Des ingénieurs de Google ont proposé Web Environment Integrity, qui pourrait rendre le blocage des publicités presque impossible
(stackdiary.com)- Web Environment Integrity, conçu par quatre ingénieurs de Google, était une proposition d’API permettant à un site web de demander un jeton de preuve sur l’environnement client de l’utilisateur, et Google l’a abandonnée le 2 novembre 2023
- Son objectif affiché était de renforcer la confiance et la sécurité sur le web, par exemple en vérifiant qu’un utilisateur est humain sur les sites publicitaires, en identifiant les faux engagements sur les sites sociaux ou en contrôlant le respect des règles dans les jeux en ligne
- Mozilla estime que la détection de la fraude et du trafic invalide est un problème réel à résoudre, mais s’oppose à cette proposition, jugeant flou le progrès concret qu’elle apporterait dans des cas d’usage réels et soulignant des inconvénients évidents
- Les critiques craignent que, même sans identifiant unique dans les jetons, un mauvais usage n’aboutisse à de la surveillance et du contrôle, et que l’introduction de DRM dans les pages web rende le blocage des publicités dans le navigateur presque impossible
- Le contrôle des attesters et l’autorité chargée de définir les exigences de référence restent flous, ce qui laisse planer le risque d’une dégradation du web ouvert si de grandes entreprises technologiques finissent par dicter les scores de confiance et l’accessibilité du web
Proposition Web Environment Integrity et son abandon
- Google a proposé le document “Web Environment Integrity Explainer”, rédigé par quatre ingénieurs de Google
- D’après une mise à jour du 2 novembre 2023, Google a abandonné cette proposition, avec un billet de suivi lié séparément
- Une mise à jour du 26 juillet 2023 présentait un commit semblant indiquer un mouvement vers l’intégration de cette fonctionnalité dans Chromium
- Rupert Ben Wiser, l’un des auteurs de la proposition, a laissé sur GitHub un commentaire indiquant qu’il ressentait l’ampleur de la contestation
Cas d’usage visés par une vérification fondée sur des jetons
- L’idée centrale était qu’un site web puisse demander un jeton contenant une preuve sur l’environnement d’exécution du code côté client, afin de rendre l’environnement d’accès plus fiable
- Les cas d’usage avancés dans la proposition se résumaient à trois points
- permettre à un site financé par la publicité de vérifier que l’utilisateur est un humain et non un bot
- permettre à un site social de distinguer la participation réelle de la fausse participation
- permettre aux utilisateurs d’un jeu en ligne de vérifier que les autres joueurs respectent les règles du jeu
- Google affirmait que les jetons ne contiendraient pas d’identifiant unique, mais les critiques estiment qu’un usage abusif pourrait tout de même ouvrir la voie à une surveillance et à un contrôle injustifiés
- Mozilla, dans une prise de position sur le standard, reconnaît que la détection de la fraude et du trafic invalide mérite d’être traitée, mais s’oppose à cette proposition en estimant que la manière dont elle produirait un progrès concret reste floue et que les inconvénients de son adoption sont manifestes
Inquiétudes autour des DRM, des extensions et du contrôle des attesters
- Les critiques estiment que cette API pourrait servir à contrôler le comportement des utilisateurs sur le web et à introduire discrètement des DRM dans les pages web, rendant le blocage des publicités dans le navigateur presque impossible
- Cette possibilité alimente des inquiétudes non seulement pour l’expérience utilisateur, mais aussi pour la neutralité du net et l’ouverture du web
- La question de savoir qui contrôlerait les attesters chargés de valider l’environnement client est devenue un point central pour la communauté technique
- si Google ou d’autres grandes entreprises technologiques contrôlent les attesters, elles pourraient manipuler les scores de confiance
- le système pourrait se figer en une structure où certaines entreprises décideraient quels sites web sont dignes de confiance
- L’impact sur les navigateurs modifiés et les extensions reste également flou
- la proposition indiquait que Web Environment Integrity attesterait la légitimité du matériel sous-jacent et de la pile logicielle, sans limiter les fonctionnalités déclarées de l’application
- la manière dont cette explication s’appliquerait aux navigateurs modifiés ou autorisant des extensions reste une zone grise
- La proposition précisait que les attesters devraient fournir le même service, dans les mêmes conditions, à tous les navigateurs répondant à des exigences de référence données, mais la manière de définir ces exigences de référence et l’autorité chargée de les faire appliquer restaient imprécises
1 commentaires
Avis sur Hacker News
Discussions précédentes : Web Environment Integrity API Proposal – https://news.ycombinator.com/item?id=36817305 (618 points/il y a 4 jours/442 commentaires), Google Chrome Proposal – Web Environment Integrity – https://news.ycombinator.com/item?id=36778999 – (117 points/il y a 7 jours/94 commentaires), Web Environment Integrity Explainer – https://news.ycombinator.com/item?id=36785516 (87 points/il y a 6 jours/44 commentaires)
Il ne s’agit pas simplement, comme le dit le titre, de « rendre le blocage des publicités presque impossible », mais de faire en sorte qu’on ne puisse naviguer sur Internet qu’avec Chrome, Safari et Edge, tout en empêchant les modifications et les extensions
Cela le rendrait possible uniquement sur macOS, Windows, Android et iOS, en excluant les distributions Android personnalisées comme LineageOS ou GrapheneOS
Cela inclut même le fait de rendre le crawling d’Internet possible uniquement pour Google, afin d’empêcher le crawling privé et les moteurs de recherche concurrents
Dans ce cas, RISC-V ne passerait pas encore, et même s’il était pris en charge plus tard, la concurrence sur les CPU ne serait pas autorisée
Les SoC aussi ne seraient possibles que s’ils étaient autorisés par eux, et des formats comme des calculatrices intégrant un navigateur web pourraient être exclus
Des changements d’UX au niveau de l’OS pourraient même être contrôlés, comme Android avait autrefois introduit une UX de navigateur centrée sur les documents
Vu du côté d’Android, ces exemples ressemblent déjà à des cas qui s’appliquent à Google/Android
[0] Cette partie dépend de la question de savoir si l’implémentation de Web Environment Integrity impose l’intégralité de la chaîne de démarrage sécurisé approuvée par eux
[1] Il existe des calculatrices sous Android, mais comme elles ne relèvent pas de Google/Android, elles pourraient ne pas pouvoir exécuter Chrome. Il y a aussi beaucoup d’appareils Android étranges, comme des robots marcheurs, des brosses à dents ou des urinoirs
[2] Il existe sans doute de meilleurs exemples, mais l’important est que ce n’était pas tant une concurrence entre navigateurs qu’une évolution de l’OS dans son ensemble
Seuls des acteurs comme Intel, AMD ou Qualcomm seraient possibles, tandis que les firmwares, architectures et matériels open source seraient exclus
Ces services et produits technologiques y seraient indésirables ou inaccessibles, et le tiers-monde, forcé d’utiliser ses propres solutions, pourrait évoluer vers des approches plus innovantes et moins centrées sur la publicité
Le meilleur moyen de contourner cette tendance est de se concentrer sur des outils de publication fédérés
Pour casser Internet, les entreprises devraient être plus destructrices qu’une guerre nucléaire, et nous pourrons toujours router autour d’elles
Je ne comprends pas comment les ingénieurs logiciel qui fabriquent ce genre de choses peuvent continuer à travailler
Je me demande si les ingénieurs payés pour ça, ou les personnes impliquées, n’ont pas le courage ou la dignité de démissionner
Si on m’avait demandé de pousser un truc pareil, je serais parti immédiatement, quelle que soit l’offre, et j’ai du mal à croire que personne chez Google ne s’y oppose
Si cela sort vraiment, j’espère que Google subira un énorme retour de bâton
C’est peut-être aussi pour ça que la programmation donne aujourd’hui l’impression d’être produite par les 10 % les moins talentueux
Malgré tout, les gens le font pour l’argent. Vers 2015, j’ai refusé une offre FAANG : il aurait fallu déménager de l’autre côté des États-Unis et je pensais que je ne pourrais pas dormir en travaillant pour ce genre d’entreprise
La rémunération totale la première année était de 250 000 à 350 000 dollars selon la performance, avec aussi une prime à la signature
Aujourd’hui encore, quand je galère chaque mois à trouver des missions en indépendant/contractuel, je regrette à moitié cette décision
Indépendamment de la dignité ou du courage, quand on a une famille à nourrir, un prêt immobilier, des frais médicaux, des animaux, des loisirs, il est difficile de simplement « claquer la porte » et abandonner son salaire
Le travail représente une grande partie du temps et de la vie sociale, et décider de quitter ses collègues et amis n’est pas facile non plus
Il est très injuste d’attendre des ingénieurs qu’ils meurent sur cette colline à notre place
Google peut les remplacer en un instant, donc le résultat est proche de zéro ; reprocher à quelqu’un de ne pas mettre en danger sa subsistance et la santé de sa famille au nom de la dignité ou de la morale ressemble surtout à un transfert de responsabilité
Il n’est pas difficile non plus d’imaginer qu’un ingénieur veuille lui-même travailler sur ce genre de tâche
Pourquoi ne pas prendre l’argent du diable tout en combattant ses plans ?
Dans la tech, il y a tellement de choses brillantes et distrayantes qu’on peut faire passer l’échec d’un projet pour un accident
Une partie de moi espère que certains ingénieurs chez Google sont en train de faire ça en ce moment
Le gros argent a attiré les gens vers la big tech et a cassé quelque chose ; la prochaine fois, il faudrait penser au moins deux coups à l’avance
Le texte lui-même est prudent et bon, mais le titre est un clickbait idiot.
S’il n’est pas prévu de permettre à des organismes indépendants de devenir des attesters (certificateurs), c’est une menace évidente pour ce qu’il reste de l’Internet ouvert.
Le fait que Google ou Apple ne le disent pas explicitement ressemble au plus gros canari mort dans la mine.
Des entreprises privées qui ont déjà monopolisé une partie d’Internet sont en train de dire vaguement « ne vous inquiétez pas, on s’en occupe », alors que ce sont précisément elles qui ne devraient surtout pas être chargées de l’attestation.
Il y a deux dangers : des exigences hostiles comme « l’agent ne contient pas de bloqueur de publicité » ou « le scraping sans autorisation explicite du site web est interdit », et des exigences qui, prises séparément, semblent raisonnables, comme « implémente les protocoles X/Y/Z et les standards A/B/C », mais qui, combinées, deviennent prohibitives et ne peuvent être assumées que par les grands fournisseurs.
En plus, ces critères doivent être vérifiables ; donc si l’utilisateur modifie son agent, l’attestation elle-même devient de fait invalide.
Les concurrents de Google seraient alors bloqués. Comment un certificateur pourrait-il résoudre ce problème ?
Si vous avez lu cet article avec Chrome, cela fait déjà partie du problème.
Si Google n’avait pas une position quasi monopolistique, une chose aussi effroyable n’aurait probablement jamais été envisageable.
Pour l’Internet ouvert, il faut passer à un autre navigateur. Sur desktop, Firefox est le meilleur choix ; même un navigateur basé sur Chromium peut être préférable tant que ce n’est pas Chrome.
Firefox sur Android est faible, car ses extensions sont très limitées, mais il reste meilleur que Chrome, qui n’en a aucune ; sur iOS, ce n’est qu’un wrapper Safari sans extensions, mais la synchronisation fonctionne bien partout.
Cela dit, il ne faut pas oublier qu’en 2011, 85 % des revenus de Mozilla provenaient de Google, via l’accord sur le moteur de recherche par défaut.
À une époque, environ 1 milliard de dollars auraient été versés sur trois ans, et le prix aurait augmenté lorsque Microsoft a enchéri pour faire de Bing le choix par défaut.
Du coup, chaque fois que Mozilla critique Google, cela donne l’impression embarrassante de mordre la main qui le nourrit.
Mozilla pourrait conclure des accords avec Microsoft, Yahoo, DDG ou Baidu, mais sans l’intérêt de Google, le financement baisserait probablement.
Malgré tout, le fait que Firefox comme Chrome soient open source constitue une petite assurance contre les manœuvres des géants de la tech visant à restreindre les libertés.
https://news.ycombinator.com/item?id=36770883
Mais Chrome est devenu trop dominant et Google a commencé à exercer un pouvoir excessif dans les comités de normalisation, alors je suis revenu à Firefox il y a quelques années.
Quand j’ai absolument besoin de Chromium, j’utilise Edge, et en fait je l’aime plutôt bien.
Si vous créez une collection d’extensions dans votre compte Mozilla, vous pouvez utiliser n’importe quelle extension, et beaucoup fonctionnent telles quelles.
Les moteurs de rendu existants ont grandi avec les standards, mais les standards CSS en particulier sont devenus absurdement complexes, au point qu’il est presque impossible d’implémenter un nouveau moteur.
Même Microsoft a abandonné, et Edge est en pratique devenu Chrome.
Même si Chrome est basé sur de l’open source, l’influence réelle de Google est énorme.
Si Google est sérieux avec ce plan, il tentera de l’imposer dans les projets et d’en faire un élément indispensable de l’expérience web ; et comme c’est aussi le principal sponsor de Firefox, il a également de l’influence de ce côté-là.
La dernière réponse de l’ingénieur Google est déconnectée de la réalité : https://github.com/RupertBenWiser/Web-Environment-Integrity/...
Même si elle est implémentée, elle risque fort d’être discrètement supprimée une fois la colère retombée.
Et même si elle reste, si le taux est suffisamment bas, les utilisateurs dont l’attestation échoue seront bombardés de CAPTCHA ou simplement invités à partir.
Il suffit de naviguer sur le web via TOR pour avoir un avant-goût du traitement réservé.
Tout le texte se résume à « faites-moi simplement confiance ».
Le texte affirme que si l’on rend le web plus privé sans nouvelle API, on pourrait voir augmenter les barrières de connexion pour accéder au contenu de base, les prises d’empreintes plus intrusives et les défis excessifs comme la vérification par SMS ou les CAPTCHA ; je me demande s’il existe des données pour étayer ces affirmations.
La voie actuelle est complètement mauvaise et imprudente, et la première étape pour travailler ensemble consiste à abandonner entièrement cette approche.
C’est un peu comme proposer de résoudre le réchauffement climatique par un hiver nucléaire : ce n’est pas un problème que l’on peut régler par itérations ou en trouvant un compromis.
Le postulat même de cette proposition est dangereux, elle doit donc être abandonnée.
Il suffit de penser aux innombrables façons dont elle pourrait être détournée, et le sera évidemment.
J’écris ici parce que les commentaires GitHub ont été bloqués.
Si je travaillais pour le diable et que je le savais, j’aurais fait pareil.
Malheureusement, nous allons tous accepter ça avec enthousiasme
Parce que Chrome est « pratique »
Les gens acceptent n’importe quoi au nom du confort, et WhatsApp en est un bon exemple. Des millions de personnes dans le monde partagent et synchronisent volontiers tout leur carnet d’adresses avec Facebook/Meta
Si ça vous importe, il ne faut pas utiliser Chrome. Si vous critiquez cette manœuvre malveillante tout en continuant à utiliser Chrome, vous faites partie du problème
La seule exception, c’est que j’utilise encore Google Search
Avec les progrès des grands modèles de langage, peut-être qu’un jour, en faisant tourner mon propre LLM, je pourrai me libérer complètement de la dépendance aux entreprises propriétaires
Ne pas utiliser WhatsApp a un coût social, surtout dans des pays comme l’Allemagne ou l’Inde où presque tout le monde l’utilise : on ne peut pas communiquer avec les autres utilisateurs ni participer aux discussions de groupe
Le coût de ne pas utiliser Chrome est proche de zéro. Il suffit d’utiliser les mêmes sites web, mais avec Firefox
L’industrie du web fondée sur la publicité n’est-elle pas vraiment désespérée à l’idée d’authentifier les humains et les bots ?
Rien n’empêche de connecter un bot à un appareil « attestable » via un flux vidéo et des dispositifs d’entrée pour lui faire utiliser Internet
Cela ne fait qu’élever le niveau de sophistication requis pour les bots
Dans un autre fil, il était même question de pointer une caméra vers un téléphone et de le manipuler avec des « doigts » robotisés
Avec WEI, ce pourrait même être plus facile puisqu’il n’y aurait plus de CAPTCHA. Après tout, ça apparaîtrait comme « humain »
Un clic de bot reste un clic, et il peut être facturé
J’ai déjà lu que 80 à 90 % des clics sur les publicités Facebook venaient de bots, et c’est aussi assez proche du trafic des sites commerciaux dont je m’occupe
La plupart du trafic vient de bots, de crawlers, de scanners et de « chercheurs en sécurité »
De temps en temps, on voit aussi de vraies fraudes, comme des boosters de trafic d’affiliation qui cliquent sur une bannière, passent une commande puis ne paient pas, 200 fois par jour, mais tant que les statistiques ont l’air bonnes, personne ne s’en soucie
On ne peut pas faire confiance à Google pour gérer la publicité
Rien qu’aujourd’hui, j’ai vu trois pubs venues de Hong Kong se faisant passer pour Macy’s et Bed Bath & Beyond, et les fausses pubs Mr Beast sont de retour sur YouTube
Je ne parlerai même pas des pubs Queen's Blade quasi pornographiques
Je ne comprends pas comment cela peut être jugé acceptable, ni comment Google peut justifier de vouloir bloquer les bloqueurs de publicité
Je considère les bloqueurs de publicité comme une barrière de sécurité plus importante que les vaccins, et pour moi c’est le cas depuis près de dix ans
J’ai fait ma part : sur mon site web, j’affiche le message « Non disponible dans Chrome. Utilisez un navigateur plus moderne et ouvert… », avec une explication
Si la plupart d’entre nous, développeurs, faisons ça, ce changement n’a aucune chance
Mieux encore, ce serait bien que quelqu’un crée un fichier JS que les autres n’auraient qu’à inclure, afin d’afficher une popup de blocage forcé montrant à quoi ressemblera le web du futur
Avec une bonne explication et des liens vers des vidéos pertinentes