- Vivaldi estime que Web Environment Integrity pourrait fragiliser l’accessibilité et la concurrence sur le web ouvert en donnant aux sites web le pouvoir de décider si un navigateur ou une plateforme est digne de confiance
- La proposition repose sur un tiers attester chargé de vérifier l’environnement d’exécution ; elle est présentée comme un moyen d’empêcher les fausses interactions, mais pourrait fonctionner comme une forme de DRM pour les sites web
- Si les décisions de confiance se concentrent entre les mains de quelques entreprises, le risque augmente de voir les nouveaux navigateurs, les petits navigateurs, les logiciels legacy et les utilisateurs de Linux exclus de l’accès au web
- Même si un navigateur refuse d’implémenter la spécification, les sites web peuvent bloquer ses utilisateurs s’ils exigent l’API, et les services Google ou Google Ads peuvent servir de levier pour imposer son adoption
- Au 3 novembre 2023, Google a décidé de ne pas poursuivre Web Integrity API, mais la diversité des navigateurs et des moteurs de navigateur reste essentielle
Ce que Web Environment Integrity cherche à faire
- Web Environment Integrity est une proposition permettant à un site web de vérifier via une API si le navigateur et la plateforme utilisés sont dignes de confiance
- La décision de confiance est confiée à un tiers faisant autorité, appelé attester
- L’objectif semble surtout être d’empêcher les interactions « fictives » sur différents sites web, mais les modalités précises restent floues
- Les cas d’usage peuvent sembler raisonnables en apparence, mais l’effet concret pourrait se rapprocher d’une forme de DRM pour les sites web
- Le fait que le premier cas d’usage concerne la vérification de l’authenticité des interactions publicitaires peut aussi renforcer la plateforme publicitaire de Google
L’exclusion créée par les décisions de confiance sur les navigateurs
- Si un acteur donné décide quels navigateurs sont dignes de confiance, il n’existe plus aucune garantie qu’un navigateur sera accepté par défaut
- Un nouveau navigateur part d’emblée sans être considéré comme digne de confiance et doit prouver sa fiabilité d’une manière jugée acceptable par l’attester
- Les utilisateurs de logiciels legacy ne prenant pas en charge la spécification pourraient, avec le temps, être exclus du web
- Même si la spécification évoque le risque d’exclusion de fournisseurs, elle pourrait se contenter d’une réponse timide sans solution concrète
Attesters selon les plateformes et inquiétudes sur la concurrence
- L’exemple principal d’attester dans la spécification est Google Play sur Android
- Dans cette structure, Google déciderait quels navigateurs sont dignes de confiance sur sa propre plateforme
- Vivaldi estime qu’il est difficile de croire que Google jugerait cela équitablement
- Il est également évoqué que Microsoft pourrait jouer un rôle comparable via le Windows Store sur Windows, et Apple sur Mac
- Dans cette logique, au minimum Edge et Safari auraient de fortes chances d’être considérés comme dignes de confiance
- Les autres navigateurs dépendraient alors du jugement de Google, Microsoft et Apple
- Il n’existe pas de réponse claire concernant Linux
- On ne sait pas si Linux serait totalement exclu de la navigation web, ni si Canonical deviendrait l’arbitre via son dépôt de paquets snaps
- La situation reste défavorable pour les utilisateurs de Linux
Incertitudes sur l’identification des humains, l’automatisation et les extensions
- La spécification laisse fortement entendre qu’elle cherche à vérifier si un véritable humain interagit avec un site web, sans expliquer clairement comment y parvenir
- Les questions en suspens sont les suivantes
- des données comportementales seront-elles utilisées pour déterminer si l’utilisateur agit comme un humain ?
- ces données seront-elles transmises à l’attester ?
- les outils d’accessibilité qui dépendent de l’automatisation des entrées du navigateur risquent-ils de rendre un navigateur non digne de confiance ?
- quel sera l’impact sur les extensions ?
- La spécification actuelle prévoit des exceptions pour les modifications du navigateur et les extensions, mais les extensions peuvent aussi faciliter l’autatisation des interactions avec les sites web
- Maintenir ces exceptions faciliterait le contournement par des attaquants, tandis que les réduire pourrait entraîner des restrictions sur les extensions elles-mêmes
Pourquoi il est difficile de refuser l’implémentation
- Si un navigateur n’implémente pas Web Environment Integrity, il peut être considéré comme non digne de confiance
- Si les sites web exigent cette API, ils peuvent refuser les utilisateurs de ce navigateur
- Google dispose de moyens pour pousser à l’adoption côté sites web
- Google peut rendre ses propres services dépendants de cette fonctionnalité
- Le fait de ne plus pouvoir utiliser les sites de Google pourrait être fatal pour la plupart des navigateurs
- Google pourrait aussi imposer l’usage de l’API aux sites utilisant Google Ads
- Si l’objectif premier est de bloquer les faux clics publicitaires, le simple couplage avec Google Ads pourrait suffire à accélérer fortement l’adoption de l’API
Possibilités de frein juridique et leurs limites
- Vivaldi estime qu’il est peu probable que le droit de l’UE autorise qu’un petit nombre d’entreprises dispose d’un pouvoir aussi important pour décider quels navigateurs peuvent être autorisés
- Les attesters pourraient donc subir une forte pression pour rester aussi équitables que possible
- Mais les procédures législatives et judiciaires sont lentes, et des dommages pourraient déjà survenir pendant que les gouvernements et les tribunaux examinent la question
- Si la proposition avançait, le web ouvert pourrait traverser une période difficile, avec un impact particulièrement fort pour les petits fournisseurs
Les propositions précédentes de Google et sa domination du marché
- La domination de Google sur le marché des navigateurs est présentée comme une menace potentiellement existentielle pour le web
- Vivaldi considère que Google a déjà proposé par le passé des initiatives nuisibles au web, citant FLOC, TOPIC et Client Hints
- Web Environment Integrity s’inscrit dans cette continuité, mais est traité comme une menace plus grave encore, car il pourrait amener Microsoft et Apple à coopérer avec Google pour limiter la concurrence entre navigateurs et systèmes d’exploitation
- À long terme, Google devrait évoluer dans un environnement concurrentiel plus équilibré, ce qui suppose à la fois une législation adaptée et une réduction de sa part de marché
Mise à jour du 3 novembre 2023
- Google a décidé de ne pas poursuivre Web Integrity API
- Vivaldi y voit une évolution très positive pour la neutralité du web ouvert
- Vivaldi estime toutefois que Google agit largement en fonction de ses propres intérêts plutôt que de l’intérêt général du web, et qu’il faudra voir par quoi cette initiative sera remplacée
- Comme Topics a suivi FLOC, il subsiste le soupçon qu’une spécification moins dérangeante en apparence, mais toujours nuisible pour les utilisateurs, puisse apparaître
- Vivaldi juge également suspect que cette décision coïncide avec la récente annonce de Google de faire évoluer son modèle de facturation publicitaire du coût par clic vers le coût par impression
- Pour empêcher qu’un acteur unique décide de l’avenir du web, la diversité des navigateurs et des moteurs de navigateur reste essentielle
1 commentaires
Avis sur Hacker News
Que Google tienne ce discours est particulièrement aberrant. SafetyNet sur Android est censé servir la sécurité, mais en pratique il aboutit à la réduire fortement.
Il bloque des ROM tierces récentes et sûres, tout en laissant passer les ROM terriblement vulnérables fournies par les fabricants. Ils les laissent telles quelles parce que les bloquer provoquerait une forte réaction des utilisateurs.
Au final, plutôt que d’apporter une amélioration de sécurité significative à l’utilisateur moyen, cela fonctionne comme un verrouillage fournisseur, et empêche les utilisateurs avancés d’améliorer leur sécurité sans acheter de nouveau matériel. Il faudrait réfuter bien plus fermement l’idée que ce type d’attestation apporte un bénéfice légitime aux utilisateurs.
https://benwiser.com/blog/I-just-spent-%C2%A3700-to-have-my-...
https://github.com/RupertBenWiser/Web-Environment-Integrity
On peut utiliser des clients web qui ne divulguent pas trop de données, mais Google préférerait sans doute que nous n’utilisions pas ce type de clients. Ils pourraient présenter tous les clients web non approuvés comme des « bots », et toute utilisation du web qui ne révèle pas excessivement l’environnement de l’utilisateur comme de la « fraude ».
Cette vision tout ou rien, qui considère toute utilisation du web comme une activité commerciale et tous les sites comme des réceptacles publicitaires, ressemble à une distorsion cognitive typique.
https://grapheneos.org/articles/attestation-compatibility-gu...
SafetyNet lui-même est déjà prévu pour être abandonné.
https://developer.android.com/training/safetynet/deprecation...
Les fonctionnalités de navigateur controversées se ressemblent toujours. Si on ne les implémente pas, l’expérience utilisateur peut se dégrader sur les sites qui les exigent.
Mais quand on édite un logiciel, il faut décider soi-même de ce qui est le mieux pour ses clients. Si le seul espoir de ne pas suivre cette voie est que l’UE tape sur les doigts de Google, cela donne l’impression qu’il n’y a pas de volonté de prendre soi-même une position forte, et c’est inquiétant.
Mais l’attestation web est différente. Si un site l’exige et que le navigateur ne l’implémente pas, dans un nombre non négligeable de cas l’utilisateur peut être complètement bloqué sur ce site.
De plus, même si Vivaldi implémentait WEI, il est très probable que les autorités d’attestation — Google, Microsoft, Apple — ou le site lui-même ne reconnaissent pas Vivaldi comme un environnement valide. On peut se demander s’ils considéreraient comme « environnement acceptable » un navigateur qui donne trop de liberté à l’utilisateur, comme les extensions de blocage de publicité, l’automatisation utilisateur ou le scripting.
À part Encrypted Media Extensions, qui est d’ailleurs bien plus limité que WEI, je ne connais pas vraiment de standard web qui fonctionne de cette manière.
Comme je bloque déjà toutes les pubs, je ne compatis pas entièrement avec les développeurs qui prennent leurs décisions en fonction de la maximisation des revenus publicitaires ; mais il n’est pas juste de faire peser la responsabilité sur eux en disant simplement : « c’est ton choix, refuse ».
Google tente beaucoup de choses. Mozilla, Microsoft et Apple sont encore assez forts pour s’opposer à ce qu’ils considèrent comme de mauvaises idées, surtout en dehors des États-Unis.
Jusqu’ici, les fils liés semblent être à peu près ceux-ci. Est-ce que j’en ai oublié ?
Google is already pushing WEI into Chromium - https://news.ycombinator.com/item?id=36876301 - juillet 2023 (705 commentaires)
Google engineers want to make ad-blocking (near) impossible - https://news.ycombinator.com/item?id=36875226 - juillet 2023 (439 commentaires)
Google vs. the Open Web - https://news.ycombinator.com/item?id=36875164 - juillet 2023 (161 commentaires)
Apple already shipped attestation on the web, and we barely noticed - https://news.ycombinator.com/item?id=36862494 - juillet 2023 (413 commentaires)
Google’s nightmare “Web Integrity API” wants a DRM gatekeeper for the web - https://news.ycombinator.com/item?id=36854114 - juillet 2023 (447 commentaires)
Web Environment Integrity API Proposal - https://news.ycombinator.com/item?id=36817305 - juillet 2023 (437 commentaires)
Web Environment Integrity Explainer - https://news.ycombinator.com/item?id=36785516 - juillet 2023 (44 commentaires)
Google Chrome Proposal – Web Environment Integrity - https://news.ycombinator.com/item?id=36778999 - juillet 2023 (93 commentaires)
Web Environment Integrity – Google locking down on browsers - https://news.ycombinator.com/item?id=35864471 - mai 2023 (1 commentaire)
“I don't know why this enrages folks so much.” Googler re Chrome anti-feature https://news.ycombinator.com/item?id=36868888
Il semble avoir été signalé par des utilisateurs ayant assez de karma, mais c’était déroutant : pendant un moment, il ne s’affichait pas comme « [flagged] », tout en n’apparaissant plus dans les premières pages et en ne recevant plus de recommandations. Je me demande s’il y a un délai avant l’affichage de « [flagged] »
Si l’on veut protester sérieusement, on peut faire ceci : ajouter sur son propre site un code qui vérifie si l’agent utilisateur implémente cette API et, s’il passe le test, informer l’utilisateur, avec les raisons, que ce navigateur n’est pas le bienvenu
#BoycottGoogle #BoycottChrome #BoycottBullshit
Comme d’habitude, c’est un long texte sur le WEI de Google, mais il ne mentionne pas qu’Apple a déjà discrètement mis ce navire à l’eau, et que cela n’a donc suscité presque aucune attention ni opposition
https://httptoolkit.com/blog/apple-private-access-tokens-att...
https://toot.cafe/@pimterry/110775130465014555
C’est le triste état de l’actualité tech et des blogs. Ils ne regardent pas la vue d’ensemble et rejouent toujours le même drame
En revanche, j’interagis constamment avec des sites qui utilisent Google Analytics ou des publicités Google. Si ces sites commencent à refuser le navigateur de mon choix, je serai réellement bloqué sur une part importante d’Internet
Les 60 % restants des internautes pourraient eux aussi être, de fait, contraints d’accepter cette technologie. Comme le nombre d’utilisateurs touchés est supérieur d’un ou deux ordres de grandeur, il y a largement de quoi tirer la sonnette d’alarme
Le fait que le premier cas d’usage soit de vérifier que les interactions avec les publicités sont bien réelles n’est qu’un début. L’attestation pourrait finir par permettre aux annonceurs d’exiger que l’utilisateur soit effectivement présent et en train de regarder l’écran
Ça pourrait devenir comme l’épisode « Fifteen Million Merits » de Black Mirror
https://www.creativebloq.com/sony-tv-patent
Il s’agit de forcer les téléspectateurs à crier le nom d’une marque pour pouvoir passer une publicité. Du genre, il faut crier « McDonald's ! » pour faire disparaître le Big Mac
Si on ne les en empêche pas, les entreprises feront les choses les plus folles et les plus horribles, et cela arrivera vraiment
Il nous faut maintenant deux choses. D’abord, un démantèlement antitrust qui sépare Google entre recherche et publicité. Ensuite, une taxe sur la publicité
Il faut faire en sorte qu’afficher trop de publicités devienne économiquement désavantageux pour les moteurs de recherche
Google exploite sa position de marché, à la fois plus gros vendeur de publicité et éditeur de Chrome/Chromium, le navigateur le plus populaire, pour faire en sorte que les utilisateurs ne puissent pas éviter les publicités Google, quel que soit le site qu’ils visitent
En revanche, cela devrait être tactiquement désavantageux, parce que la publicité nuit à la précision et fait partir les utilisateurs. Mais en l’absence d’un concurrent beaucoup plus précis, on peut tenir longtemps
Il y a aussi des signaux encourageants concernant Google Search. Certains disent que sa précision a baissé, et Google modifie sans cesse son comportement caractéristique pour éviter le spam, rendant au passage sans valeur les efforts que les gens ont investis dans le SEO et les astuces de recherche Google. Cela dit, les deux peuvent relever du même phénomène
Je vois déjà s’afficher sur YouTube un message du type « Ce site web n’est pas compatible avec votre appareil »
Ce ne serait pas surprenant, puisque c’est sous le contrôle de Google et qu’ils veulent que l’on regarde les publicités dans le navigateur officiel. Cela pourrait aussi arriver assez tôt dans les apps bancaires
À long terme, soit cela dépérira, soit cela mènera à des mesures antitrust. Je ne vois pas vraiment d’autre issue
Le 1 % que cela préoccupe le fera. Mais il est terrible de devoir descendre vers des méthodes de type « crack » clandestin dans ce qui était autrefois le web ouvert. Avec le risque d’être bloqué si l’on est détecté
Je ne vois pas en quoi WEI est exactement pire qu’un judas sur une porte. Les bots sont déjà un gros problème, et ça empire. Quelle est l’alternative ?
Dans le monde réel comme sur le web, il faut savoir à qui l’on a affaire. Je suis peut-être seul, mais je pense que WEI est une bonne chose
Quiconque a déjà géré un site sait à quel point les bots peuvent être pénibles. Les sites qui ne se soucient pas des bots n’ont qu’à ne pas utiliser WEI. Bien sûr, en pratique, ils l’utiliseront. Parce que les bots sont un problème
Avec les progrès de l’IA, c’était de toute façon inévitable. Penser le contraire relève presque du délire
WEI a le potentiel de devenir un vrai DRM fondé sur des « appareils approuvés ». C’est très intrusif, et les grandes entreprises pourraient s’en servir à leur guise pour exclure les lecteurs d’écran, le blocage des publicités, la protection contre le pistage, la protection contre le fingerprinting, le téléchargement de contenus sous copyright, et tous les usages qu’on imaginera à l’avenir
C’est littéralement une porte d’entrée pour transformer le web en App Store, ou dans le meilleur des cas en plusieurs app stores. Si les bots sont le problème, il faut être précis. Il existe aussi beaucoup de bons bots et, ironie du sort, l’essentiel du trafic de bots vient des grandes entreprises qui poussent ce genre de choses. Pour les bots malveillants, il existe des listes de blocage d’IP ; les bots de manipulation en zone grise sont un problème, mais cela n’explique pas pourquoi tous les utilisateurs devraient se voir imposer des menottes obligatoires
Un bot n’est rien d’autre qu’un ordinateur qui fait ce que son propriétaire veut. La position favorable à WEI revient à être mal à l’aise parce que d’autres utilisent leur ordinateur d’une manière qui ne nous plaît pas, et à vouloir leur retirer le contrôle de cet ordinateur
Alors que l’IA forte semble à nos portes, on voit apparaître des tentatives de retirer l’informatique généraliste aux gens. Les pires issues viennent toutes du fait que les gens perdent la capacité de contrôler leurs propres ordinateurs
J’utilise plusieurs scripts personnels de web scraping. Par exemple, je possède une copie numérique de tous mes bulletins de salaire. Presque tout cela deviendra inutile
Le site de retraite de mon ancien employeur ne permettait de télécharger les relevés mensuels que manuellement, et détectait la bibliothèque Mechanize pour afficher un avertissement d’interdiction des robots. Personne ne va faire ça manuellement tous les mois, mais les robots n’étaient pas autorisés non plus
À l’époque, cependant, pour bloquer cela, il fallait installer un logiciel spécial quelque part ; ceci rend ce genre de pratique beaucoup plus facile. Des outils comme Selenium m’inquiètent aussi. Ce n’est pas SSL
L’indignation morale suscitée par cette proposition est forte, et c’est normal. Elle devrait même être encore plus forte. Cela dit, indépendamment de cela, cette proposition ne semble de toute façon pas devoir bien fonctionner
Si elle est mise en œuvre sans opposition, elle donnera naissance à un web DRM verrouillé en boucle fermée, ce qui attirera l’attention des législateurs. Espérons que ce soit le cas
S’il reste des navigateurs qui s’y opposent, elle ne sera pas très utile du point de vue des sites web. Car ils devront de toute façon conserver des mécanismes de secours pour la détection de fraude. S’ils doivent les maintenir, ils considéreront sans doute qu’il vaut mieux utiliser comme solution unique les méthodes existantes, qui permettent de collecter beaucoup plus de données personnelles