretej strany, ktorý by v tomto prípade pravdepodobne vlastnila spoločnosť Google. Váš prehliadač požaduje webovú stránku ako obvykle a potom je povinný prejsť testom, kde je overený "IntegrityToken" je daný za úspešné absolvovanie tohto testu, čo dokazuje, že prehliadač nie je upravený a spĺňa požiadavky. Pokiaľ bude stránka dôverovať tomuto výsledku, potom vám bude udelený prístup na stránku.

Pri čítaní návrhu autori uvádzajú, že "silne cítia", že ID zariadenia by malo byť niekedy zahrnuté, pretože by to umožnilo snímanie odtlačkov prstov zariadenia. Na to sú však v návrhu rozpory, napríklad návrh, aby obsahovali „ukazovateľ umožnenie obmedzenia rýchlosti voči fyzickému zariadeniu." Ako by to bolo implementované bez snímania odtlačkov prstov zariadenia neznámy.

Tento návrh prešiel do určitej miery pod radarom a nedávno bol zdieľaný na HackerNews po tom, čo bol zaznamenaný na osobnom účte GitHub zamestnanca spoločnosti Google. V skutočnosti, aj keď Google na to vôbec neupozornil, už existuje zostavenie prototypového kódu pre budúce vydanie prehliadača Chrome. Mozilla aj Vivaldi kritizovali návrh, pričom Mozilla povedala, že „je proti tomuto návrhu, pretože je v rozpore s našimi zásadami a víziou pre web,zatiaľ čo Vivaldi sa odvolával na návrh akonebezpečné."

Návrh ohrozuje slobodný a otvorený internet mnohými spôsobmi, no jeden z najväčších sa točí okolo skutočnosti, že existuje centrálny server, ktorý potvrdzuje, či je prehliadač dôveryhodný alebo nie, to znamená, že čokoľvek neštandardné nebude dôveryhodný. Inými slovami, novým prehliadačom by sa nedôverovalo a starší softvér by po určitom čase už nemal prístup k veľkej časti internetu. Vzhľadom na to, že overuje integritu prehliadača, môže technicky blokovať aj niektoré rozšírenia (ako napr Adblock), ak by sa Google vydal touto cestou.

Určite budeme dohliadať na návrh rozhrania API Web Environment Integrity od spoločnosti Google, ktorý už existuje Ukázalo sa, že je kontroverzné, zdá sa, že spoločnosť ide plnou parou vpred s jeho prototypovaním najmenej.