- La propuesta de Google para Chrome, Web Environment Integrity (WEI), recibió críticas porque permitiría que los sitios web verifiquen el entorno de ejecución del cliente, convirtiendo de hecho la Web en algo parecido a DRM
- WEI tiene una estructura en la que el usuario demuestra que está ejecutando un cliente web en un entorno como un “dispositivo Android seguro”, y lo transmite mediante un token firmado criptográficamente
- A diferencia de la justificación de prevención de fraude, Mozilla considera que podría bloquear usos existentes de la Web como tecnologías de asistencia, pruebas automatizadas, archivado y spiders de motores de búsqueda
- Brave afirmó que WEI transfiere poder a los grandes sitios web y plataformas por encima de los usuarios, y que no lo incluirá en el navegador Brave
- Incorporar la certificación remota a los estándares web podría usarse no solo con fines legítimos, sino también para bloquear navegadores, limitar bloqueadores de anuncios y reforzar el control de las plataformas
La polémica de DRM web provocada por la propuesta WEI de Chrome
- Google propuso incorporar Web Environment Integrity en Chrome
- Este sistema permite que los sitios web soliciten un token que certifique hechos clave del entorno donde se ejecuta el código del cliente
- Por ejemplo, podría mostrar que el usuario está ejecutando un cliente web en un “dispositivo Android seguro”
- El token está estructurado para impedir alteraciones mediante una firma criptográfica
- El sitio web decide por sí mismo si confía en el veredicto devuelto por el attester
- Según la explicación de Google, en la práctica es probable que el attester provenga del sistema operativo o de la plataforma
- El documento de la propuesta se inspira en señales de certificación nativas ya existentes, como App Attest de Apple y la Play Integrity API de Android
- En la prevención de fraude, un veredicto determinante y una alta cobertura pueden ser útiles, pero sigue existiendo el riesgo de que los sitios web excluyan a ciertos attesters o a navegadores que no puedan certificar su entorno
Cómo la certificación remota cambia la relación de poder en las computadoras
- Según la explicación de Cory Doctorow, hace unos 20 años Microsoft presentó a la Electronic Frontier Foundation una idea de trusted computing llamada Next Generation Secure Computing Base, o Palladium
- La idea central era la certificación remota (remote attestation): colocar un dispositivo separado dentro de la computadora del usuario para observar el estado del bootloader, el sistema operativo, las aplicaciones, extensiones y kernel, y enviar un manifiesto firmado a un verificador externo
- La certificación remota puede ser una función poderosa que permita a personas que no confían entre sí verificar la configuración de sus respectivas computadoras
- También permite usos beneficiosos y consensuados, como cuando una empresa verifica la configuración del dispositivo de un empleado en un entorno de trabajo remoto
- Al mismo tiempo, puede usarse para exclusiones como impedir que un documento de Word se abra en OpenOffice, o distinguir entre SMB y Samba para bloquear el acceso a la red
- La cuestión central es si una computadora debe decir la “verdad” al exterior incluso cuando el usuario no lo desea, y si otras personas deben poder activar de forma remota una función que el usuario no puede controlar
Por qué Mozilla y Brave se opusieron
- Mozilla se opuso en la discusión de GitHub, señalando que WEI va en contra de la Web abierta
- La postura de Mozilla es que los mecanismos que limitan las opciones dañan la apertura del ecosistema web y tampoco son buenos para los usuarios
- Los casos de uso propuestos dependen de la capacidad de “detectar tráfico no humano”
- Este enfoque podría bloquear usos existentes de la Web que reciben contenido dirigido a humanos y lo transforman, prueban, indexan o resumen, como tecnologías de asistencia, pruebas automatizadas, archivado y spiders de motores de búsqueda
- Considera que salvaguardas como “holdback”, que consisten en no generar certificaciones de forma aleatoria, probablemente tengan una eficacia limitada y no basten para resolver las preocupaciones
- Brave también se opuso a Web Environment Integrity y afirmó que no incluirá WEI en el navegador Brave
- Brave considera que WEI desplaza el poder hacia los grandes sitios web, especialmente los operados por Google, por encima de los usuarios
- Aunque use Chromium, no tiene previsto incluir WEI
- También está evaluando limitar funciones similares a WEI, aunque más acotadas, como partes de WebAuthn o Privacy Keys, dentro de un margen que no rompa los usos legítimos
Preocupaciones sobre bloqueadores de anuncios y control de plataformas
- Alex Ivanovs señaló como uno de los efectos secundarios de WEI que Google podría impedir de hecho el bloqueo de anuncios
- Si la entidad que controla el attester verifica el entorno del cliente, surge la preocupación de que Google u otras grandes tecnológicas puedan manipular puntajes de confianza y decidir en qué sitios web o entornos de navegador confiar
- Brave vincula WEI con la tendencia reciente de propuestas web de Google
- Considera que WebBundles dificulta que los usuarios bloqueen o filtren contenido de páginas que no quieren
- Considera que First Party Sets dificulta que los usuarios determinen qué sitios pueden rastrearlos
- Considera que el debilitamiento de las extensiones del navegador mediante Manifest V3 reduce el control de las extensiones de bloqueo de anuncios y rastreadores, como uBlock Origin
- Brave afirmó que desactiva o modifica estas funciones en el navegador Brave
Dónde debería estar el poder en la Web abierta
- Los problemas de fraude y abuso que WEI intenta abordar existen realmente, pero el método propuesto cambia de forma fundamental la estructura de la Internet abierta
- La crítica central es que, en lugar de empujar el poder hacia los bordes de la red, lo centraliza del lado de los sitios web y las plataformas
- Incluso descartando explicaciones conspirativas como la vigilancia gubernamental, la propuesta en sí es mala, peligrosa y contraria a los principios de la Web abierta
- Aunque las motivaciones de Google sean de buena fe, no hay garantía de que una herramienta así se use siempre solo con buenas intenciones
- Para apoyar la Web abierta hay que oponerse a WEI, y Google también debería rechazar esta propuesta
1 comentarios
Opiniones de Hacker News
Ya es hora de presionar con fuerza para que Google sea objeto de una división antimonopolio
Este plan de DRM es un abuso de posición monopólica y da más argumentos para impulsar políticamente una división forzada. Alphabet es una empresa que creció mediante adquisiciones, así que separarla también es relativamente claro: Google debería quedarse solo con la búsqueda y los anuncios de búsqueda; DoubleClick, con la publicidad en sitios de terceros; Analytics, con servicios para sitios web; Cloud, con servicios de centros de datos; Android, con dispositivos; Chrome, con el navegador; YouTube, con streaming; Waymo, con conducción autónoma; y Alphabet, con el resto.
Si Chrome estuviera separado de Google y DoubleClick y tuviera que competir por cuota de mercado, tendría menos incentivos para impedir el bloqueo de anuncios de DoubleClick o Google. La demanda del estado de Texas y de los fiscales generales de varios estados ya está en curso, y los movimientos de Google para afianzar técnicamente su monopolio juegan a favor de esas demandas. Si se arma suficiente ruido político, es muy probable que Google retire esta propuesta siguiendo el consejo de sus abogados antimonopolio.
https://www.bloomberg.com/news/articles/2023-06-05/google-an...
https://www.lanierlawfirm.com/google-antitrust-lawsuits-expl...
Google es el único vendedor de un activo digital —la publicidad— y el único operador del mercado de ese activo; tiene un sistema cerrado de transacciones algorítmicas sin auditoría pública, y tampoco hay un libro público que muestre quién ofertó cuánto. Al mismo tiempo, también es un cliente importante que anuncia sus propios productos.
Los anunciantes tienen que instalar código de seguimiento en sus sitios, de modo que Google puede ver transacciones, ingresos y clientes. Si a eso se suman los algoritmos cerrados y el mercado publicitario, el potencial de manipulación es enorme. La división más importante sería separar el negocio publicitario del resto, incluida la búsqueda; aunque no sea fácil, hace falta un cambio. En la práctica, parece más viable aplicar una regulación fuerte al mercado de publicidad online, firewalls de separación entre unidades de negocio y auditorías de plataforma.
La misión de una empresa que llegó a controlar profundamente incluso bases como la web y el correo electrónico —“organizar la información del mundo”— parece haberse degradado a “poner la mayor cantidad posible de intermediarios pagos delante de la información del mundo”, o incluso bloquear por completo cierta información.
No deberíamos permitir que una sola empresa gestione de facto la información del “mundo”. No sé exactamente cómo habría que dividir Alphabet, pero estoy de acuerdo en que hay que dividirla. Si la información debe ser libre, también tenemos que replantearnos cómo preservar esa libertad en un mundo donde Google no pretenda ser su guardián.
https://techcrunch.com/2023/04/25/google-cloud-turns-profit-...
Perder dinero en sí no está mal. Hay que invertir antes de generar ganancias, y servicios como Google Cloud pueden convertirse en máquinas de hacer efectivo una vez consolidados. Dicho eso, los proveedores de nube están inundando de dinero a terceros y socios para que vendan y desplieguen sus servicios en empresas. Una empresa neerlandesa de intercambio de flores estaba migrando cientos de servicios a AWS, y un nuevo gerente de TI parecía tener conexiones con Amazon para la venta de AWS. Una vez que entras, salir de nuevo cuesta millones de dólares y años, así que no parece que movimientos laterales de AWS a GCP vayan a ocurrir con frecuencia.
Chrome existe principalmente para que el negocio publicitario obtenga más datos e influya en la dirección de la web. Si se lo separa, aparte de algo de dinero que gana con ChromeOS, no tendría fuente de ingresos, así que sería difícil sostener Chrome.
Entiendo que es un instrumento político para presionar a Google a abandonar esta propuesta. Pero una división de Google/Alphabet no es realista, y no la querría a menos que Microsoft también se divida al mismo tiempo. Si no, Microsoft podría volver a dominar la web, y no quiero volver a vivir esa época.
Esto básicamente destruye el argumento de Google de que los OEM tienen opciones y que no se trata de un monopolio de Google. El problema es que Google es muy bueno para mantenerse fuera del radar. Solo lo notan unos pocos que no usan productos de Apple, Google ni Microsoft, y los políticos, el público y la gente influyente casi no se enteran.
Es muy probable que con esto pase lo mismo y a nadie le importe. Es demasiado complejo de explicar, así que incluso quienes deberían prestarle atención probablemente vuelvan a mirar para otro lado. El punto clave es que la minoría preocupada no hace suficiente ruido. Hay que seguir presionando a los bancos y otros que bloquean Android sin Google, y también hace falta una lista pública de los servicios “buenos” que quedan. Por ahora, no queda más que usar de verdad navegadores libres y sistemas operativos libres, y plantear el problema lo más fuerte posible aunque sea en lugares como GitHub. Los más ruidosos respecto de la libertad de la web son web3 y crypto, pero a mí me parece que son personas que solo intentan generar entusiasmo para ganar dinero con la especulación.
Todos dejamos que llegara hasta aquí porque tratamos los servicios de Google como herramientas gratis y útiles.
Cuando hablamos de “Chrome esto, Chrome aquello”, se nos olvida que en realidad es una herramienta estratégica de la agencia de publicidad más grande del mundo. Chrome, GMail y demás encajan todos en un marco global de tecnología publicitaria que empuja anuncios sospechosos y absorbe información de identificación personal.
Google se mete en nuestras vidas usando monopolios y oligopolios. Hay que difundir el encuadre de que Google es un negocio sospechoso. No es una empresa confiable, es un gigante publicitario y no tiene integridad. Si un banco usa la función de integridad de Google, habría que llamar a atención al cliente, decir “no funciona” y mantenerlos ocupados un buen rato haciéndose el principiante; cuando finalmente salga el tema de Integrity + Chrome, reclamarles: “¿están del lado de una agencia de publicidad sospechosa? Pensé que eran un banco confiable”.
En una mesa de ayuda lo que importa son las métricas de cierre de tickets y la duración de las llamadas; un estallido emocional no cambia nada.
Al final pagamos primero con datos y después volvemos a pagar con dinero. La internet gratis puede ser buena para algunos, pero todos estamos pagando el impuesto publicitario incluido en el precio de los productos que compramos. Si se prohibiera todo este modelo de precios freemium y volviéramos a pagar directamente por las cosas como antes, se podrían resolver muchos problemas.
https://httptoolkit.com/blog/apple-private-access-tokens-att...
Pronto quizá deberíamos temer más una situación en la que los bancos exijan solo dispositivos Apple.
En 2012 me entrevisté para un puesto de SRE en Google Ireland.
Al final no fui por asuntos familiares, pero durante un tiempo lamenté haber perdido la oportunidad de resolver problemas a escala Google y ganar dinero a nivel FAANG.
Ahora ese arrepentimiento desapareció por completo. Es por cómo ha cambiado Google y cómo entiende su papel en el mundo. O quizá la naturaleza corporativa que siempre tuvo simplemente se volvió más evidente. En los 2000 creía que Google era una fuerza positiva en el mundo empresarial, pero ahora estoy convencido de que no lo es en absoluto. Por eso me entristece, y me da miedo el daño que terminará causándole a la internet que me gusta y al mundo del FOSS.
No veo a Google como una entidad única con una sola naturaleza verdadera. Al final es una organización donde las personas toman decisiones. A veces liberan VP8 como código abierto y crean valor global; otras veces ejecutan experimentos cuyas intenciones debieron haber explicado mejor.
Bajo Pichai, parece que quiere fijar su posición, matar competidores y convertir la WWW en la GWWW.
Incluso cuando compró la infame DoubleClick, me alegré porque creí que podría transformar para bien la industria de la publicidad online. Pero no pasó, y Google terminó convirtiéndose en esa empresa de publicidad online de baja calidad.
Los primeros Google parecían personas auténticas y decentes. Después del colapso puntocom, todos se obsesionaron con monetizar para pagar las cuentas, y creo que ahí se sembraron las semillas de lo que vemos hoy.
Google puede haber fingido que defendía algo, pero desde que se convirtió en una corporación ha sido continuamente una empresa malvada. Las empresas están diseñadas para funcionar así.
Como ejemplo relacionado, Google lleva más de 10 años haciendo cosas tipo “solo IE5+” en sus propios servicios. No mató la competencia entre navegadores con un buen producto, sino que tomó o compró buenos servicios y los usó para imponer Chrome a los usuarios. De forma voluntaria, mediante miles de millones de dólares en publicidad; de forma involuntaria, mediante mentiras sobre compatibilidad y rendimiento, o bloqueando otros user agents.
IE perdió terreno frente a los predecesores de Firefox porque Microsoft creyó que ya había ganado y, al desmantelar el equipo de IE, se descuidó. Firefox perdió la competencia cuando Google se puso a hacer Chrome rapidísimo de forma obsesiva, y tras quedarse atrás repetidamente terminó perdiendo casi toda su cuota. El dominio de Chrome y el abuso de la posición de mercado de Google no son agradables, pero durante la mayor parte de su vida Chrome fue un buen producto.
https://www.businessinsider.com/google-sergey-brin-employees...
Las empresas quieren ganar dinero o acumular palanca. Claro, también hay empresas que ejecutan mal o compiten mal. Al principio crearon palanca haciendo cosas buenas, y ahora están en la etapa de exprimir esa palanca para sacarle el mayor provecho posible a la vaca lechera durante el mayor tiempo posible.
Los dispositivos de cómputo son agentes del usuario más cercanos que médicos, sacerdotes o abogados.
Compartimos con ellos información más íntima, y somos mucho menos capaces de llevar una vida normal sin ellos. Las computadoras median cada vez más nuestras interacciones con otras personas y con el mundo, y también son necesarias para comunicarnos y acceder a servicios esenciales. Como son objetos que llevamos a nuestra casa y hasta al dormitorio, deberían actuar en el mejor interés del usuario y, como mínimo, no actuar en su contra.
Esto no debería ser una exigencia especial, sino una premisa básica. Incluso cuando apenas surgía la idea del software libre, el respeto por el usuario estaba en el centro. Antes, la falta de respeto solía ser principalmente búsqueda de rentas, precios excesivos, indiferencia ante funciones o bugs, y reglas que favorecían al autor. Existía la posibilidad de que el software pudiera oponerse activa e intencionalmente al usuario, y las libertades de inspeccionar, modificar y compartir eran, en teoría, una respuesta a ese riesgo. Pero en ese entonces no era un problema común. Ahora el software y los sistemas que traicionan activamente al usuario se han vuelto comunes y se han normalizado, y la mayoría parece no haberse dado cuenta.
Para mí, parece que ya es demasiado tarde
Tengo la fuerte impresión de que la mayoría simplemente no le presta atención, y que la mayoría ni siquiera quiere saber. Lo mismo pasa con la mayoría de la gente que conozco: me preguntan por qué no instalo la app más reciente, pero me interrumpen antes de que pueda explicarles temas como la privacidad, la dependencia, la pérdida de acceso a recursos o el derecho a reparar
Personalmente, estoy dedicando todo el tiempo que puedo a aprender alternativas como Gemini, apps del Fediverse y teléfonos con Linux. Al mismo tiempo, tengo una laptop “mainstream” aparte que uso solo para servicios casi indispensables, como el banco, sin instalarle nada y manteniéndola apagada normalmente
Lo mismo ocurre con la corrupción en las altas esferas del gobierno y el poder judicial, los centros de detención secretos y la tortura, y las guerras ilegales por lucro. Es imposible interesarse por todo lo que ocurre, y tampoco es razonable esperar que la gente sepa o se preocupe por todo
Además, la mayoría de la ciudadanía caería en la pobreza si dejara de cobrar apenas dos sueldos. En cambio, los lobbistas tienen acceso a quienes toman decisiones y dinero en efectivo para impulsar cambios concretos. Esta estructura fue diseñada así, y Google simplemente la aprovecha como cualquier otra empresa. Culpar a “la gente” es culpar a las víctimas
En el artículo aplicaron a WEI una excelente cita de Doctorow sobre Secure Computing
“Aunque quieras que tu computadora mienta por ti, ¿debería poder obligársela a decir la verdad? ¿Debería haber dentro de tu computadora un dispositivo que no puedes controlar y que otra persona puede activar de forma remota?”
Es una aplicación apropiada, y una pregunta fundamental cuya respuesta varía según la cultura y las experiencias pasadas de abuso por parte de gobernantes que haya sufrido cada persona u organización. Personalmente, me opongo
Si el contexto es que un chip soldado que no se puede quitar informa la “verdad” del kernel u otros componentes, creo que no se puede saber si la computadora está diciendo la verdad o no. Basta ir una vez a DEF CON para entenderlo. Siempre hay una forma de entrar y siempre hay un hack. Cuanto más difícil se vuelve hackearlo, más se motivan los geeks de DEF CON
Además, “otra persona” nunca significa “solo las personas que tú quieres”. Inevitablemente incluye criminales, acosadores y gobiernos autoritarios. Por eso la respuesta es simplemente “no”
Si un auto autónomo no actúa necesariamente a favor de su dueño, sino que sigue “lo correcto”, es decir, la verdad, entonces en una situación de choque inevitable surge el problema de qué debe priorizar: los intereses del dueño actual, los intereses del fabricante o el interés promedio de todos
Google en realidad nunca defendió nada desde el principio, y do no evil fue principalmente marketing
Basta con mirar la década de 2010
https://nakedsecurity.sophos.com/2011/08/26/real-canadian-ph...
“No recopilamos datos personales”
https://europe.googleblog.com/2010/04/data-collected-by-goog...
“Ah, sí los recopilamos”
https://googleblog.blogspot.com/2010/05/wifi-data-collection...
La colusión salarial de Google también se remonta hasta 2001
https://www.cnet.com/tech/tech-industry/apple-google-seek-ap...
Un “efecto secundario” de esto es que Google, en la práctica, podría impedir el bloqueo de anuncios
Por supuesto, mucha gente pensará que eso no es un efecto secundario, sino el objetivo final
Parece que todo el mundo da por sentado que esto es DRM
El argumento real es que los sitios web usarían esta señal para permitir o denegar el acceso, y eso ya es posible de varias maneras. Google u otros proveedores de navegadores no pueden decidir cómo un sitio web usa o abusa de una función
Para la prevención de fraude se necesitan veredictos determinantes y una cobertura amplia, pero existe la tensión de que los sitios web podrían excluir a ciertos certificadores o navegadores que no pueden certificarse. Ese riesgo ya existe y, de hecho, ocurre. La razón por la que no se ha generalizado no es que sea imposible, sino que no es popular. Sitios donde estás obligado a usarlo, como los bancos, lo hacen todos los días, y como no hay alternativa, la gente lo acepta
Muchos artículos repiten el argumento de “DRM” sin explicar en qué se diferencia esto, qué tiene que ver Google con el trato que los sitios web dan a sus usuarios, o qué solución habría. Hay que sospechar de toda iniciativa de Google, pero aquí solo se ve gente repitiendo como loros posibles usos indebidos sin pensamiento crítico. Los textos sobre este tema solo reordenan palabras y no agregan valor, así que parecería que generarlos automáticamente con IA tendría una utilidad similar
Es posible identificar qué técnicas de fingerprinting se usan y evadirlas. Por ejemplo, yt-dlp hace eso hasta cierto punto. En Android también hubo mucho soporte para hacer que el rooteo o las ROM personalizadas parecieran Android de fábrica y así seguir usando apps bancarias. Pero según el nivel de SafetyNet que use la app, ahora eso es literalmente imposible
Antes de la certificación basada en TPM, podías controlar tu propio dispositivo. La certificación de Android SafetyNet se basa en una raíz de confianza que una ROM personalizada no puede proporcionar, así que no se puede evadir. Aunque pudieras ofrecer tu propia implementación, no serviría de nada si todos solo aceptan la que provee Google. LineageOS también tiene su propia implementación de SafetyNet, pero casi no se adopta. WEI es, en la práctica, extender SafetyNet a la web, y es diferente porque, en esencia, te quita el control sobre tu propio dispositivo
El primer objetivo de la propuesta es “permitir que los servidores web evalúen la autenticidad del dispositivo y una representación honesta del stack de software y del tráfico proveniente del dispositivo”. Es decir, permitir que un servidor web restrinja o gestione digitalmente el derecho de un usuario a acceder a contenido desde el dispositivo y el stack de software que eligió
No cabe duda de que esto es DRM. Google afirma que solo se usará para diferenciar bots y tráfico abusivo, pero esta tecnología puede abusarse fácilmente, y Google tiene tanto el incentivo como la capacidad para hacerlo. Preguntar “qué solución propones” es como preguntar cómo resolverías el problema de que alguien en la calle te apunte con un arma a la cabeza y te exija dinero, cuando el problema es que esa persona aún no tiene tu dinero en la mano. Y encima con la condición adicional de que no puedes pedirle que baje el arma hasta resolver ese problema
Incluso en la interpretación más benévola, parece una postura extremadamente ingenua. Cualquier función que pueda usarse para bloquear contenido o vigilar usuarios terminará usándose así. Eso pasa con todas las funciones existentes hoy, y sostener lo contrario roza la mala fe
Si “los proveedores de navegadores no son responsables del mal uso que hagan los sitios web”, ¿entonces deberíamos activar por defecto el acceso al sistema de archivos, la ubicación, la cámara y el micrófono sin diálogos de permisos? También podríamos revivir Java y Flash. Al fin y al cabo, si los sitios web abusan de eso, no es culpa de los proveedores de navegadores
Esto es diferente. Una certificación significativa sobre el entorno en el que se ejecuta el navegador no puede lograrse sin una cadena de confianza completa que comience con el arranque seguro, lo que permitiría a Google y a los sitios visitados verificar un bootloader aprobado por Google, un sistema operativo aprobado por Google, y controladores y software aprobados por Google. Peor aún, podrían exigir hasta software aprobado por el sitio web
¿Les darías a niños cuchillos afilados y armas cargadas, y luego te sorprenderías si alguien sale herido? Si dejamos que esta función sea posible, todos tendremos que asumir las consecuencias. Está muy claro cuáles serán esas consecuencias. No hay que hacerse los tontos
¿Tan difícil es imaginar a algún gerente de producto de YouTube calculando las pérdidas por bloqueadores de anuncios y luego pidiéndole al equipo de Chrome que los bloquee?