Google đã bắt đầu đưa WEI vào Chromium
(github.com/chromium)- Commit Chromium
6f47a22điều chỉnh cấu trúc feature để có thể truy cập toàn bộ Web API khi bật Web Environment Integrity dưới dạng Origin Trial - Thay đổi cốt lõi là chuyển
base::Featuretừcontent_features.hsang feature được tạo dựa trênruntime_enabled_features.json5, qua đó tách cờ tính năng khỏi việc kiểm soát phơi bày Web API - Web API vẫn do
RuntimeFeaturekiểm soát và vẫn ở trạng thái tắt mặc định, nhưng nếu Origin Trial bật nó thì có thể truy cập API - Nếu tắt
base::Featurebằng Finch, nó sẽ trở thành kill-switch cho toàn bộ tính năng, có thể ngăn cả việc Origin Trial kích hoạt tính năng - Thay đổi gồm 173 dòng thêm và 18 dòng xóa trên 15 tệp; WebView được bổ sung test tận dụng khả năng spoof phản hồi từ origin đã biết
Thay đổi cấu trúc mở quyền truy cập WEI API bằng Origin Trial
- Tiêu đề commit là
[wei] Ensure Origin Trial enables full feature, nhắm tới commit6f47a22trong kho Chromium - Trọng tâm của thay đổi là cho phép truy cập toàn bộ API khi kích hoạt Web Environment Integrity bằng Origin Trial
- Vị trí của
base::Featuređược chuyển từcontent_features.hsang feature được tạo từruntime_enabled_features.json5 - Trong cấu trúc này,
base::Featurecó thể được bật mặc định, nhưng việc phơi bày Web API doRuntimeFeatuređảm nhiệm và ở trạng thái mặc định thì bị tắt
Quan hệ giữa Origin Trial, RuntimeFeature và kill-switch
- Origin Trial có thể kích hoạt
RuntimeFeatuređể mở quyền truy cập API - Để có thể truy cập toàn bộ API, không chỉ
RuntimeFeaturemà cảbase::Featurecũng phải được bật; điều kiện liên quan được phản ánh trong thay đổi ởorigin_trial_context.cc - Nếu
base::Featurebị vô hiệu hóa thông qua Finch, nó hoạt động như kill-switch cho toàn bộ tính năng- Trong trường hợp này, việc Origin Trial bật tính năng cũng bị chặn
Hành vi được xác nhận bằng test WebView
- Test WebView được bổ sung bằng cách tận dụng việc có thể dễ dàng spoof phản hồi từ origin đã biết
AwWebEnvironmentIntegrityTest.javabao gồm các test xác nhận những hành vi sau- Ở trạng thái mặc định,
navigatorkhông cógetEnvironmentIntegrity - Khi bật
BlinkFeatures.WEB_ENVIRONMENT_INTEGRITY, API có thể được sử dụng - Khi vô hiệu hóa feature tương ứng, API lại không thể sử dụng
- Kiểm tra lời gọi
getEnvironmentIntegrity('contentBinding')và kết quảencode()bằng header và token Origin Trial
- Ở trạng thái mặc định,
- Test sử dụng origin
https://example.com/, headerOrigin-Trial, token Origin Trial, giá trịTOKEN_BASE64làAQIDBA==, v.v.
Đường dẫn mã và việc di chuyển tham chiếu feature
- Các tham chiếu
features::kWebEnvironmentIntegrityhiện có ở nhiều vị trí được đổi thànhblink::features::kWebEnvironmentIntegrity - Các tệp chính được thay đổi gồm
- Danh sách production flag của Android WebView cũng được đổi từ
ContentFeatures.WEB_ENVIRONMENT_INTEGRITYthànhBlinkFeatures.WEB_ENVIRONMENT_INTEGRITY
Quy mô thay đổi và thông tin commit
- Commit đã thay đổi 15 tệp, với 173 dòng thêm và 18 dòng xóa
- Các mục bug liên quan là
1439945,b/278701736 - Liên kết review là
chromium-review.googlesource.com/c/chromium/src/+/4681552 - Vị trí commit được ghi là
refs/heads/main@{#1173344}
1 bình luận
Ý kiến trên Hacker News
Là tài liệu nhập môn để nắm tình hình, bài tổng hợp của Vivaldi khá ổn
https://vivaldi.com/blog/googles-new-dangerous-web-environme...
Trình duyệt mặc định của hệ điều hành được đặt là Firefox và mọi ứng dụng khác đều tuân theo, nhưng trong lúc cài đặt, khi mở các liên kết như chính sách quyền riêng tư thì nó lại dùng Microsoft Edge. Hơn nữa, hoàn toàn không có tính năng container hóa, nên nếu muốn ngăn cookie Google ở một tab bị đọc ở tab khác thì phải mở cửa sổ riêng tư mới. Ngay sau khi gỡ cài đặt, trang hỏi lý do xóa cũng được mở bằng Edge
Mozilla nên yêu cầu trục xuất Google khỏi W3C vì việc triển khai Web Environment Integrity lần này
Sẽ có người nói “Chrome chiếm 65% thị phần, W3C không có Google thì để làm gì”, nhưng nếu Google có thể đơn phương thay đổi các nguyên tắc cơ bản của web thì W3C đã vô dụng rồi. Nếu Google muốn duy trì vẻ ngoài rằng W3C là quan trọng, họ phải rút lại triển khai này
Thật khó tin khi chỉ trong 3 ngày, tương lai tiềm tàng của web đã trở nên nguy hiểm đến vậy. Đã có một đề xuất ít vấn đề hơn nhưng vẫn tệ, tên là Private Access Tokens, đang được các ủy ban tiêu chuẩn xử lý, vậy mà Google đã phớt lờ. Họ đăng đề xuất rất đáng ngờ bằng tài khoản GitHub cá nhân, lập tức đóng góp ý và bình luận từ bên ngoài, rồi bất chấp phản đối vẫn đang nhồi một bản triển khai hoàn chỉnh vào Chromium
Điều cần thiết là hành động thực sự, và Mozilla vẫn luôn tự đặt mình là người bảo vệ trung lập “thực sự” cho lý tưởng của web. Giờ là lúc chứng minh điều đó. Chỉ đưa ra lập trường phản đối thôi là chưa đủ. Đây là một cuộc tấn công vào nền tảng đã phân biệt web với mọi hệ sinh thái đóng. Nếu ai đó đưa ra đề xuất tại W3C rằng “chỉ các trình duyệt hiện có mới được phép render trang web”, phản ứng đúng đắn không phải là “chúng tôi phản đối đề xuất đó”, mà là nghiêm túc đặt câu hỏi liệu người gửi đề xuất có đủ tư cách tham gia tổ chức đó hay không. Điều đang diễn ra bây giờ chính là như vậy
Thông thường cách này hoạt động tốt, nhưng nếu triển khai trước tiêu chuẩn quá thành công, đôi khi về sau sẽ khó chuyển sang triển khai theo tiêu chuẩn đã được phê duyệt. Vì trong quá trình tiêu chuẩn hóa thường có những thay đổi lớn
Ví dụ có CSS Grid Layout. Microsoft đã thêm nó vào IE 10 với tiền tố nhà cung cấp
-ms-, hầu như ai cũng thích nên nó được tiêu chuẩn hóa, nhưng khác biệt so với triển khai ban đầu của Microsoft khá lớn, nên trong CSS không phải cứ bỏ-ms-là CSS Grid tiêu chuẩn sẽ chạy tốtTừ khi Microsoft lần đầu phát hành trong IE 10 đến khi các trình duyệt khác bật mặc định mất 4,5 năm. Chrome đưa vào dưới dạng tính năng thử nghiệm trong vòng 1 năm, Firefox khoảng 2 năm sau đó, nhưng người dùng phải tự bật. Trong 4,5 năm đó, các trang chỉ quan tâm đến IE đã dùng định dạng
-ms-đủ nhiều đến mức Microsoft bị mắc kẹt với định dạng đó trong IE 10 và 11 thay vì tiêu chuẩnInternet do các tập đoàn lớn tạo ra, không phải các tổ chức tiêu chuẩn hóa. Tiêu chuẩn sống thực sự nằm ở WHATWG, còn phần mềm thực tế do Google, Apple, Cloudflare, Amazon làm ra. Không ai quan tâm đến W3C, và Mozilla đã mất sức ảnh hưởng từ lâu
Khi đó họ vẫn có đủ trọng lượng để nói kiểu “web là XHTML2, nếu muốn thì các anh cứ tự tạo internet riêng của mình”, nhưng bây giờ sức mặc cả đã yếu hơn nhiều
Quyết định khi ấy trao trách nhiệm cho các công ty internet lớn có thể đã hợp lý ở một mức nào đó, nhưng rốt cuộc nó là nguyên nhân dẫn đến tình trạng hiện nay, về thực chất quay lại với Microsoft Network thời kỳ đầu
[1]http://www.codersnotes.com/notes/the-microsoft-network/
Đừng chỉ phàn nàn trong phần bình luận, hôm nay hãy liên hệ với cơ quan chống độc quyền
US: https://www.ftc.gov/enforcement/report-antitrust-violation / antitrust@ftc.gov
EU: https://competition-policy.ec.europa.eu/antitrust/contact_en / comp-greffe-antitrust@ec.europa.eu
UK: https://www.gov.uk/guidance/tell-the-cma-about-a-competition... / general.enquiries@cma.gov.uk
India: https://www.cci.gov.in/antitrust/ / https://www.cci.gov.in/filing/atd
Ở đó có thể tạo một khiếu nại chống độc quyền mới một cách cụ thể
Đề xuất này thù địch với người dùng một cách triệt để đến mức khó mà phê phán trên cơ sở kỹ thuật
Đây không phải là một đề xuất tệ, mà là một đề xuất nguy hiểm, xấu xa và ác ý, nên phê bình chi tiết chỉ là công cốc. Vấn đề nằm ở toàn bộ nó và nó phải bị hủy bỏ
Phản đối âm thầm lần này sẽ không hiệu quả. Mục tiêu là làm vấn đề đủ lớn để thu hút sự chú ý của chính phủ và cơ quan quản lý, rồi khiến họ khởi động thủ tục chống độc quyền
Google có thể biến đi cùng với kiểm duyệt và những lời nhắc “hãy lịch sự”. Giờ họ đã lộ rõ bản chất, và bộ quy tắc ứng xử đã trở thành công cụ bịt miệng ý kiến phản đối, chứ không phải để củng cố thông lệ tốt và môi trường chào đón
Tôi đã chuyển sang Firefox và khuyên người khác cũng làm vậy
https://github.com/RupertBenWiser/Web-Environment-Integrity/...
Nó thù địch với người dùng một cách trắng trợn. Đây là nỗ lực đảo ngược quan hệ “user agent”, biến agent thành thứ làm việc cho nhà quảng cáo, doanh nghiệp và chính phủ đang giám sát người phía sau màn hình. Cách phần mở đầu đóng gói chuyện này như thể đó là thứ người dùng cần hoặc muốn thật kinh tởm
Nếu viết lại một cách trung thực thì sẽ là: Các công ty như Google cần nhà quảng cáo có thể biết càng nhiều càng tốt về người dùng. Doanh thu có thể phụ thuộc vào việc fingerprint môi trường client, theo dõi hành vi và lịch sử, và chứng minh rằng có một con người với đủ thu nhập khả dụng ngồi sau bàn phím. Việc khai thác dữ liệu cá nhân này là nền tảng của mô hình kinh doanh Google, và là điều thiết yếu để duy trì quyền thống trị web cùng biên lợi nhuận khổng lồ của họ
Tôi từng làm việc với các thành viên cũ của nhóm Chromium và nhìn chung cho rằng họ có năng lực và thiện chí, nhưng trong đề xuất đặc tả này tôi không thấy bất kỳ thiện chí hay năng lực nào. Cảm giác như Google đã vượt khỏi xu hướng từ từ nuốt chửng mọi thứ như trước đây, và chuyển hành vi sang một hướng trực diện hơn nhiều, mang tính độc đoán hơn
Nó cũng có lợi ích thực tế là giúp website làm được nhiều việc hơn trên web thay vì qua app. CAPTCHA có thể giảm, bot mạng xã hội cũng có thể giảm
Các nền tảng mà đa số sử dụng sẽ được hưởng lợi, và có vẻ người dùng Apple đã đang hưởng lợi như vậy
Tôi hiểu lập luận rằng môi trường mã nguồn mở sẽ trở nên tệ hơn. Nhưng google.com vẫn sẽ hoạt động. Những thứ làm trải nghiệm người dùng tệ đi sẽ là các website khác
Có nhiều lý do để phản đối vấn đề này, nhưng tác động của nó đến công cụ tìm kiếm thì chưa được bàn đến nhiều.
Nếu các website triển khai thứ này, việc người mới tham gia xây dựng một công cụ tìm kiếm web sẽ trở nên gần như bất khả thi. Các bên đang có vị thế có thể đưa client của mình vào danh sách cho phép hoặc chứng thực chúng, rồi phân loại mọi client scraping khác là bot.
Dù không có lý do nào khác, tôi cũng không hiểu làm sao có thể cho phép Google, một công ty tìm kiếm, thúc đẩy một thứ có thể dùng sức mạnh thị trường ở lĩnh vực khác như trình duyệt để bóp chết cạnh tranh.
Dù IE khét tiếng là gây đau khổ, công cụ trình duyệt của Microsoft thời IE và Edge vẫn đáng được cảm ơn vì đã tạo ra cạnh tranh trong lĩnh vực này. Nhưng giờ chỉ còn Chrome (Blink), Firefox (Gecko) và Safari (WebKit), và sau khi Chrome chiếm được thị phần áp đảo thì họ đã làm gì cũng khá rõ rồi.
Có lẽ cũng có những Googler thật lòng tin rằng họ đang làm cho web an toàn hơn, nhưng lùi lại một bước mà nhìn thì lý do thật sự có vẻ khá rõ ràng.
https://github.com/RupertBenWiser/Web-Environment-Integrity/...
Hoặc chỉ cần gửi một header yêu cầu chứa HMAC của URL bằng khóa bí mật dùng chung là được.
Cơ bản hơn, tại sao lại phải scrape nội dung do chính mình sở hữu? Cứ tạo một kênh hậu trường tùy ý để truy cập dữ liệu, như cách Google dùng để đưa kết quả YouTube vào trang kết quả tìm kiếm. Hoàn toàn không cần cung cấp một website có thể scrape một cách hữu ích.
Một bài viết ôn hòa khác của The Register.
https://www.theregister.com/2023/07/25/google_web_environmen...
Dù đặc tả vẫn còn nửa vời, phản ứng phản đối tuần trước đã đến rất nhanh; kho GitHub của WEI tràn ngập các bình luận phần lớn là chỉ trích, và cũng có cả lời lẽ lăng mạ nhắm vào tác giả đề xuất. Các lập trình viên Google đã hạn chế để chỉ những người từng đóng góp cho kho trước đó mới được bình luận, đồng thời đăng tài liệu quy tắc ứng xử như một lời nhắc giữ lịch sự.
Đây là cách thường thấy để đối phó với phản đối ngày nay.
Riêng với các nhà báo hoặc những ai muốn liên hệ trực tiếp với tác giả đặc tả, có thể xem website công khai của anh ấy. Nó nằm trong một kho khác trên hồ sơ GitHub nơi đăng đặc tả, và cũng có email cá nhân. Việc anh ấy từng viết câu dưới đây vào năm 2022 thật phi lý đến đau đớn:
“Cuối cùng tôi quyết định biến nó thành một app. Đó là lúc bắt đầu phát sinh chi phí. Để build app iOS, tôi phải mua một chiếc MacBook Pro đã qua sử dụng. Chiến lược của Apple rất rõ ràng và thật sự hiệu quả, nhưng việc không thể tạo app chỉ với một laptop Linux vẫn khiến tôi cực kỳ tức giận. Để duy trì app hơn một tháng và để bạn bè dễ cài đặt, tôi phải trả 99 đô la cho tài khoản nhà phát triển. Apple, tôi hiểu là các bạn muốn buộc mọi người dùng App Store, nhưng như thế này thì hơi tàn nhẫn. Để tiếp tục dùng app nhỏ của mình, giờ thực tế tôi phải trả 99 đô la mỗi năm.”
[0] https://benwiser.com/blog/I-just-spent-%C2%A3700-to-have-my-...
Tâm trí con người không được thiết kế cho một mạng xã hội Internet ở quy mô Internet, nơi có nhiều giọng nói khác nhau hơn cả số nhịp tim trong suốt một đời người.
Có một việc nhỏ nhưng thực sự có thể làm được: nhẹ nhàng chèn thông điệp khuyến nghị dùng Firefox vào website của mình
Không nhất thiết phải thật nổi bật, chỉ cần một dòng chữ nhỏ là được. Có thể khuyên dùng Firefox hoặc một trình duyệt không dựa trên Chromium khác
Tôi cũng đã thêm vào website của mình: https://geeklaunch.io/
Tôi chỉ cho nó hiển thị trên các trình duyệt dựa trên Chromium. Từng chút một vẫn có thể thay đổi xu hướng
Website này được thiết kế cho Firefox, một trình duyệt web tôn trọng quyền riêng tư
Class
.hiddenchỉ cần ẩn phần tử bằng cách nào đó là được; ở đây xử lý như.hidden { display: none; }Dù là người dùng Firefox, từ khá lâu rồi tôi không chỉ có cảm tình tốt với Mozilla. Trước khi quảng bá như vậy, tôi muốn biết Mozilla đang đứng về phía đúng trong vấn đề này
Dù có giải thích khác biệt, 99% sẽ quên vào ngày hôm sau
Rốt cuộc là vô nghĩa. Với kiểu lạm dụng quyền lực quá mức như thế này, chỉ có sự can thiệp và quản lý của chính phủ mới giúp được. Google không phải đối tượng có thể chống lại bằng ví tiền, họ quá lớn
Dù đổi user agent rõ ràng thành Firefox hay Safari thì nó vẫn tiếp tục xuất hiện
Tôi cảm thấy trong toàn bộ chuyện này vẫn có một điểm sáng. Khi World Wide Web ngày càng bị thanh lọc và khử trùng bởi quy tắc ứng xử, kiểm duyệt doanh nghiệp, quảng cáo, săn phù thủy và đủ loại hạn chế, tôi hy vọng những phần có giá trị và thú vị sẽ chảy sang các không gian thay thế
Internet ngày xưa là nơi tụ họp của dân lập dị, những người kỳ quặc, kẻ ngoài lề và những người có xu hướng phản xã hội. Mọi thứ đều được phép và mọi thứ đều có thể. Nhiều người, trong đó có tôi, đã hy vọng nó sẽ thay đổi thế giới, nhưng điều đó đã không xảy ra. Như mọi người đều thấy, thế giới lại đang thắng. Dù vậy, tôi vẫn hy vọng quá trình bình thường hóa web có thể tạo ra một khối lượng tới hạn những người muốn thứ gì đó hơn là một vùng an toàn cho doanh nghiệp
Tôi thật lòng mong có một tương lai nơi các giao thức như Gemini—loại bỏ nhiễu thị giác và các tính năng “động”—thu hút đủ người dùng. Mà nếu không thì, với tư cách người không dùng mạng xã hội chính thống, các dịch vụ của Google và Microsoft, LLM và những thứ hiện đại, phản địa đàng khác, tôi cũng chẳng mất nhiều. Có đủ sách hay để lấp đầy cả trăm kiếp sống, có đủ đường núi để đi bộ và bạn bè để uống rượu. Có khi còn tốt hơn
Giờ đây, nghiệp vụ ngân hàng phần lớn đã chuyển lên trực tuyến và các ngân hàng đã đóng rất nhiều chi nhánh vật lý. Việc tiếp cận dịch vụ chính phủ ở nhiều quốc gia cũng tương tự. Điều đáng lo ở đây là ngay cả khi một Internet sở thích nhỏ cho dân lập dị và người ngoài lề vẫn sống sót, ta có thể sẽ không làm được các công việc hằng ngày quan trọng nếu không có trình duyệt được hỗ trợ
Cần kéo Wikimedia Foundation vào cuộc, và Wikipedia hoặc các host MediaWiki lớn khác nên không hiển thị bất kỳ nội dung nào nếu phát hiện tính năng này trong trình duyệt
Ngoài ra, nếu là người bảo trì bản phân phối, nên đặt mặc định của Apache và nginx theo cách đó
Xa hơn nữa, thay vì chuyển hướng tới một bức tường chữ dài giải thích lý do chính trị và kỹ thuật, tốt hơn là chỉ hiển thị một thông báo ERROR thật lớn rằng trình duyệt không được hỗ trợ vì mô-đun này, và nếu có thể thì kèm hướng dẫn ngắn để vô hiệu hóa trong
about:configQuản trị viên hệ thống có thể thay đổi cấu hình, nhưng ở đây đang nói về giá trị mặc định
Tuy nhiên, các đề xuất còn lại có vẻ ổn. Người bảo trì bản phân phối cũng có thể tắt WEI trong cấu hình mặc định phía client, hoặc không đưa các chương trình client có WEI vào
Thật thất vọng khi thấy họ quay ngoắt 180 độ từ “don’t be evil” như thế này
Tôi đang khuyên tất cả bạn bè và gia đình dùng Mozilla Firefox
Ngay cả trong số bạn bè làm kỹ thuật của tôi, nhiều người vẫn tiếp tục dùng Chrome vì tiện, dù khi có thứ gì đó thực sự không chạy trên Firefox thì chỉ cần quay lại Chrome là được. Làm sao thuyết phục những người không rành công nghệ đây
Giờ cô ấy đang dùng Firefox rất ổn với uBlock Origin không bị giới hạn tính năng
Lần cuối tôi kiểm tra, hỗ trợ nhiều hồ sơ cũng vẫn ở trạng thái nửa vời ở đâu đó