Các kỹ sư Google đề xuất Web Environment Integrity có thể khiến việc chặn quảng cáo gần như bất khả thi
(stackdiary.com)- Web Environment Integrity do 4 kỹ sư Google tạo ra từng là một đề xuất API cho phép website yêu cầu token bằng chứng về môi trường client của người dùng, và Google đã hủy bỏ đề xuất này vào ngày 2 tháng 11 năm 2023
- Mục tiêu bề ngoài là tăng độ tin cậy và bảo mật cho web, như xác minh người dùng là con người trên các trang quảng cáo, nhận diện tương tác giả trên mạng xã hội, và kiểm tra việc tuân thủ luật chơi trong game trực tuyến
- Mozilla cho rằng phát hiện gian lận và lưu lượng truy cập không hợp lệ là vấn đề cần giải quyết, nhưng phản đối vì chưa rõ đề xuất này tạo ra tiến triển gì trong các tình huống sử dụng thực tế và có nhược điểm rõ ràng
- Những người chỉ trích lo ngại rằng dù token không có định danh duy nhất, nếu bị lạm dụng thì vẫn có thể dẫn đến giám sát và kiểm soát, đồng thời đưa DRM vào trang web khiến việc chặn quảng cáo trong trình duyệt gần như bất khả thi
- Việc ai nắm quyền kiểm soát attester và ai quyết định các yêu cầu tiêu chí vẫn không rõ ràng, để lại nguy cơ làm tổn hại web mở khi các tập đoàn công nghệ lớn có thể chi phối điểm tin cậy và khả năng truy cập web
Đề xuất Web Environment Integrity và việc bị hủy bỏ
- Google đã đề xuất “Web Environment Integrity Explainer”, tài liệu này do 4 kỹ sư Google viết
- Theo bản cập nhật ngày 2 tháng 11 năm 2023, Google đã hủy bỏ đề xuất này và có liên kết riêng tới bài viết tiếp theo liên quan
- Bản cập nhật ngày 26 tháng 7 năm 2023 giới thiệu một commit có vẻ cho thấy động thái đưa tính năng này vào Chromium
- Rupert Ben Wiser, một trong các tác giả đề xuất, đã để lại bình luận trên GitHub cho biết ông cảm nhận được phản ứng dữ dội
Các trường hợp sử dụng mà cơ chế xác minh bằng token nhắm tới
- Ý tưởng cốt lõi là website yêu cầu một token chứa bằng chứng về môi trường mã phía client, nhằm tăng mức độ tin cậy của môi trường truy cập
- Các trường hợp sử dụng mà đề xuất nêu ra được tóm gọn thành ba nhóm
- Website dựa trên quảng cáo xác minh người dùng là con người chứ không phải bot
- Website mạng xã hội phân biệt tương tác thật của người dùng với tương tác giả
- Người chơi game trực tuyến xác minh rằng những người chơi khác đang tuân thủ luật chơi
- Phía Google nói rằng token không chứa định danh duy nhất, nhưng những người chỉ trích cho rằng nếu bị lạm dụng thì vẫn có thể dẫn đến giám sát và kiểm soát không chính đáng
- Mozilla trong vấn đề về lập trường tiêu chuẩn cho rằng phát hiện gian lận và lưu lượng không hợp lệ là điều đáng giải quyết, nhưng phản đối vì cách đề xuất này tạo ra tiến triển thực chất là không rõ ràng và cái giá phải trả khi chấp nhận là rất rõ
Lo ngại về DRM, tiện ích mở rộng và quyền kiểm soát attester
- Những người chỉ trích cho rằng API này có thể bị dùng để kiểm soát hành vi người dùng trên web, đồng thời âm thầm đưa DRM vào trang web để khiến việc chặn quảng cáo trong trình duyệt gần như bất khả thi
- Khả năng này làm dấy lên lo ngại không chỉ về trải nghiệm người dùng mà còn về tính trung lập mạng và tính mở của web
- Việc ai kiểm soát attester dùng để xác minh môi trường client trở thành điểm tranh cãi cốt lõi trong cộng đồng kỹ thuật
- Có lo ngại rằng nếu Google hoặc các tập đoàn công nghệ lớn khác kiểm soát attester, họ có thể thao túng điểm tin cậy
- Cấu trúc này có thể bị cố định thành mô hình trong đó một số công ty quyết định website nào là đáng tin
- Tác động đối với trình duyệt đã chỉnh sửa và tiện ích mở rộng cũng vẫn chưa rõ
- Đề xuất nêu rằng Web Environment Integrity sẽ chứng thực tính hợp lệ của phần cứng nền tảng và ngăn xếp phần mềm cơ sở, chứ không hạn chế các tính năng ứng dụng được công bố
- Cách diễn giải này áp dụng ra sao với tiện ích mở rộng được cho phép hoặc với trình duyệt đã sửa đổi vẫn là vùng xám
- Đề xuất nói rằng attester phải cung cấp dịch vụ với cùng điều kiện cho mọi trình duyệt đáp ứng các yêu cầu tiêu chí nhất định, nhưng yêu cầu tiêu chí đó được xác định và thực thi như thế nào thì vẫn không rõ
1 bình luận
Ý kiến trên Hacker News
Các cuộc thảo luận trước đó: Web Environment Integrity API Proposal – https://news.ycombinator.com/item?id=36817305 (618 điểm/4 ngày trước/442 bình luận), Google Chrome Proposal – Web Environment Integrity – https://news.ycombinator.com/item?id=36778999 – (117 điểm/7 ngày trước/94 bình luận), Web Environment Integrity Explainer – https://news.ycombinator.com/item?id=36785516 (87 điểm/6 ngày trước/44 bình luận)
Đây không chỉ đơn giản là “khiến việc chặn quảng cáo gần như bất khả thi” như tiêu đề, mà là khiến chỉ có thể duyệt Internet trên Chrome, Safari, Edge, đồng thời chặn cả việc chỉnh sửa hay mở rộng
Nó sẽ khiến việc đó chỉ khả thi trên macOS, Windows, Android, iOS, và loại trừ các bản phân phối Android tùy biến như LineageOS hay GrapheneOS
Nó còn bao gồm cả việc biến thu thập dữ liệu Internet thành thứ chỉ Google mới làm được, ngăn các hoạt động crawl tư nhân và các công cụ tìm kiếm cạnh tranh
Khi đó RISC-V hiện vẫn chưa được, và kể cả sau này có hỗ trợ thì cạnh tranh CPU cũng không được cho phép
SoC cũng chỉ có thể là những loại họ cho phép, và các form factor như máy tính bỏ túi có trình duyệt web cũng có thể bị loại trừ
Như Android từng đưa vào UX trình duyệt lấy tài liệu làm trung tâm, ngay cả thay đổi UX ở cấp OS cũng có thể bị kiểm soát
Từ góc nhìn của người đến từ phía Android, những ví dụ như vậy trông như các trường hợp đã áp dụng cho Google/Android
[0] Phần này phụ thuộc vào việc triển khai Web Environment Integrity có cưỡng chế toàn bộ secure boot được họ phê duyệt hay không
[1] Có máy tính bỏ túi chạy Android, nhưng vì không phải Google/Android nên có thể không chạy được Chrome. Cũng có nhiều thiết bị Android kỳ lạ như robot đi bộ, bàn chải đánh răng, bồn tiểu
[2] Có thể có ví dụ tốt hơn, nhưng điểm quan trọng là đó là thay đổi trên toàn bộ OS hơn là cạnh tranh trình duyệt
Chỉ những bên như Intel, AMD, Qualcomm mới được, còn firmware·kiến trúc·phần cứng mã nguồn mở sẽ bị loại trừ
Các dịch vụ và sản phẩm công nghệ kiểu này sẽ không được họ mong muốn hoặc không thể tiếp cận, còn Thế giới thứ ba bị buộc phải dùng giải pháp riêng và cũng có khả năng đi theo hướng sáng tạo hơn, không xoay quanh quảng cáo
Cách tốt nhất để đi vòng xu hướng này là tập trung vào các công cụ xuất bản liên hợp
Muốn phá Internet, các doanh nghiệp phải gây hại hơn cả chiến tranh hạt nhân, và chúng ta luôn có thể định tuyến vòng qua họ
Tôi không hiểu làm sao các kỹ sư phần mềm tạo ra những thứ như thế này vẫn có thể tiếp tục làm việc
Tôi tự hỏi liệu các kỹ sư được trả lương hay những người liên quan có không đủ dũng khí hay phẩm giá để nghỉ việc hay không
Nếu tôi bị yêu cầu thúc đẩy một thứ như vậy, dù nhận được đề nghị nào tôi cũng sẽ rời đi ngay, và thật khó tin là trong nội bộ Google không có ai phản đối
Nếu nó thật sự được phát hành, tôi hy vọng cuối cùng Google sẽ chịu phản tác dụng thật nặng
Đây có thể cũng là lý do vì sao lập trình ngày nay trông như được tạo ra bởi nhóm 10% kém tài năng nhất
Dù vậy, người ta vẫn làm vì tiền. Khoảng năm 2015 tôi đã từ chối một đề nghị từ FAANG, vì phải chuyển sang bờ bên kia nước Mỹ và tôi nghĩ mình sẽ không ngủ nổi nếu làm cho một công ty như vậy
Tổng đãi ngộ năm đầu là 250.000~350.000 USD tùy hiệu suất, và còn có signing bonus
Đến giờ, mỗi khi chật vật kiếm việc hằng tháng bằng nghề tự doanh/hợp đồng, tôi vẫn nửa hối hận về quyết định đó
Bất kể phẩm giá hay dũng khí, nếu có gia đình phải nuôi, khoản vay thế chấp, chi phí y tế, thú cưng, sở thích, thì không dễ cứ “đạp cửa bỏ đi” khỏi tiền lương
Công việc chiếm một phần lớn thời gian và đời sống xã hội, và quyết định rời bỏ đồng nghiệp cùng bạn bè làm chung cũng không dễ
Kỳ vọng các kỹ sư sẽ chết thay chúng ta trên ngọn đồi này là rất bất công
Google có thể thay thế họ trong chớp mắt nên kết quả gần như bằng 0; theo tôi, việc chỉ trích họ vì không đặt sinh kế và sức khỏe của bản thân cùng gia đình vào rủi ro vì danh dự hay đạo đức gần như là đổ trách nhiệm cho người khác
Cũng không khó để nghĩ rằng có kỹ sư tự bản thân muốn làm công việc như vậy
Chẳng phải cứ nhận tiền của ác quỷ rồi chiến đấu với kế hoạch của hắn là được sao
Trong ngành công nghệ có quá nhiều việc hào nhoáng, nên có thể khiến dự án hỏng mà trông như tình cờ
Tôi cũng hy vọng một số kỹ sư nội bộ Google hiện đang làm như vậy
Tiền lớn kéo người vào Big Tech và làm hỏng điều gì đó; lần sau ít nhất nên nghĩ xa hơn hai nước đi
Bản thân bài viết thì thận trọng và ổn, nhưng tiêu đề là kiểu clickbait ngu ngốc
Nếu không có kế hoạch cho phép các tổ chức độc lập trở thành bên chứng thực (attester), thì đây là mối đe dọa rõ ràng đối với phần Internet mở còn lại
Việc Google hay Apple không chỉ rõ điểm này có vẻ như là con chim hoàng yến chết lớn nhất trong mỏ than
Đây là tình huống các công ty tư nhân đã độc quyền một phần Internet nói lấp lửng rằng “đừng lo, chúng tôi sẽ xử lý”, nhưng tuyệt đối không được để chính họ đảm nhận việc chứng thực
Có hai rủi ro: các yêu cầu mang tính đối địch như “agent không bao gồm trình chặn quảng cáo”, “cấm scraping nếu không có sự cho phép rõ ràng của website”, và các yêu cầu mang tính cấm đoán kiểu “triển khai giao thức X/Y/Z và tiêu chuẩn A/B/C” — từng yêu cầu thì hợp lý nhưng khi cộng lại chỉ các nhà cung cấp lớn mới gánh nổi
Hơn nữa, các tiêu chuẩn này phải có thể kiểm chứng được, nên nếu người dùng sửa đổi agent thì bản thân chứng thực trên thực tế sẽ mất hiệu lực
Khi đó đối thủ của Google sẽ bị chặn. Bên chứng thực có thể giải quyết vấn đề này như thế nào?
Nếu bạn đọc bài này bằng Chrome, thì chính việc đó đã là một phần của vấn đề
Nếu Google không có vị thế gần như độc quyền, chuyện khủng khiếp như thế này có lẽ đã không có khả năng xảy ra
Vì một Internet mở, cần chuyển sang trình duyệt khác. Trên desktop thì Firefox là tốt nhất, và trình duyệt dựa trên Chromium cũng có thể đỡ hơn miễn là không phải Chrome
Firefox trên Android yếu vì tiện ích mở rộng rất hạn chế, nhưng vẫn tốt hơn Chrome vốn không có tiện ích mở rộng nào, còn trên iOS thì chỉ là một lớp bọc Safari không có tiện ích, nhưng đồng bộ thì hoạt động tốt ở mọi nơi
Tuy nhiên không nên quên rằng vào năm 2011, 85% doanh thu của Mozilla đến từ Google thông qua hợp đồng công cụ tìm kiếm mặc định
Có thời điểm Google đã trả khoảng 1 tỷ USD trong 3 năm, và được cho là giá đã tăng khi Microsoft tham gia đấu thầu để Bing làm mặc định
Vì vậy mỗi khi Mozilla chỉ trích Google, trông khá gượng gạo như đang cắn vào bàn tay nuôi sống mình
Họ có thể ký với Microsoft, Yahoo, DDG, Baidu, nhưng nếu Google không còn quan tâm thì nguồn tiền có lẽ sẽ giảm
Dù vậy, việc cả Firefox và Chrome đều là mã nguồn mở vẫn là một lớp bảo hiểm nhỏ trước những trò hạn chế tự do của các gã khổng lồ công nghệ
https://news.ycombinator.com/item?id=36770883
Nhưng Chrome trở nên quá thống trị, còn Google bắt đầu dùng sức ảnh hưởng quá mức trong các ủy ban tiêu chuẩn hóa, nên vài năm trước tôi đã quay lại Firefox
Khi thật sự cần Chromium thì tôi dùng Edge, và thật ra tôi khá thích nó
Nếu tạo bộ sưu tập tiện ích mở rộng trong tài khoản Mozilla, bạn có thể dùng bất kỳ tiện ích nào, và nhiều tiện ích vẫn hoạt động nguyên vẹn
Các engine dựng trang hiện có đã phát triển cùng với tiêu chuẩn, nhưng đặc biệt là tiêu chuẩn CSS đã trở nên phức tạp đến mức vô lý, khiến việc triển khai một engine mới gần như bất khả thi
Ngay cả Microsoft cũng bỏ cuộc và Edge về thực chất đã trở thành Chrome
Dù Chrome dựa trên mã nguồn mở, ảnh hưởng thực tế của Google vẫn khổng lồ
Nếu Google nghiêm túc với kế hoạch này, họ sẽ cố nhồi nó vào các dự án và biến nó thành yếu tố bắt buộc của trải nghiệm web; hơn nữa họ cũng là nhà tài trợ lớn của Firefox nên cũng có ảnh hưởng ở phía đó
Câu trả lời mới nhất của kỹ sư Google hoàn toàn thiếu cảm giác thực tế: https://github.com/RupertBenWiser/Web-Environment-Integrity/...
Ngay cả nếu được triển khai, rất có thể nó sẽ bị âm thầm gỡ bỏ khi sự phẫn nộ lắng xuống
Nếu vẫn còn, chỉ cần tỷ lệ đủ thấp thì người dùng không vượt qua chứng thực sẽ bị dội CAPTCHA hoặc đơn giản là bị bảo rời đi
Cứ thử lang thang trên web bằng TOR là sẽ nếm được mình sẽ bị đối xử thế nào
Toàn bộ bài viết có thể tóm gọn là “cứ tin tôi đi”
Họ nói nếu làm web riêng tư hơn mà không có API mới, có thể sẽ tăng các rào đăng nhập để truy cập nội dung cơ bản, fingerprinting xâm phạm hơn, và các thử thách quá mức như xác thực SMS/CAPTCHA; tôi tò mò liệu có dữ liệu nào chứng minh những lập luận này không
Con đường hiện tại hoàn toàn sai lầm và liều lĩnh, và bước đầu tiên để cùng làm việc là từ bỏ toàn bộ cách tiếp cận này
Nó giống như đề xuất giải quyết nóng lên toàn cầu bằng mùa đông hạt nhân, không phải vấn đề có thể xử lý bằng cải tiến lặp lại hay tìm điểm trung dung
Chính tiền đề của đề xuất này đã nguy hiểm nên cần bị loại bỏ
Chỉ cần nghĩ đến vô số cách nó có thể bị lạm dụng, và chắc chắn sẽ bị lạm dụng
Thấy bình luận trên GitHub bị khóa nên tôi viết ở đây
Nếu tôi đang làm việc cho ác quỷ và biết rõ điều đó, có lẽ tôi cũng sẽ làm vậy
Đáng tiếc là tất cả chúng ta sẽ vui vẻ chấp nhận chuyện này
Vì Chrome “tiện lợi”
Người ta chấp nhận bất cứ thứ gì để đổi lấy sự tiện lợi, và WhatsApp là một ví dụ điển hình. Hàng trăm triệu người trên khắp thế giới sẵn sàng chia sẻ và đồng bộ toàn bộ danh bạ điện thoại của mình với Facebook/Meta
Nếu bạn quan tâm thì đừng dùng Chrome. Nếu vừa chỉ trích động thái xấu xa này vừa tiếp tục dùng Chrome, bạn là một phần của vấn đề
Ngoại lệ là tôi vẫn còn dùng Google Search
Khi các mô hình ngôn ngữ lớn phát triển, có lẽ một ngày nào đó nếu tự chạy LLM, tôi có thể hoàn toàn thoát khỏi sự phụ thuộc vào các công ty độc quyền
Nếu không dùng WhatsApp, đặc biệt ở các nước mà gần như ai cũng dùng như Đức hay Ấn Độ, bạn sẽ phải chịu chi phí xã hội, không thể giao tiếp với người dùng khác hoặc tham gia chat nhóm
Chi phí không dùng Chrome gần như bằng 0. Vẫn dùng cùng các website đó, chỉ cần dùng Firefox là được
Chẳng phải ngành web dựa vào quảng cáo thật sự đang tuyệt vọng trong việc xác thực con người và bot hay sao
Không có lý do gì khiến bot không thể được nối với một thiết bị “có thể chứng minh” bằng nguồn video và thiết bị nhập liệu để dùng Internet
Việc này chỉ nâng mức độ tinh vi cần có của bot lên mà thôi
Ở một thread khác còn có người nói đến chuyện chĩa camera vào điện thoại và dùng “ngón tay” robot để thao tác
Có WEI thì CAPTCHA không hiện ra, nên có khi còn dễ hơn. Dù sao thì nó cũng sẽ trông như “con người”
Click của bot cũng là click và vẫn có thể tính tiền
Tôi từng đọc một bài nói rằng 80–90% click quảng cáo trên Facebook là bot, và con số đó cũng tương tự với lưu lượng các website thương mại mà tôi xử lý
Phần lớn traffic đến từ bot, crawler, scanner và “nhà nghiên cứu bảo mật”
Thỉnh thoảng cũng thấy những trò gian lận thật sự, như các bộ tăng traffic tiếp thị liên kết mỗi ngày lặp lại 200 lần kiểu bấm vào banner để đặt hàng rồi không thanh toán, nhưng miễn là số liệu trông đẹp thì chẳng ai quan tâm
Không thể tin Google trong việc phụ trách quảng cáo
Chỉ riêng hôm nay tôi đã thấy 3 quảng cáo từ Hồng Kông giả danh Macy’s và Bed Bath & Beyond, còn trên YouTube thì quảng cáo Mr Beast giả lại quay trở lại
Tôi còn chưa muốn nhắc đến quảng cáo Queen's Blade gần như khiêu dâm
Tôi không hiểu sao chuyện này lại được xem là ổn, và Google có thể biện minh thế nào cho việc muốn chặn các trình chặn quảng cáo
Tôi coi trình chặn quảng cáo là một hàng rào bảo mật còn quan trọng hơn vaccine, và với tôi điều đó gần như đã đúng suốt 10 năm qua
Tôi đã làm phần của mình, trên website của tôi hiển thị dòng “Không thể sử dụng trên Chrome. Hãy dùng một trình duyệt hiện đại và mở hơn…” kèm phần giải thích
Nếu phần lớn chúng ta, các developer, làm như vậy thì thay đổi này sẽ không có cơ hội
Tốt hơn nữa là ai đó tạo một tệp JS để người khác chỉ cần include vào, rồi hiện popup chặn bắt buộc cho thấy web tương lai sẽ trông như thế nào
Sẽ càng tốt nếu có kèm phần giải thích hay và liên kết đến video liên quan