A Cloudflare hétfőn bejelentette, hogy együttműködésre lépett a három vezető böngésző fejlesztőjével egy olyan, a felhasználók magánszféráját védő protokoll létrehozására, amely segíthet a weboldalaknak megkülönböztetni a kívánatos forgalmat a nem kívánt hálózati kérésektől. A Chrome, az Edge és a Firefox által támogatott új csalásellenes megoldás a Private Access Control Tokens (PACT) nevet kapta.
A rendszer célja, hogy a weboldalak olyan digitális tokent állíthassanak ki, amely igazolja, hogy egy adott böngészési munkamenetet ember vagy jóhiszemű, legitim célból működő automatizált rendszer használ, nem pedig visszaélésszerű vagy nem kívánatos tevékenységet végző személy vagy szoftver.
A PACT lehetővé teszi, hogy azok a webhelyek, amelyek „erős bizonyossággal rendelkeznek a személyazonosság vagy személyi jogosultság meglétéről”, anonim tokeneket bocsássanak ki. Ezeket a felhasználók és az engedélyezett automatizált ügynökök más weboldalakon is felmutathatják, csökkentve ezzel a további azonosítási ellenőrzések szükségességét.
A technológia lényegében egy megosztható, adatvédelmi szempontból kímélő CAPTCHA-eredményként fogható fel. A különbség az, hogy itt nem azt vizsgálják, ember vagy robot érkezett-e az oldalra – ez egyre nehezebben eldönthető kérdés –, hanem azt, hogy az adott forgalom kívánatosnak vagy nem kívánatosnak minősül-e.
Mit jelent a „személyiség” ebben a rendszerben?
A technológia részletei még kidolgozás alatt állnak, és több párhuzamos javaslat összehangolása is folyamatban van. Emiatt egyelőre nem teljesen világos, pontosan mit jelent az úgynevezett „erős személyazonossági bizonyosság” (strong knowledge of personhood).
A fogalom ráadásul láthatóan nem csupán emberekre vonatkozik. A definícióba azok a szoftverek is beletartozhatnak, amelyek egy valódi személy nevében, megfelelő felhatalmazással és legitim célból járnak el.
Nem kizárt, hogy bizonyos böngészők, felhasználói viselkedésminták vagy hálózati jellemzők nagyobb eséllyel maradnak majd PACT-token nélkül. Ugyanakkor a Google és a Mozilla fejlesztőinek korábbi szakmai egyeztetései alapján nem cél egyes hardverplatformok, operációs rendszerek vagy böngészőazonosítók kizárása.
Az AI-korszak új igénye
Dane Knecht, a Cloudflare technológiai igazgatója szerint az internet használata alapvetően változik, és egyre gyakrabban jelennek meg autonóm szoftverügynökök a felhasználók helyett. „Ahogy az AI-alapú forgalom egyre elterjedtebbé válik, a jelenlegi eszközök túl általánosak és túl durva megközelítést alkalmaznak” – mondta Knecht. „Ez az együttműködés lehetővé teszi, hogy megszüntessük a biztonsági protokollok által okozott súrlódásokat minden látogató számára – legyen az ember vagy szoftverügynök –, anélkül hogy feláldoznánk a magánszférát.”
Az „adatvédelem feláldozása nélkül” megfogalmazás azonban némileg túlzónak tekinthető. A PACT-tokenek várhatóan nem tartalmaznak személyes adatokat, de nem oldják meg azokat az egyéb technikákat, amelyek révén a böngészők digitális ujjlenyomat-képzésre és felhasználói követésre használhatók. Sőt, egy rosszul megvalósított rendszer akár új kockázatokat is teremthet.
Lényegében a technológia két kategóriára osztja az internetes forgalmat: kívánatos és nem kívánatos forgalomra. Ez a gyakorlat egyébként már ma is széles körben alkalmazott a tűzfalak és más biztonsági rendszerek révén, de nehezen egyeztethető össze a nyílt internet eredeti eszméjével.
A cél valójában a csalások visszaszorítása
Bobby Holley, a Mozilla Firefox technológiai vezetője szerint a probléma egyre súlyosabb. „A Mozilla elkötelezett a web nyitottságának és a felhasználók adatvédelmének megőrzése mellett” – mondta. „Az automatizált forgalom lavinaszerű növekedése arra kényszeríti a weboldalakat, hogy durva védekezési eszközöket alkalmazzanak: fizetőfalakat, személyazonosság-ellenőrzést, CAPTCHA-rendszereket és invazív követési megoldásokat, pusztán azért, hogy eldöntsék, ember küldte-e az adott kérést.”
Bár a Cloudflare elsősorban az adatvédelmi előnyöket hangsúlyozza, a vállalat közleményéből egyértelműen kiderül, hogy a technológia célja az, hogy „segítse a vállalkozásokat a valódi látogatók azonosításában, és erőforrásaikat az általuk fontosnak tartott forgalomra összpontosíthassák”. Más szóval: a PACT alapvetően egy csalásellenes és visszaélés-megelőzési kezdeményezés.
Számos weboldal-üzemeltető régóta panaszkodik arra, hogy jelentős terhet jelent számukra a kéretlen hálózati forgalom, különösen az agresszív vagy szabályokat figyelmen kívül hagyó webes robotok kezelése. Számukra a PACT akár régóta várt megoldásnak is tűnhet. Ugyanakkor fennáll annak a veszélye is, hogy a rendszer újfajta hozzáférési korláttá válik, amelyben a webhelyek üzemeltetőivel kell egyeztetni ahhoz, hogy egy adott látogatás vagy szoftver „személynek”, illetve legitim szereplőnek minősüljön az interneten.
Forrás: https://www.theregister.com
