Apple đã triển khai chứng thực thiết bị web từ trước, và chúng ta hầu như không nhận ra
(httptoolkit.com)- Trong lúc đề xuất Web Environment Integrity của Google gây tranh cãi, Apple thực ra đã triển khai một hệ thống chứng thực thiết bị web tương tự là Private Access Tokens trên macOS 13, iOS 16 và Safari
- Private Access Tokens hoạt động theo cách: khi máy chủ gửi HTTP 401 cùng thử thách
PrivateToken, trình duyệt và hệ điều hành sẽ xác minh trạng thái thiết bị với attester rồi gửi lại yêu cầu kèm token đã ký - Cloudflare và Fastly đã tích hợp cơ chế này để giảm CAPTCHA, nhưng cùng một cấu trúc đó cũng tạo nền tảng để máy chủ web yêu cầu thiết bị của người dùng chứng minh mình là client hợp lệ
- Thị phần Safari chỉ khoảng 20% nên tác động còn hạn chế, nhưng họ Chromium chiếm hơn 70%, nên nếu đề xuất của Google cũng được bổ sung thì khoảng 90% web client có thể trở thành đối tượng bị attestation
- Attestation có thể loại trừ trình duyệt mới, hệ điều hành mới, phần mềm nguồn mở và thiết bị đã bị người dùng chỉnh sửa, đồng thời có nguy cơ các quy tắc bị siết chặt dựa trên những điều kiện như thời hạn hỗ trợ chính thức hay việc có cài tiện ích chặn quảng cáo hay không
Việc triển khai và mục đích của Apple Private Access Tokens
- Mối lo ngại đang gia tăng quanh đề xuất Web Environment Integrity, dường như do các tác giả của Google phát triển và đang được tạo nguyên mẫu trong Chromium
- Đề xuất này tương ứng với attestation trên web, nơi quyền truy cập vào tính năng hoặc thậm chí toàn bộ website có thể bị giới hạn tùy theo việc client có được một đơn vị phát hành đáng tin cậy phê duyệt hay không
- Những đơn vị phát hành đáng tin cậy trên thực tế nhiều khả năng sẽ là Apple, Microsoft và Google
- Apple thực ra đã phát triển và triển khai từ 1 năm trước một hệ thống rất giống là Private Access Tokens, hiện đã được tích hợp vào macOS 13, iOS 16 và Safari
- Apple giới thiệu Private Access Tokens là “một công cụ mạnh mẽ giúp chứng minh rằng yêu cầu HTTP đến từ một thiết bị hợp lệ mà không tiết lộ danh tính”
- Mục tiêu chính của tính năng này là loại bỏ CAPTCHA, và Cloudflare cùng Fastly đã tích hợp nó như một cơ chế nhận diện client thực
- Giải thích từ Cloudflare: Eliminating CAPTCHAs on iPhones and Macs using new standard
- Giải thích từ Fastly: Private Access Tokens: Stepping into the privacy-respecting CAPTCHA-less
Cách Private Access Tokens hoạt động
- Private Access Tokens là một quy trình trao đổi tương đối đơn giản diễn ra qua HTTP; API trình duyệt tích hợp sẽ xử lý và liên kết với các thành phần của hệ điều hành để xác minh rằng trình duyệt và hệ điều hành là hợp lệ
- Ở đây, tiêu chí thế nào là “hợp lệ” do attester, tức một chủ thể như Apple, quyết định
- Luồng cơ bản như sau
- Trình duyệt gửi yêu cầu HTTP đến máy chủ web
- Máy chủ web từ chối yêu cầu và trả về phản hồi HTTP 401 cùng thử thách
PrivateToken - Trình duyệt gửi một phần của thử thách cùng thông tin thiết bị đã được xác minh do hệ điều hành cung cấp tới attester
- Attester xác nhận thiết bị là thật và chưa bị chỉnh sửa, rồi trả về token đã ký cùng với đơn vị phát hành token được origin tin cậy và cũng tin cậy attester
- Trình duyệt gửi lại yêu cầu, đặt token đã ký trong header
Authorization - Máy chủ có thể xử lý client đó theo cách khác dựa trên thực tế là client đã được xác minh bởi một nhà cung cấp đáng tin cậy
- Quy trình này đã diễn ra trên thiết bị Apple dùng Safari khi một dịch vụ có sử dụng tính năng này, như Fastly hoặc Cloudflare, nghi ngờ tính hợp lệ của yêu cầu
- Private Access Tokens tách riêng luồng origin, issuer và attester để hướng đến bảo vệ quyền riêng tư, nhưng cách một người dùng được đối xử trên web vẫn phụ thuộc vào việc Apple có xem cấu hình thiết bị, hệ điều hành và trình duyệt đó là chấp nhận được hay không
Khác biệt về mức độ lan tỏa giữa Safari và Chromium
- Chỉ riêng Private Access Tokens cũng đã là gánh nặng cho web và toàn ngành, nhưng do thị phần của Safari nên nó khó lan nhanh như đề xuất của Google
- Thị phần trình duyệt Safari hiện khoảng 20%
- Trên di động là khoảng 25%
- Trên desktop là khoảng 15%
- Chrome vượt 60% ở mọi mảng, và toàn bộ họ Chromium gồm Brave, Edge, Opera, Samsung Internet và các trình duyệt khác còn cao hơn khoảng 10 điểm phần trăm
- Trong bối cảnh chỉ Safari cung cấp tính năng này, một số nhà cung cấp có thể dùng nó, nhưng sẽ khó chặn hoặc đối xử khác với các client không có attestation
- Ngay cả khi Safari không attestation các phiên bản hệ điều hành hay trình duyệt cũ, tác động tới người dùng cũng khó lớn, và về mặt thống kê người dùng đó chỉ có khả năng gặp nhiều CAPTCHA hơn
- Khi các web client dùng Chromium đã chiếm hơn 70%, nếu Web Environment Integrity được áp dụng thì nó có thể nhanh chóng lan sang phần lớn web
- Nếu Web Environment Integrity và Private Access Tokens cùng tồn tại, khoảng 90% web client có thể trở thành đối tượng attestation, và áp lực “không có attestation thì hãy xem là đáng ngờ” có thể gia tăng
Cách attestation làm lung lay tính mở của web
- Attestation bất lợi cho cạnh tranh và đổi mới vì chỉ cho phép client được phê duyệt sử dụng
- Việc tạo trình duyệt hay hệ điều hành mới sẽ trở nên khó hơn
- Các nỗ lực nguồn mở, cộng đồng và indie quy mô nhỏ có thể liên tục bị loại khỏi các cơ chế như vậy
- Có so sánh rằng nếu thời IE6 đã có attestation, sự trỗi dậy của Firefox và Chrome hẳn sẽ gặp trở ngại rất lớn
- Cấu trúc này theo thiết kế khiến người dùng khó kiểm soát thiết bị của chính mình hơn
- Một trong những mục tiêu cốt lõi là người dùng chạy phần mềm đã chỉnh sửa sẽ không được attestation như một client hợp lệ
- Trường hợp dùng điện thoại Android đã root để duyệt web có thể bị loại bỏ
- Những hệ điều hành hoặc phần cứng mà người dùng có thể chỉnh sửa hoàn toàn sẽ khó được attestation theo đúng cách các đề xuất này mong muốn
- Các nhà cung cấp phê duyệt về sau có thể siết quy tắc hơn nữa
- “Chỉ attestation thiết bị còn trong thời hạn hỗ trợ chính thức 2 năm”
- “Không attestation trình duyệt có cài tiện ích chặn quảng cáo”
- Những người ủng hộ Web Environment Integrity cho rằng có thể ngăn việc chặn dựa trên attestation bằng holdbacks, tức từ chối attestation với một số yêu cầu
- Tuy nhiên, có lo ngại rằng do áp lực kinh doanh nên holdbacks sẽ khó phát huy tác dụng trên thực tế, và cơ chế attestation Play Integrity hiện có của Google trên Android cũng không dùng cách này
- Thành công của web phụ thuộc rất nhiều vào việc có thể tự do sử dụng nhiều loại client và server khác nhau, còn attestation thì phá vỡ tiền đề đó ngay từ trong thiết kế
Rủi ro đã xuất hiện trên Android
- Trên Android, về mặt kỹ thuật người dùng có thể tự tạo và chạy hệ điều hành riêng, và các bản phân phối Android như LineageOS cũng hoạt động bình thường
- Tuy nhiên, do tính năng attestation, nguy cơ các ứng dụng thiết yếu như app ngân hàng coi người dùng là đáng ngờ và chặn họ vẫn luôn tồn tại
- Việc cản trở cạnh tranh giữa các phiên bản Android đã là vấn đề, nhưng việc cản trở cạnh tranh ở cả trình duyệt lẫn hệ điều hành trên web có thể dẫn đến hậu quả nghiêm trọng hơn rất nhiều
- Trong Anti-Fraud Community Group cũng có các đề xuất khác cùng nhóm đang được thảo luận về những tính năng web tiềm năng tương tự
- Gian lận và bot trên web là vấn đề có thật, và việc bàn về các phương thức phòng vệ là đáng giá, nhưng việc ngăn cản cạnh tranh, làm suy yếu nguồn mở và web mở, đồng thời tước quyền kiểm soát thiết bị của người dùng không phải là một sự đánh đổi hợp lý
1 bình luận
Ý kiến trên Hacker News
Hôm qua, đề xuất ban đầu của Google nhận được rất nhiều phản ứng kiểu “việc chia tách công ty bắt đầu nghe khá hợp lý”, “biến đi Google”, “tức giận và buồn”, “danh tiếng của những người liên quan coi như chấm hết”
Hôm nay thì lộ ra rằng Apple không chỉ đã đề xuất tính năng tương tự vào năm ngoái mà còn thực sự triển khai và phát hành nó, nhưng giọng điệu lại là “đây có thể là một cơ hội thú vị để khởi động lại những giấc mơ đã biến mất từ lâu”, “tôi phần nào hiểu lập trường của cả hai bên”, “trước mắt cứ bật trong Safari và theo dõi 1–2 năm”
Nhìn chung vẫn là tiêu cực, nhưng sự khác biệt trong giọng điệu đối với Apple và Google quá rõ, và trường bóp méo thực tại có vẻ vẫn còn nguyên
Một trong số họ còn trực tiếp đăng bài lên Hacker News, nên điều đó khuyến khích hành vi quấy rối vì những người ghét họ nghĩ rằng nếu quấy rối đủ thì các bên liên quan sẽ bỏ cuộc
Apple không mất thời gian cho những việc như vậy; họ xem xét, lên kế hoạch và thực thi. Không biết được danh tính những người liên quan, thường cũng không yêu cầu phản hồi, và thậm chí hiếm khi đưa ra lý do biện minh cho kế hoạch. Nổi giận với Apple trên diễn đàn web cũng vô ích như nổi giận với một bức tường gạch
Cliché về doanh nghiệp vô danh vô diện không phải tự nhiên mà có; đó là một chính sách có chủ đích để bảo vệ nhân viên
Nhưng với Apple thì ngược lại. Họ nói quyền tự do cài ứng dụng bên thứ ba là nguy hiểm, quyền tự do dùng iMessage trong trình duyệt là vô lý, và có vẻ phần lớn không quan tâm tới quyền tự do dùng trình duyệt bên thứ ba trên iOS
Điều ấn tượng là hiệu ứng khóa chân của công ty khác thì xấu, nhưng hiệu ứng khóa chân của Apple lại được chính nhóm người dùng tích cực truyền bá
Cách của Apple gần giống một phương tiện để phân biệt người dùng là con người với người dùng không phải con người trên thiết bị Apple, và không cho phép dịch vụ tùy ý chặn trình duyệt hoặc hệ điều hành như đề xuất của Google
Nếu bạn đã dùng thiết bị Apple, nó chỉ ở mức không cần làm CAPTCHA “xác minh bạn là con người”
Tham khảo: https://developer.apple.com/wwdc22/10077
Trong khi đó, Google gần như không làm PR để kiểm soát câu chuyện, dù vẫn để một nhóm nhỏ những người ghét Google ồn ào liên tục bào mòn danh tiếng
Có vẻ họ vẫn tin rằng dư âm của một câu “don’t be evil” sẽ còn vang vọng sau 20 năm
Khi Microsoft nhét IE vào Windows thì đó là chuyện khủng khiếp, nhưng khi Apple nhét Safari vào và chặn trình duyệt cạnh tranh thì lại được nói là điều tốt nhất cho khách hàng
Đây có thể thật sự là điểm mà Internet phân nhánh. Chuyện này đã được dự báo liên tục từ thập niên 90
Một bên có thể là web doanh nghiệp “sạch”, được giới có thẩm quyền phê duyệt, nơi mọi người đều bị xác minh danh tính quá mức; bên kia là một thiên hà graynet lỏng lẻo hơn, gồm nội dung khiêu dâm và các cộng đồng phi tập trung
Nếu tất cả dân mày mò bị đẩy khỏi mạng doanh nghiệp, đó cũng có thể là một cơ hội thú vị để khởi động lại những giấc mơ đã biến mất từ lâu
Tôi từng hình dung trên Internet xuất hiện một siêu cấu trúc xã hội giống như bong bóng, đại diện cho “xã hội”. Các phiên bản nhỏ đã có từ thập niên 90, nhưng nó thực sự bùng lên cùng sự trỗi dậy của mạng xã hội như Myspace, Facebook, Twitter
Tôi không nghĩ việc “văn hóa tẩy chay” xuất hiện ngay sau đó là ngẫu nhiên. Vì khi một quảng trường công luận được ảo hóa hình thành, vấn đề tiếp theo sẽ là ai và điều gì được quyết định là thuộc về bên trong nó
Đó là thái độ kiểu “cuối cùng cũng đến lúc thử những kỹ năng mà mọi người đã chế giễu mình bấy lâu”
Vấn đề trong cả hai trường hợp là họ phớt lờ đa số người sẽ chịu khổ dưới trật tự mới. Sẽ chỉ có cực ít người rời khỏi khu vườn có tường rào của doanh nghiệp để đến xa lộ thông tin tự do
Chỉ những tiếng vọng mờ nhạt của web doanh nghiệp được lưu giữ thông qua graynet, và các nhà khảo cổ số cố gắng khai quật “bí mật” về trí tuệ đã thất lạc ẩn trong web doanh nghiệp
Có lẽ ai đó đã viết rồi, nhưng nghe khá hợp
Trong môi trường gia đình nơi đám mây công cộng và việc sử dụng cá nhân giao nhau, chẳng hạn tunnel Cloudflare Access dùng cho mục đích cá nhân và tenant doanh nghiệp MS365, người ta cũng muốn nó ở một mức nào đó
Nhưng tôi tuyệt đối không muốn nó chạm tới trải nghiệm duyệt web cá nhân hay môi trường trình duyệt cá nhân
Hiện giờ những nhu cầu này trên thực tế xung đột với nhau, và công nghệ thì đã như con mèo chui ra khỏi bao rồi
Giấc mơ cyberpunk thập niên 90 thì rất ngầu, nhưng có vẻ nó phớt lờ thực tế vật lý rằng muốn kết nối vào “net” thì luôn phải đi qua nút thắt là nhà cung cấp Internet
Rốt cuộc, có một rào cản không thể tháo gỡ đối với việc Internet có thể phản hệ thống đến mức nào
Có thể tôi sai, nhưng Web Attestation có thể là án tử đối với việc thiết bị Linux, chứ không phải Android hay Chrome OS, sử dụng web như một client bình đẳng
Linux là một nền tảng quá đa dạng và dễ bị hack để chứng thực từ xa có thể hoạt động ổn định, nên cuối cùng sẽ bị loại trừ hoàn toàn
Chỉ một vài bản phân phối “được ban phước” sẽ là ngoại lệ, nhưng những bản phân phối như vậy sẽ bị ngành công nghiệp kiểm soát và không còn liên quan nhiều đến tinh thần Linux nữa
Bạn sẽ bị bộ phân loại chống spam của hầu như mọi trang web chặn lại, và phải giải CAPTCHA 3–5 lần để truy cập những nơi được bảo vệ
Ngay cả Wikipedia cũng chặn chỉnh sửa: https://meta.wikimedia.org/wiki/Talk:Apple_iCloud_Private_Re...
Có vẻ tôi không đủ ý chí để tự bỏ các trang đó, nên có lẽ điều tôi cần lại là phía bên kia chặn không cho tải nội dung
Giờ đã nói ra ở đây thì nó không còn là bí mật nữa
https://github.com/jwise/28c3-doctorow/blob/master/transcrip...
Chúng cũng là những nền tảng đa dạng và dễ bị hack đến mức có vẻ không đủ trong một tương lai mà chúng phải chứng minh đang sở hữu phần cứng cụ thể
Tôi thường nghe nói rằng vài bản phân phối “được ban phước” sẽ chịu sự kiểm soát của ngành công nghiệp và tinh thần Linux sẽ biến mất, nhưng hiếm khi nghe giải thích cụ thể chuyện đó sẽ diễn ra như thế nào
Linux ra đời vì UNIX bị ngành công nghiệp kiểm soát; nếu tước tinh thần đó khỏi Linux, nó sẽ được fork thành một dự án cộng đồng khác
Chừng nào chưa gỡ bỏ giấy phép GPL, Linux sẽ giữ “tinh thần Linux” cho đến khi hoàn toàn không còn được sử dụng
Tôi không đồng ý với lập luận rằng vì Safari không phải trình duyệt thống trị nên nó không nguy hiểm bằng đề xuất của Google
Thực tế là Apple làm hay Google làm thì đều tệ như nhau, và Apple đã đưa ra một lựa chọn hoàn toàn đáng thất vọng
Nếu Google cố thúc ép nhưng Apple từ chối, việc áp đặt trên thực tế sẽ khó hơn nhiều. Dù thị phần không cao như Chrome, nó vẫn đủ lớn để không thể cắt bỏ toàn bộ iDevice
Ba công ty thực sự quan trọng chỉ là Apple, Google và Microsoft
Thật đáng tiếc là lần này nó lại không ngăn được thêm một thảm họa nữa
Vì vậy tôi cũng lo về các dự luật buộc Apple mở sideloading. Tôi thích ý tưởng mọi người kiểm soát hệ thống của chính mình, nhưng trên thực tế tôi sợ đó sẽ là chiếc đinh cuối cùng đóng chặt việc Google kiểm soát hoàn toàn web tới tận đầu cuối client
Mỗi khi tôi chỉ ra rằng tính năng họ triển khai không tương thích với nhiều trình duyệt, họ đều đồng loạt bảo tôi đổi từ Firefox sang Chrome
Tôi chưa từng nghe ai bảo đổi sang Safari để làm thứ gì đó hoạt động. Bản thân điều đó đã nói lên rất nhiều
Có vẻ có thể tắt tính năng này trên iOS
Vào Settings, chọn tài khoản người dùng ở trên cùng, vào “Password & Security”, kéo xuống Advanced rồi tắt “Automatic Verification”
https://blog.cloudflare.com/how-to-enable-private-access-tok...
https://support.apple.com/en-us/HT213449
System Settings -> iCloud Settings(tên người dùng) -> Password & Security -> Automatic Verification
Nếu Chrome triển khai WEI, nhiều fork Chromium cũng sẽ cho tắt dù Chrome không làm, và bạn cũng có thể dùng Firefox
Vấn đề là khi ngân hàng, cơ quan thuế và dịch vụ streaming yêu thích của bạn bắt đầu yêu cầu tính năng này
Điểm cốt lõi là một bộ phận lớn người dùng phổ thông có tính năng này
Tôi thực sự đã nhận ra chuyện này và cũng từng nghĩ đến việc viết blog, nhưng tôi cho rằng lý do duy nhất khiến nó chưa có vẻ là vấn đề là vì nó chỉ được triển khai trên các nền tảng Apple, nên các dịch vụ không có cách nào thực sự hạn chế người dùng bằng nó
Nó chỉ là một yếu tố bổ sung mà người ta có thể dùng như một tín hiệu khác
Ngược lại, đề xuất của Google quan tâm đến việc thúc đẩy nó một cách rõ ràng như một tính năng luôn bật
Phần giải thích rằng các trường hợp sử dụng như “chứng minh tính toàn vẹn nền tảng mang tính quyết định” hiện phụ thuộc vào fingerprint client thực chất là lập luận rằng một bằng chứng quyết định với entropy hạn chế sẽ thay thế fingerprinting xâm phạm và về lâu dài mở ra các thực hành thân thiện hơn với quyền riêng tư
Việc Apple triển khai trước chỉ chứng minh rằng những ai kỳ vọng Apple sẽ cứu chúng ta là ngây thơ
Lĩnh vực này thực sự thú vị và cũng dễ gây chia rẽ
Có vô số use case trên web mà người dùng muốn biết liệu mình có đang giao tiếp với một stack phần cứng và phần mềm “đáng tin cậy” hay không
Trong nhiều năm, chúng ta đã thiết kế và xây dựng với giả định rằng gần như không thể tin cậy stack, điều này làm tăng mạnh độ phức tạp và chi phí, hạn chế chức năng, và khiến mọi thứ khó hơn nhiều so với khi có thể giả định một stack đáng tin cậy
Đồng thời, như đang được chỉ ra rất nhiều hiện nay, khi các độc quyền công nghệ lớn dính vào, khái niệm tin cậy trở nên cực kỳ khó xử
Một mặt, trên thế giới chỉ có vài công ty có thể vận hành các đội kỹ thuật lớn để đối phó với những tác nhân đe dọa dai dẳng, nên cũng có lý khi muốn tin vào các cam kết bảo mật mà họ đưa ra. Nếu những cam kết đó đáng tin, chúng còn tốt hơn bất kỳ cam kết nào mà một cá nhân có thể đưa ra về phần mềm và nền tảng của chính mình
Mặt khác, theo nghĩa Plato của hacker, “được tin cậy” đồng nghĩa với “được độc quyền bảo chứng”, “có lẽ có cửa hậu của cơ quan chính phủ sở tại”, và là thêm một bước trượt xuống tương lai công nghệ mang tính phát xít, nơi có kiểm soát, thiếu đổi mới, và cuối cùng bị một số ít người chơi thống trị
Rốt cuộc, tôi nghĩ một giải pháp có khả năng thành công phải bao gồm công nghệ chứng thực phần cứng mở đáng tin cậy, chứ không dựa trên sổ đăng ký. Cần có khả năng tạo chứng thực cục bộ mạnh và xác minh độc lập
Tôi biết vài công ty công nghệ đang xử lý vấn đề này ở phía silicon, nhưng đây là bài toán rất khó, và cũng không chắc hiện có đủ nhu cầu để họ sống sót hay không
Cá nhân tôi thì trước mắt sẽ để bật thứ này trong Safari và quan sát trong 1–2 năm tới
Công nghệ DRM cũng được thảo luận bằng những thuật ngữ như vậy, nhưng mục tiêu không phải là đem lại niềm tin cho người dùng, mà là cho nhà phát triển hoặc chủ sở hữu nội dung
Rõ ràng có thể thấy chuyện này chưa chắc thực sự là vấn đề về niềm tin
Bạn phải lựa chọn có hưởng lợi từ hệ thống nhà nước hay không, và liệu cái giá đó có đáng trả hay không
Vấn đề của hầu hết các hệ thống kiểu này là chúng hoàn toàn không xử lý được ngoại lệ
Chúng hoạt động tốt với 99% dân số, còn 1% còn lại thì mặc kệ tự chịu
Giống như khi bạn muốn vào văn phòng sau giờ làm, chỉ để lấy chìa khóa xe đã quên, nhưng robot lại từ chối cho vào
Hệ thống được thiết kế an toàn, nên bạn không thể thuyết phục robot bằng lời nói. Nếu là con người, thường sẽ dễ hơn nhiều để nói chuyện, thuyết phục và tìm ra một cách giải quyết hoạt động được
Các kỹ sư rốt cuộc lại muốn giải quyết bằng công nghệ. “Có vấn đề thì tôi sẽ giải quyết, xem công nghệ của tôi khi DJ đang chơi nhạc đây”
Những chuyện tài khoản ngân hàng bị hack chỉ vì ai đó nói năng khéo léo và dựng được một câu chuyện nghe hợp lý để thuyết phục người gác cổng là con người đã xảy ra như vậy
Nếu đó là phương tiện để nói “vâng, người này là người thật” thì có thể hữu ích, nhưng đây chỉ là chứng thực hệ thống đơn thuần, nên không có cách nào biết liệu nó có thể ngăn tác nhân độc hại hay không, và liệu nó có bị hiểu sai và lạm dụng như các hệ thống khác như CORS hay không
Kết luận logic của hệ thống này sẽ là “nếu có hệ thống bình thường thì là người dùng bình thường, còn nếu không thì không phải”
Tôi hiểu phần nào lập trường của cả hai phía
Nếu nhìn thiện chí vào ý định của người khác, một web được lấp đầy bởi những con người đã được định danh và các đại diện được họ ủy quyền có thể là không gian web lý tưởng “sạch” nhất mà chúng ta có thể thấy
Một web đầy tài khoản giả và link farm thì không lý tưởng
Điểm đến rõ ràng nhất của xu hướng này là ID số do chính phủ cấp, vừa chứng minh danh tính vừa đóng vai trò đăng nhập
Nếu nheo mắt nhìn, có thể thấy đây như một bước đệm để đi tới đó
Có phải chủ nghĩa lý tưởng kiểu thập niên 70 đã thành hiện thực? Không. Nhưng tôi xem đây là một thỏa hiệp hợp lý ở mức nào đó
Nếu không thể tin chính phủ thì sao? Có lẽ đó là thứ mà không Internet nào giải quyết được. Đó là vấn đề của thế giới thực
Với tôi, nghe giống một web đã bị khử trùng hơn
Tạm gác chuyện con người rốt cuộc cũng sẽ tìm ra cách lách hệ thống đó, ngay cả khi giả định nó trở thành không gian web “sạch” nhất, thì điều đó cũng đang mặc định rằng người tiêu dùng muốn như vậy
Trong thế giới ứng dụng native đã có App Store, các kiểm soát khóa chặt và khả năng định danh ứng dụng, nhưng web vẫn thống trị thương mại, và dường như còn mạnh hơn nhờ những trường hợp như Figma
Vậy tiếng gọi đòi hỏi một web “được thanh lọc” này ở đâu? Ít nhất phía người tiêu dùng thì hoàn toàn không có vẻ như vậy
Vì sao lại cần bằng chứng danh tính mạnh đến mức phi lý như vậy? Nếu thật sự cần, Internet đã vận hành được đến nay bằng cách nào?
Nhưng hiện tại, thực ra chẳng ai đề xuất điều như thế. Cách của Apple hay Google đều chưa đến gần mức đó. Điều họ nói sẽ làm là bảo đảm “tính toàn vẹn” của nền tảng
Chính xác là tính toàn vẹn nào? Trong ví dụ, nó cho thấy người dùng đang chạy web client trên một thiết bị Android an toàn
Tức là nó không cho biết người dùng có phải là một người duy nhất hay không, cũng không cung cấp một định danh hữu ích nào về cá nhân. Trong ví dụ này và trường hợp của Apple, điều nó cho biết chỉ là thiết bị chưa bị root hoặc jailbreak
Trên thực tế, khái niệm này chỉ hữu ích như một phần của trò mèo vờn chuột lớn hơn. Giống như bảo vệ bản quyền, remote attestation cũng bị giới hạn bởi chính thứ mà nó thực sự chứng minh
Khó ngăn việc quay camcorder trong rạp chiếu phim, và cũng như có nhiều bước trung gian lợi dụng thực tế rằng phim rốt cuộc chỉ là chuỗi ảnh và các frame mẫu PCM, việc thiết bị đắt tiền cũng không thể ngăn ai đó sở hữu nhiều thiết bị để làm việc
Hiện đã có nhiều người có cả đống thiết bị Android để đánh lừa hệ thống, và tùy trường hợp có thể mua với giá 50 đô la một chiếc, nên đó không phải là rào cản đáng kể
Cuối cùng, tác dụng chỉ là tăng chi phí và độ phức tạp vận hành bot, và về lý thuyết nếu nâng điểm hòa vốn lên đủ cao thì có thể nói là đã thắng. Nhưng lợi nhuận từ spam và lừa đảo quá lớn nên điều đó sẽ không xảy ra
Sau nhiều năm đối phó vẫn chưa đến gần mục tiêu, và dòng tiền chảy vào ngành chuyên đánh lừa các hệ thống như vậy thừa sức trang trải chi phí đó
Trộn thêm ID chính phủ cũng không thay đổi gì. Đằng sau hầu hết mọi hoạt động spam đều có người thật, nên dù nhận được bằng chứng mù rằng ai đó là công dân, ta vẫn biết rất ít về người đó
Muốn có ích thì có lẽ phải là nhận ID duy nhất thực sự của từng người, chứ không phải bằng chứng rằng họ là đối tượng hợp lệ
Và nếu đó là điểm đến của Internet, thì thành thật mà nói toàn bộ thử nghiệm này đã không đáng giá
Họ cũng có thể cắm chuột hoặc bàn phím giả để cấp input trực tiếp
Phần cứng bảo mật dường như không có lợi thế gì. Với những người phát tán thông tin sai lệch ở quy mô nhất định, nó thậm chí còn không phải là gờ giảm tốc
Nó chỉ làm những tác nhân ác ý rất non tay hoặc nhẹ ký hơi bất tiện, đồng thời hạn chế nghiêm trọng những người có thể tạo trình duyệt và những người dùng thiết bị không đáng tin cậy như người dùng Linux hoặc người tắt Trusted Boot
Không biết bạn có nhớ AllAdvantage không
Đó là một dịch vụ khoảng thời điểm chuyển giao thế kỷ, trả tiền để hiển thị quảng cáo trên desktop, nhưng chỉ trả khi PC thực sự đang được sử dụng
Người ta đã qua mặt bằng thiết bị di chuyển chuột, và một cuộc chạy đua vũ trang nhỏ đã nổ ra
Công nghệ này hẳn sẽ là món đồ trong mơ đối với họ. Nó có thể biết request đến từ trình duyệt thật hay từ script, và cũng có thể vô hiệu hóa chứng thực nếu input được mô phỏng bằng driver không đáng tin cậy hoặc trình duyệt bị tự động hóa
Đây là một công nghệ thật sự khó chịu
Điều này gần giống việc tích hợp chặt một danh mục sản phẩm bảo mật rất phổ biến vào chính trình duyệt
Hôm nay bạn có thể giữ lập trường triết lý và từ chối mọi website dùng reCAPTCHA/hCAPTCHA, ngày mai bạn có thể từ chối mọi website dùng PAT