Google contra la web abierta
(interpeer.io)- La propuesta de Web Environment Integrity (WEI) de Google permitiría que los sitios web exijan una prueba del entorno del navegador y bloqueen clientes no aprobados, convirtiendo potencialmente la web abierta en algo parecido a apps aisladas en silos
- El núcleo de la arquitectura está en que un attestation agent externo inspecciona el navegador y los plugins, y el sitio web decide si permite el acceso según ese resultado
- Entre los casos de uso declarados aparece Google Play como proveedor de pruebas, e incluye un escenario de impresiones publicitarias y bloqueo de bots para que los anuncios se entreguen solo a usuarios legítimos y no a procesos automatizados
- La elección de navegador, los bloqueadores de anuncios, los dispositivos antiguos y los usuarios que dependen de tecnologías de asistencia podrían quedar excluidos, lo que pone en riesgo tanto la accesibilidad e inclusión como la generatividad de la web abierta
- Quedan problemas de estandarización y respuesta regulatoria, desde el bloqueo de issues y comentarios en el repositorio de Google, la oposición de Mozilla, hasta la falta de claridad sobre los attesters en Apple Private Access Tokens e IETF PrivacyPass
Cómo WEI amenaza la web abierta
- Web Environment Integrity (WEI) es una propuesta que permitiría a los sitios web solicitar una prueba de la “integridad” del entorno del navegador
- Los sitios web podrían mostrar páginas solo en determinados dispositivos o navegadores, y negar el servicio a otros clientes
- Esta estructura tiene el efecto de atar el software del lado del cliente a sitios web específicos, creando apps aisladas en silos
- Las plataformas y los usuarios que no puedan usar el software cliente preferido quedarían en desventaja
- Usuarios a quienes les cuesta tener dispositivos lo suficientemente recientes
- Usuarios que necesitan navegadores especiales o tecnologías de asistencia
- Usuarios para quienes es importante el rendimiento de lectores de pantalla o la compatibilidad con dispositivos antiguos o de bajo costo
- Por esta posibilidad de exclusión, WEI es criticada como una propuesta antisocial que va en contra de los principios de diseño de la web
Mecanismo de certificación del navegador
- WEI tiene una estructura en la que el navegador recibe una attestation sobre su “integridad” de un agente externo y la transmite al sitio web
- Se supone que el agente inspecciona el navegador y los plugins, y emite una aprobación solo si pasan la inspección
- El sitio web puede decidir si presta el servicio según el resultado de esa aprobación
- En apariencia parece una función para garantizar, en beneficio del usuario, que el entorno no fue alterado, pero los casos de uso reales están más orientados a la protección de los operadores comerciales
- La propuesta incluye la posibilidad de que Google Play sea proveedor de certificación, y un ejemplo para que los anuncios se entreguen solo a usuarios legítimos y no a procesos automatizados
Anuncios, bots y bloqueadores de anuncios
- Detrás de la propuesta hay intereses alrededor de las impresiones publicitarias y los bots
- Los anunciantes quieren reducir costos
- Los operadores de sitios web quieren mostrar anuncios
- La red publicitaria de Google cobra por impression
- Los bots generan impressions
- WEI se interpreta como una solución para excluir bots mediante certificación y hacer que las impresiones publicitarias ocurran solo para usuarios conectados a Google Play
- Por lo general, los bots suelen distinguirse solo con información de logs como la cadena user agent, pero el user agent puede falsificarse
- Un bot suficientemente motivado también puede evadir medidas de seguridad más fuertes, e incluso hacer solicitudes usando un navegador legítimo con herramientas como Selenium WebDriver
- La debilidad central está en el attester
- Un atacante puede convencer al attester de que el cliente parezca legítimo
- O puede usar un cliente legítimo de una forma que el attester no cuestione
- En definitiva, los bots pueden volverse tan sofisticados como navegadores reales y pasar la attestation, por lo que WEI se interpreta como algo dirigido más contra los bloqueadores de anuncios que contra los bots
Potencial de abuso y regreso de la guerra de navegadores
- El attestation agent puede decidir libremente cómo aprobar o rechazar navegadores
- Esta estructura abre la puerta al abuso arbitrario
- Un sitio web podría exigir la instalación de un agente propietario de recolección de datos
- Podría negar el servicio si no se usa un navegador determinado
- Podría repetirse la guerra de navegadores de fines de los años 90
- El seguimiento de usuarios por parte de las redes publicitarias recibe cada vez más críticas, y los bloqueadores de anuncios también se recomiendan como medida de seguridad
- Los anuncios pueden ser una vía para cargar malware de forma lateral en sitios web legítimos, por lo que algunos expertos en seguridad recomiendan usar bloqueadores de anuncios
- Si WEI se adopta, la crítica es que la web abierta retrocedería décadas
De sistema generativo a appliance
- 『The Future of the Internet -- And How to Stop It』 de Jonathan Zittrain distingue entre appliances y sistemas generativos, tomando como punto de partida la red telefónica
- Un appliance funciona alrededor de una función principal, como una tostadora, y las demás funciones son cercanas a variaciones de esa función
- La PC e internet se clasifican como sistemas generativos que ofrecen funciones básicas sin un propósito principal específico, y cuyo propósito lo define el usuario
- La web abierta es un conjunto de frameworks no propietarios desarrollados por usuarios, y enfatiza la interoperabilidad y el equilibrio en el acceso y la propiedad de los datos entre proveedores y usuarios finales
- La attestation basada en el juicio arbitrario de un agente convierte la web en un appliance y, más precisamente, convierte al navegador en una extensión de sitios web con forma de appliance
- Los operadores de sitios web ya pueden crear appliances, pero si estos cambios se acumulan, la utilidad de la web abierta generativa disminuye
Accesibilidad y puntos regulatorios
- Aunque WEI no “genera” directamente problemas de accesibilidad por principio, la eficiencia de costos puede funcionar concentrándose en el 20% del mercado de navegadores para cubrir al 80% de los usuarios
- El 20% restante de usuarios podría ser ignorado con el argumento de que su soporte cuesta mucho
- Usuarios que necesitan navegadores especiales
- Usuarios para quienes el rendimiento de lectores de pantalla es importante
- Usuarios que necesitan navegadores que funcionen en dispositivos económicos o antiguos
- También existe el contraargumento de que los problemas de acceso deberían resolverse con regulación
- Los buenos marcos regulatorios son escasos, y la tecnología avanza más rápido que la ley
- A corto plazo hay que abordar el riesgo de la tecnología en sí, y a largo plazo también avanzar hacia respuestas regulatorias
Choque entre la protección de intereses corporativos y la web abierta
- Aunque una empresa busque proteger sus intereses, es difícil justificarlo si causa daño a las personas
- Internet y la web abierta son sistemas generativos con impacto positivo porque las personas pueden decidir cómo usarlos
- En el momento en que se reduce ese poder de decisión, el sistema se desplaza hacia el modelo de appliance
- Si una empresa reduce un sistema generativo a un appliance para proteger sus intereses, eso por sí mismo perjudica a las personas
- Google recibe críticas porque una empresa que creció sobre un sistema generativo ahora intenta convertir ese mismo sistema en un appliance ajustado a sus propias necesidades
W3C, repositorio y reacción de Mozilla
- Sobre la propuesta WEI se planteó una posible violación del código de conducta del W3C, y el grupo responsable respondió que no estaba dentro de su jurisdicción
- Luego se comunicaron a los ombudspeople del W3C preocupaciones sobre la propuesta WEI y la conducta de los participantes
- Entre las preocupaciones se incluyó que los maintainers del repositorio de GitHub estaban cerrando issues de la comunidad
- El 22 de julio de 2023, Google cerró en el repositorio las funciones de contribución, incluidas la apertura de issues y los comentarios
- Mozilla se opone a WEI y afirmó que la propuesta contradice los principios y la visión de Mozilla para la web
- En Chromium ya existe un commit relacionado con WEI, lo que genera preocupación de que pueda llegar antes de que la especificación se consolide
Apple Private Access Tokens y PrivacyPass
- Apple ofrece desde hace aproximadamente un año una API similar llamada Private Access Tokens
- Private Access Tokens, en el blog para desarrolladores de Apple, implementa un mecanismo casi igual a WEI
- Sin embargo, la documentación de Apple indica: “al enviar un token challenge, no bloquees la carga de la página principal, y permite que los clientes que no soportan tokens también accedan al sitio web”
- El tono de la documentación de Apple contrasta con la motivación de WEI, y Private Access Tokens se presenta como un mecanismo que se usa en lugar de métodos de autenticación más intrusivos, como CAPTCHA
- El token issuer se describe como un servicio web externo, no como un proceso opaco que se ejecuta en el dispositivo del usuario, y se interpreta como un mecanismo para que una CDN autentique solicitudes hacia el servidor de origen
- El protocolo lo define el IETF PrivacyPass Working Group
- Según el draft del protocolo PrivacyPass, los únicos datos que el cliente envía al issuer son el challenge del servidor en forma de hash ofuscado
- En este caso, desde el punto de vista del issuer no se filtran datos personales, y al no haber inspección del navegador ni del entorno de plugins, resulta difícil impedir que un navegador específico reciba attestation
Partes incompletas de PrivacyPass y posibilidad de discriminación
- Analizar PrivacyPass solo como protocolo del issuer resulta incompleto
- La parte faltante es cómo interactúan el cliente y el attester
- El issuer no conoce información de identificación personal, pero sí puede influir en qué attester se usa
- El attester queda como un elemento desconocido cuyo funcionamiento concreto no está especificado
- Varias partes de la especificación solo mencionan métodos posibles y dejan vacíos los procedimientos concretos
- Es posible que el cliente no envíe atributos sensibles al attester, pero no se aborda qué resultado tendría eso
- Debido a esta apertura, pueden implementarse los mismos problemas que en un modelo como WEI
- El documento de arquitectura de PrivacyPass también reconoce la posibilidad de tratamiento discriminatorio en la sección 5.1 “Discriminatory Treatment”
Antimonopolio, privacidad y vías de respuesta en estandarización
- Se compartió un comentario de Hacker News que dice que protestar ante Google en GitHub no es suficiente
- Ese comentario presenta contactos de autoridades antimonopolio de Estados Unidos, la UE, Reino Unido, India y Canadá
- La vía antimonopolio es solo una opción, y PrivacyPass y Apple Private Access Tokens tienen problemas similares
- En la UE se pueden plantear preocupaciones ante las siguientes instituciones
- European Data Protection Board: el acceso discriminatorio puede chocar con la licitud del tratamiento de datos personales del GDPR Article 6
- European Data Protection Supervisor: se pueden plantear preocupaciones similares sobre privacidad
- European Agency for Fundamental Rights: una tecnología que discrimina a usuarios mediante prácticas opacas puede vulnerar derechos fundamentales de la UE
- Sobre PrivacyPass, se puede participar en la lista de correo del IETF PrivacyPass working group para plantear preocupaciones y oponerse durante la etapa de adopción del draft
Preocupaciones adicionales sobre el proceso interno de Google
- Alex Russell, de Google/Chrome/Blink, intentó reformular WEI como un caso de personas que querían hacer algo bueno por la web pero se dejaron llevar por lo que “podían hacer” y perdieron de vista lo que “debían hacer”
- Esa explicación incluye la idea de que Google no tiene una jerarquía que obligue a preguntar si algo “debe hacerse”
- Las preocupaciones inmediatas son dos
- Que Google, a nivel de proceso, no pregunte “¿deberíamos hacerlo?”
- Que los Googlers individuales tampoco se hagan esa pregunta, independientemente del proceso de Google
- Puestos juntos, ambos elementos llevan a una crítica cercana a una declaración de bancarrota moral
- En ese momento, todavía no había una respuesta oficial de Google
1 comentarios
Opiniones de Hacker News
¿Esto va en serio?
Hay dos tipos de bots. Los bots legítimos suelen ofrecer a los operadores de sitios un intercambio generalmente positivo, se identifican mediante el agente de usuario, hacen solicitudes desde rangos de IP predecibles y respetan robots.txt. Aquí entran la mayoría de los rastreadores de buscadores, los bots de vista previa de enlaces de apps como WhatsApp y los lectores RSS.
En cambio, los bots maliciosos apuntan a recursos que contienen información costosa y valiosa, no respetan robots.txt, usan botnets de IP residenciales para evitar bloqueos de IP y cambian desde el agente de usuario para parecer tráfico normal. Incluso contratan personas para crear cuentas falsas.
Por eso, el método del autor es un razonamiento circular. Identifica bots por el agente de usuario y luego declara que, como hay bots con agentes de usuario distinguibles, el resto del tráfico no son bots. Además, también es un problema que haya visto logs de servidores que no tienen datos que valga la pena robar maliciosamente. Así como Ocean's 11 roba un casino y no una tienda de barrio, los operadores profesionales de bots extraen información valiosa de sitios que están defendidos, no de blogs personales.
Hablando como alguien que trabaja en Google, pero que no tiene absolutamente nada que ver con anuncios, navegadores ni detección de fraude publicitario, ojalá los atacantes que viven de sacarle dinero a Google y a los anunciantes fueran tan incompetentes como este autor.
Ya lo dije en otros hilos sobre WEI, pero lo repito aquí:
En vez de que todos agiten los brazos insultando a una empresa malvada, me pregunto si alguien realmente se comunicó con autoridades de competencia como la FTC o la CCI de India por los efectos anticompetitivos de esta propuesta.
Estos son los contactos de las autoridades antimonopolio:
EE. UU.: https://www.ftc.gov/enforcement/report-antitrust-violation / antitrust@ftc.gov
UE: https://competition-policy.ec.europa.eu/antitrust/contact_en / comp-greffe-antitrust@ec.europa.eu
Reino Unido: https://www.gov.uk/guidance/tell-the-cma-about-a-competition... / general.enquiries@cma.gov.uk
India: https://www.cci.gov.in/antitrust/
No encontré una forma fácil de contacto para presentar una queja ante la CCI, pero el procedimiento parece estar aquí: https://www.cci.gov.in/filing/atd
Canadá: https://www.competitionbureau.gc.ca/eic/site/cb-bc.nsf/frm-e...
Puedo compartir lo que le envié a la FTC si otros quieren usarlo como plantilla.
También creé una petición parlamentaria y conseguí los 5 apoyos mínimos necesarios para que la revisen y publiquen. Cuando se publique, la compartiré en HN.
Por ahora quité el enlace a la petición, pero lo volveré a publicar cuando esté publicada.
Eliminen por completo a Google de su vida personal. Nada de Chrome, sin excusas. Dejen de decir tonterías o salgan de esta industria. Para buscar, usen Startpage, DuckDuckGo o lo que sea.
Desarrollen solo para Firefox y sus derivados, y métanle problemas de usabilidad a Chrome.
Usen las mismas tácticas que usó Google. Incluyan Firefox junto con el software que distribuyan y, como Google, eliminen competidores de los dispositivos de los usuarios. Hagan que sus módulos npm o sitios web sean lentos en Chrome, y avísenles a los usuarios que no usan Chrome que el servicio es más barato. El dinero mueve a la gente.
Muestren pop-ups recomendando a los usuarios descargar Firefox, con un enlace o una página explicativa. Díganles que se detectaron riesgos de seguridad y privacidad en el Chrome actual y que recomiendan actuar de inmediato; los usuarios comunes suelen asustarse y moverse fácilmente.
Piensen en todas las formas posibles de arruinar a Google. Arruinen sus resultados de búsqueda, llenen sus repositorios con /dev/random, hagan todo lo que puedan imaginar. Todos han dicho que son inteligentes, así que demuéstrenlo.
El capital de Google son los datos. Golpeen eso y la bestia muere.
Project NERA era el plan original de Google para convertir la Internet abierta en un ecosistema cerrado. Los documentos de Google revelan la motivación de “proteger los márgenes imitando con éxito los jardines amurallados en toda la web abierta”.
Según documentos internos, con esta estrategia Google podía extraer comisiones de intermediación más altas, y un empleado describió la ambición de Project NERA como “obtener los beneficios de ‘operar’ estrechamente los activos sin ‘poseerlos’ ni pasar por la dificultad de crear nuevos productos de consumo”.
La estrategia clave para lograrlo era aprovechar el popular navegador Chrome para mantener a los usuarios conectados al navegador y rastrearlos. Si iniciaban sesión en un servicio de Google como Gmail o YouTube, también se les iniciaba sesión en el navegador; y si cerraban sesión en el navegador, también se les cerraba sesión en el servicio.
https://mspoweruser.com/project-nera-state-attorneys-general...
https://storage.courtlistener.com/recap/gov.uscourts.nysd.56...
Google viene señalando con fuerza esta dirección desde el año pasado. Solo que el año pasado fue antes de que estallara la burbuja tecnológica, así que nadie quería creerlo. Ahora que Google ya no parece tan impresionante como antes, quizá más gente contacte a sus representantes.
Por eso detesto activamente a Google y evito sus productos, salvo YouTube.
Esto se remonta a 2010. Abrí Chrome para probarlo, y no tenía la opción de descargar con clic derecho el fondo de un canal de YouTube, algo que en Firefox funcionaba sin problemas. ¿Por qué bloquearían deliberadamente que un usuario descargue algo fácilmente con clic derecho? Porque creen que la web les pertenece.
Nunca he usado Chrome y nunca lo usaré. Si usas Chrome, estás empeorando tu propio futuro, porque algún día Google implementará políticas lo suficientemente malas como para que casi nadie pueda evadir las restricciones.
Me gustó el enlace al blog de Yoav Weiss
Iba más o menos así: “Cuando no te gusta una propuesta para la plataforma web… puedes sentir que tus perspectivas y experiencia pueden ser valiosas para ayudar a que la plataforma no cometa un gran error. ¡¡Bien!! Participar en las discusiones sobre la plataforma web es esencial para que sea creada por todos y para todos… En propuestas polémicas de navegadores, no es raro que personas que parecen actuar de buena fe intenten cambiar la opinión del equipo con decenas o cientos de comentarios. En mis años trabajando en la plataforma web, nunca he visto que eso funcione. Ni una sola vez”.
Suena como: “Nos encanta que todos participen en la discusión. Y eso nunca influye en nuestras decisiones”.
Primero, muchas veces el feedback va a una dirección completamente equivocada. No puedes impedir de esa manera que Google haga cosas típicas de Google
Segundo, la profundidad y el nivel en que se dan las discusiones sobre estándares web alejan a la mayoría de la gente. Por eso la gente, en vez de participar en “hacer estándares”, se va a otra parte
La web es excelente, y llegó a serlo porque durante sus primeros 15 años operar una entidad en la web era realmente muy simple. Pero el éxito atrajo cada vez más a grandes empresas e intereses complejos, y ahora vemos esfuerzos por hacer la web más accesible junto con cosas como Web Environment Integrity y DRM
Un proceso que exige vigilancia pública termina fracasando si el público no puede designar a alguien que vigile a tiempo completo en su nombre
Pero la mayoría no tiene la habilidad técnica ni el tiempo para hacerlo, así que termina discutiendo sobre el color del cobertizo para bicicletas
En especial, si tomas una propuesta relativamente árida como WEI, pensada como un marco antibots y antitrampas para contenido web, y la envuelves en un título clickbait como “Google vs. the Open Web”, difícilmente vas a caerle bien a gente que piensa todos los días y en profundidad sobre problemas difíciles
Sinceramente, no sé si es una buena propuesta. Pero el problema que intenta resolver sí existe, así que por ahora prefiero darles el beneficio de la duda a quienes intentan resolverlo de buena fe, más que a quienes escriben textos burlones
Creo que la situación se desarrollará así
La verificación WEI estará diseñada de forma tan simple que una persona con conocimientos técnicos o un hacker podrá evadirla fácilmente. Las críticas u objeciones podrán acallarse con frases como “solo tienes que iniciar el navegador con estas 50 configuraciones”
En cambio, será lo suficientemente compleja como para que los usuarios comunes no puedan evadirla y se vean obligados a ver anuncios
Así, los hackers mantendrán el acceso a una web “abierta”, y el 99% de la mayoría navegará por la web de “Google”: una estructura en la que todos ganan
¿No podemos saltarnos todo esto y pasar directamente a la etapa en la que Google opera y posee todo y a todos, y nosotros tenemos que entregar el 50% de la cosecha?
Pronto los sitios web exigirán acceso al kernel para verificar que no tengas cheats instalados. Obviamente lo digo con sarcasmo
[0] En la terminología de ARM, el modo kernel es EL1, el modo hipervisor es EL2 y el modo TrustZone es EL3. Cada nivel de excepción implica un nivel de privilegio más alto
Esta es una señal clara de la debilidad de Google. Está perdiendo su monopolio y trata desesperadamente de aferrarse a internet.
En las últimas semanas anunció que, si tenés instalado un bloqueador de anuncios, intentará impedir la navegación, como ver videos de YouTube.
Fuchsia es otro ejemplo. Como está perdiendo el control sobre Android, inició un nuevo proyecto.
Mi receta es AdGuard Home, el navegador Brave (teléfono, tablet y escritorio), Bromite (teléfono), Firefox (escritorio) con uBlock Origin, y FreeTube en escritorio. Con solo usar Brave en el teléfono alcanza para eliminar todos los anuncios y rastreadores.
En la comunidad open source siempre habrá alguien lo bastante inteligente como para esquivar los controles mejor de lo que Google cree. Es triste que Kevin Mitnick haya fallecido hace unos días, pero siempre aparecerá otro Kevin Mitnick.
Google ya perdió todo el respeto de la comunidad y pronto se derrumbará.
Cuando falta información, la gente tiende a inventar historias que encajan con su propia narrativa, y ese es un hábito realmente peligroso.
Google tampoco está perdiendo su monopolio. Brave Browser corre sobre Chromium de Google, y Firefox funciona gracias al dinero de Google. Su ventaja en búsquedas tampoco parece que vaya a desaparecer pronto. Hay razones por las que casi todo el mundo usa Google como motor de búsqueda, por las que ve videos en YouTube y por las que el 70% de los usuarios de teléfonos usa un sistema operativo de Google. También hay razones por las que Gmail es, por lejos, el líder en correo electrónico personal.
También es legítimo que bloqueen de YouTube a los usuarios con bloqueadores de anuncios. No tenés obligación de usar YouTube, y si lo usás deberías pagar el costo viendo anuncios o pagando YouTube Premium.
Por más que HN insulte a Google, Google es una de las pocas empresas que hizo que internet fuera realmente internet. Su impacto sobre la humanidad en conjunto, hasta ahora, claramente se acerca más a lo netamente positivo, y nadie está obligado a usar productos de Google. Como el nivel gratuito de Gmail o la apertura de Android, hay razones por las que los productos que ofrece Google son líderes.
Además, en otros lugares ya usás Firefox. Por cierto, Mozilla también recopila información.
Me entristece ver cómo Google fue empujado en esta dirección durante los últimos años.
Google fue una de las principales fuerzas que impulsaron la web abierta en las décadas de 2000 y 2010. Necesitaba datos para la búsqueda, y si todo estaba abierto podía acceder a todo.
Pero la situación empezó a cambiar cuando nuevas empresas de la Web 2.0, como Facebook, convirtieron internet en silos. La razón por la que siempre me opuse a Facebook no fue la minería de datos, sino que fue la causa del cambio por el cual las empresas dejaron de hacer sitios web y empezaron a crear páginas de Facebook, dejando los datos inaccesibles si no iniciabas sesión.
Para resolver esta contradicción, no se puede decir que Google en su conjunto esté “a favor” o “en contra” de la web abierta. Por sus infames peleas internas, hay que entender que algunas partes de Google están a favor de la web abierta, otras en contra, y a veces un lado se impone.
No quiero hacer de abogado del diablo, pero viendo la historia de la computación personal, me sorprendería más que esto no se aprobara.
Si miramos la tendencia en la que los smartphones bloqueados se volvieron la norma y Windows se convirtió en un vehículo para publicidad, esto parece el siguiente paso en la evolución inevitable de la TI.
Puede que los medios todavía no le estén prestando mucha atención porque es una propuesta inicial, pero considerando sus implicaciones, llama la atención que casi no se hable de esto en la web fuera de Hacker News. Creo que Rossmann es el único que subió un video sobre el tema en YouTube. Al buscar “web environment integrity api” en Twitter aparecen pocos resultados y casi sin respuestas. Si se busca la cadena clave en Reddit, los resultados con debates significativos no tienen relación con WEI.
Puede que sea porque las redes sociales están en las últimas, pero parece que ya no queda mucha gente con ganas de pelear por la vieja web o por la computación general.