Analyse von Googles Web-Environment-Integrity-Spezifikation

 (vivaldi.com)
1 Punkte von GN⁺ 2023-07-27 | 1 Kommentare | Auf WhatsApp teilen
  • Vivaldi sieht in Web Environment Integrity ein Risiko für Zugänglichkeit und Wettbewerb im Open Web, weil Websites damit die Befugnis erhalten würden, Browser und Plattformen als vertrauenswürdig oder nicht vertrauenswürdig einzustufen
  • Der Vorschlag basiert auf einer Struktur, in der ein externer attester die Laufzeitumgebung überprüft; er soll zwar gefälschte Interaktionen verhindern, könnte aber wie DRM für Websites funktionieren
  • Wenn Vertrauensentscheidungen bei wenigen Unternehmen konzentriert sind, steigt das Risiko, dass neue Browser, kleine Browseranbieter, Legacy-Software und Linux-Nutzer vom Zugang zum Web verdrängt werden
  • Selbst wenn Browser die Implementierung verweigern, können Websites Nutzer aussperren, sobald sie die API voraussetzen, und Google-Dienste oder Google Ads könnten als Druckmittel für die Einführung dienen
  • Mit Stand vom 3. November 2023 verfolgt Google die Web Integrity API nicht weiter, doch Vielfalt bei Browsern und Browser-Engines bleibt weiterhin notwendig

Was Web Environment Integrity erreichen soll

  • Web Environment Integrity ist ein Vorschlag, mit dem Websites per API prüfen können, ob sie dem aktuell verwendeten Browser und der Plattform vertrauen können
  • Ob Vertrauen besteht, soll von einem autoritativen Dritten, dem attester, entschieden werden
  • Das Ziel liegt offenbar darin, „gefälschte“ Interaktionen auf verschiedenen Websites zu verhindern, doch die konkrete Funktionsweise bleibt unklar
  • Die Anwendungsfälle mögen oberflächlich vernünftig wirken, in der Praxis könnte das Ergebnis jedoch eher DRM für Websites ähneln
  • Dass der erste Anwendungsfall die Echtheit von Werbeinteraktionen betrifft, könnte mit dem Ausbau von Googles Werbeplattform zusammenhängen

Ausschluss durch Browser-Vertrauensentscheidungen

  • Wenn bestimmte Akteure entscheiden, welchen Browsern sie vertrauen, gibt es keine Garantie mehr, dass irgendein Browser automatisch zugelassen wird
  • Neue Browser starten damit grundsätzlich in einem nicht vertrauenswürdigen Zustand und müssten ihre Vertrauenswürdigkeit auf eine Weise nachweisen, die den attester überzeugt
  • Nutzer von Legacy-Software, die die Spezifikation nicht unterstützt, könnten mit der Zeit aus dem Web ausgeschlossen werden
  • Auch wenn die Spezifikation das Risiko eines Vendor-Ausschlusses erwähnt, könnte es in der Praxis bei einer halbherzigen Reaktion ohne echte Lösung bleiben

Plattformbezogene attester und Wettbewerbsbedenken

  • Als wichtigstes Beispiel für einen attester nennt die Spezifikation Google Play auf Android
    • In dieser Struktur würde Google festlegen, welchen Browsern auf der eigenen Plattform vertraut wird
    • Vivaldi hält es für schwierig, darauf zu vertrauen, dass Google dabei fair urteilt
  • Für Windows wird erwähnt, dass Microsoft über den Windows Store eine ähnliche Rolle übernehmen könnte, auf dem Mac Apple
    • In diesem Verlauf wären zumindest Edge und Safari mit hoher Wahrscheinlichkeit vertrauenswürdig
    • Andere Browser wären dann auf die Entscheidungen von Google, Microsoft und Apple angewiesen
  • Für Linux gibt es keine klare Antwort
    • Es bleibt unklar, ob Linux beim Web-Browsing vollständig ausgeschlossen würde oder ob Canonical über das snaps-Paket-Repository zum Entscheider würde
    • Für Linux-Nutzer bleibt das eine schlechte Ausgangslage

Unklarheiten bei Menschenerkennung, Automatisierung und Erweiterungen

  • Die Spezifikation deutet stark darauf hin, dass geprüft werden soll, ob tatsächlich ein Mensch mit einer Website interagiert, doch wie dies erreicht werden soll, ist nicht klar
  • Offene Fragen sind unter anderem:
    • ob Verhaltensdaten verwendet werden sollen, um festzustellen, ob sich ein Nutzer wie ein Mensch verhält
    • ob diese Daten dem attester bereitgestellt würden
    • ob Barrierefreiheitswerkzeuge, die auf Browser-Eingabeautomatisierung angewiesen sind, dazu führen würden, dass ein Browser nicht mehr als vertrauenswürdig gilt
    • welche Auswirkungen es auf Erweiterungen haben würde
  • Die aktuelle Spezifikation sieht zwar Ausnahmen für Browser-Modifikationen und Erweiterungen vor, doch Erweiterungen können die Automatisierung von Website-Interaktionen leicht ermöglichen
  • Bleiben diese Ausnahmen bestehen, könnten Angreifer sie leichter umgehen; werden sie eingeschränkt, könnten auch Erweiterungen Beschränkungen unterliegen

Warum eine Ablehnung der Implementierung schwierig ist

  • Wenn ein Browser Web Environment Integrity nicht implementiert, könnte er als nicht vertrauenswürdiger Browser gelten
  • Wenn Websites diese API voraussetzen, könnten sie Nutzer dieses Browsers ablehnen
  • Google verfügt über Mittel, um die Einführung durch Websites voranzutreiben
    • Eigene Google-Dienste könnten von dieser Funktion abhängig gemacht werden
    • Der Wegfall der Nutzbarkeit von Google-Websites könnte für die meisten Browser verheerend sein
    • Auch Websites, die Google Ads verwenden, könnten zur Nutzung der API gedrängt werden
  • Wenn das erste Ziel die Verhinderung gefälschter Werbeklicks ist, könnte schon die Kopplung mit Google Ads die Verbreitung der API stark beschleunigen

Mögliche rechtliche Bremse und ihre Grenzen

  • Vivaldi geht davon aus, dass EU-Recht es wenigen Unternehmen vermutlich nicht erlauben würde, mit weitreichender Macht zu entscheiden, welche Browser zugelassen werden
  • Auf attester könnte starker Druck ausgeübt werden, möglichst fair zu handeln
  • Gesetzgebung und Gerichtsverfahren sind jedoch langsam, sodass bereits Schäden entstehen könnten, während Regierungen und Gerichte die Lage noch prüfen
  • Sollte der Vorschlag weiterverfolgt werden, könnte dem Open Web eine schwierige Zeit bevorstehen, wobei kleine Anbieter besonders stark betroffen wären

Googles frühere Vorschläge und Marktmacht

  • Googles Dominanz im Browsermarkt wird als potenzielle existenzielle Bedrohung für das Web bewertet
  • Vivaldi sieht auch in früheren Vorschlägen von Google problematische Eingriffe ins Web und nennt als Beispiele FLOC, TOPIC und Client Hints
  • Web Environment Integrity wird als Fortsetzung dieser Entwicklung gesehen und als größere Bedrohung behandelt, weil dadurch auch Microsoft und Apple gemeinsam mit Google Browser- und Betriebssystemwettbewerb einschränken könnten
  • Langfristig müsse Google in ein stärker ausgeglichenes Wettbewerbsumfeld gebracht werden; dafür seien sowohl Regulierung als auch ein geringerer Google-Marktanteil nötig

Update vom 3. November 2023

  • Google hat entschieden, die Web Integrity API nicht weiterzuverfolgen
  • Vivaldi bewertet das als sehr positive Entwicklung für die Neutralität des Open Web
  • Gleichzeitig geht Vivaldi davon aus, dass Google sich stark von eigenen Interessen statt vom Gesamtinteresse des Webs leiten lässt, und dass man beobachten müsse, womit dies ersetzt wird
  • Wie nach FLOC Topics folgte, bleibt der Verdacht, dass eine weniger anstößig wirkende, für Nutzer aber dennoch schädliche Spezifikation folgen könnte
  • Auch der zeitliche Zusammenhang mit Googles jüngster Ankündigung, das Werbeabrechnungsmodell von Bezahlung pro Klick auf Bezahlung pro Impression umzustellen, erscheint verdächtig
  • Damit nicht ein einzelner Akteur über die Zukunft des Webs entscheidet, ist Vielfalt bei Browsern und Browser-Engines wichtig

Verwandte Beiträge

1 Kommentare

 
GN⁺ 2023-07-27
Hacker-News-Meinungen

  • Dass Google so etwas sagt, ist besonders absurd. SafetyNet unter Android dient nominell der Sicherheit, führt in der Praxis aber zu deutlich weniger Sicherheit.
    Es blockiert aktuelle und sichere Drittanbieter-ROMs, lässt aber die schrecklich verwundbaren ROMs der Hersteller durch. Würde man sie blockieren, wäre der Nutzerprotest groß, also lässt man es so.
    Am Ende wirkt es eher als Vendor Lock-in, statt durchschnittlichen Nutzern einen spürbaren Sicherheitsgewinn zu bringen, und versperrt fortgeschrittenen Nutzern den Weg, ihre Sicherheit zu verbessern, ohne neue Hardware zu kaufen. Der Behauptung, eine solche Attestation bringe Nutzern einen legitimen Vorteil, sollte man noch entschiedener widersprechen.

    • Wenn es um nutzerfeindlich verriegelte Telefone geht, ist es eine enorme Ironie, dass der jüngste Blogbeitrag des Google-Mitarbeiters Ben Wiser, der diesen Vorschlag eingebracht hat, eine Beschwerde darüber ist, dass er auf seinem iPhone nicht frei die Software ausführen kann, die er möchte.
      https://benwiser.com/blog/I-just-spent-%C2%A3700-to-have-my-...
      https://github.com/RupertBenWiser/Web-Environment-Integrity
    • Fast jede Software und fast jede Website lässt sich so verpacken, als gäbe es einen Nutzen für die Anwender, etwa mehr Komfort oder bessere Sicherheit. Die wichtigere Frage ist, welchen Nutzen die Ersteller davon haben und was es tatsächlich tut.
      Man kann Web-Clients verwenden, die nicht übermäßig viele Daten preisgeben, aber Google dürfte wollen, dass wir solche Clients nicht nutzen. Nicht genehmigte Web-Clients könnte man allesamt als „Bots“ darstellen, und jede Web-Nutzung, bei der die Umgebung des Nutzers nicht übermäßig offengelegt wird, als „Betrug“.
      Dieses Alles-oder-nichts-Denken, das jede Web-Nutzung als kommerziellen Vorgang und jede Website als Werbegefäß betrachtet, kommt einer typischen kognitiven Verzerrung ziemlich nahe.
    • Stimmt. Die Umgehung selbst ist trivial, aber da man das Gerät rooten muss, kann es selbst bei Custom-ROMs paradoxerweise zu einer Verschlechterung der Sicherheit kommen.
    • Auf GrapheneOS trifft diese Beschreibung nicht zu.
      https://grapheneos.org/articles/attestation-compatibility-gu...
      SafetyNet selbst ist ohnehin bereits zur Abschaffung vorgesehen.
      https://developer.android.com/training/safetynet/deprecation...

  • Umstrittene Browser-Funktionen laufen immer nach einem ähnlichen Muster. Wenn man sie nicht implementiert, kann die Nutzererfahrung auf Websites, die diese Funktion verlangen, schlechter werden.
    Als Softwarehersteller muss man aber selbst beurteilen, was für die eigenen Kunden am besten ist. Wenn die einzige Hoffnung, dem nicht zu folgen, darin besteht, dass die EU Google zurechtweist, wirkt das so, als fehle der Wille, selbst eine klare Haltung einzunehmen, und das ist beunruhigend.

    • Unter den großen Webdiensten handeln nur sehr wenige danach, was für die Nutzer am besten ist. Wenn das an Fahrt gewinnt, kann Google AdSense-Zahlungen für Impressionen verweigern, die auf „nicht vertrauenswürdigen“ Seiten entstehen, und große Anbieter, die von Werbeeinnahmen abhängen, werden WEI sofort implementieren, ohne sich im Geringsten um die Nutzer zu kümmern.
    • Das ist beinahe ein Kategorienfehler. Die meisten Browser-Funktionen oder APIs werden als progressive Verbesserung behandelt, bis sie bei den Nutzern ausreichend verbreitet sind; selbst wenn man später die Existenz der Funktion voraussetzt, führt das meist nur zu einer schlechteren Erfahrung und nicht dazu, dass die Website komplett kaputtgeht.
      Web-Attestation ist aber anders. Wenn eine Website sie verlangt und der Browser sie nicht implementiert, können Nutzer in nicht wenigen Fällen vollständig von dieser Website ausgesperrt werden.
      Zudem ist selbst dann, wenn Vivaldi WEI implementiert, gut möglich, dass die Attestation-Stellen Google, Microsoft, Apple oder die Website selbst Vivaldi nicht als gültige Umgebung anerkennen. Es ist fraglich, ob Browser, die Nutzern zu viel Freiheit geben – etwa durch Werbeblocker-Erweiterungen, Nutzerautomatisierung oder Scripting –, als „zulässige Umgebung“ gelten würden.
    • Der Unterschied bei WEI ist, dass es faktisch auch die Kontrolle darüber übernimmt, wie andere Web-Funktionen implementiert werden. Es könnte zum Beispiel beeinflussen, ob das Blockieren von Elementen erlaubt ist oder ob die Entwicklerkonsole angezeigt wird.
      Abgesehen von Encrypted Media Extensions, die zudem deutlich eingeschränkter sind als WEI, kenne ich keinen Webstandard, der auf diese Weise funktioniert.
    • Da Google auch die populärste Suchmaschine und das größte Werbenetzwerk kontrolliert, kann es erheblichen Druck auf Webentwickler ausüben, indem es Websites, die nicht mitziehen, keine Werbung oder keinen Traffic liefert.
      Da ich ohnehin sämtliche Werbung blockiere, habe ich nicht uneingeschränktes Mitgefühl mit Entwicklern, die ihre Entscheidungen an der Maximierung von Werbeeinnahmen ausrichten. Aber hier den Entwicklern die Last zuzuschieben nach dem Motto „es ist deine Entscheidung, lehn es einfach ab“, ist nicht fair.
    • Google hat solche Versuche schon früher unternommen und ist damit zurückgedrängt worden. Mir fallen spontan zwei Beispiele ein:
      1. FLoC: https://www.theverge.com/2022/1/25/22900567/google-floc-aban...
      2. Dart: Google wollte JavaScript ersetzen, aber Mozilla und Microsoft lehnten das ab, weil sie nicht mitmachten, und letztlich starb das Projekt.
        Google versucht vieles. Mozilla, Microsoft und Apple sind immer noch stark genug, um sich gegen Ideen zu stellen, die sie – insbesondere außerhalb der USA – für schlecht halten.

  • Die bisherigen einschlägigen Threads scheinen ungefähr diese hier zu sein. Habe ich etwas übersehen?
    Google is already pushing WEI into Chromium - https://news.ycombinator.com/item?id=36876301 - Juli 2023 (705 Kommentare)
    Google engineers want to make ad-blocking (near) impossible - https://news.ycombinator.com/item?id=36875226 - Juli 2023 (439 Kommentare)
    Google vs. the Open Web - https://news.ycombinator.com/item?id=36875164 - Juli 2023 (161 Kommentare)
    Apple already shipped attestation on the web, and we barely noticed - https://news.ycombinator.com/item?id=36862494 - Juli 2023 (413 Kommentare)
    Google’s nightmare “Web Integrity API” wants a DRM gatekeeper for the web - https://news.ycombinator.com/item?id=36854114 - Juli 2023 (447 Kommentare)
    Web Environment Integrity API Proposal - https://news.ycombinator.com/item?id=36817305 - Juli 2023 (437 Kommentare)
    Web Environment Integrity Explainer - https://news.ycombinator.com/item?id=36785516 - Juli 2023 (44 Kommentare)
    Google Chrome Proposal – Web Environment Integrity - https://news.ycombinator.com/item?id=36778999 - Juli 2023 (93 Kommentare)
    Web Environment Integrity – Google locking down on browsers - https://news.ycombinator.com/item?id=35864471 - Mai 2023 (1 Kommentar)

    • Es gab noch einen verwandten Beitrag, der aber geflaggt wurde
      “I don't know why this enrages folks so much.” Googler re Chrome anti-feature https://news.ycombinator.com/item?id=36868888
      Offenbar haben Nutzer mit genügend Karma ihn geflaggt, aber eine Zeit lang wurde er nicht als „[flagged]“ angezeigt, erschien trotzdem nicht auf den vorderen Seiten und bekam auch keine weiteren Upvotes, was verwirrend war. Vielleicht gibt es bei der Anzeige „[flagged]“ eine Verzögerung.

  • Wenn man ernsthaft protestieren will, könnte man es so machen: Auf der eigenen Website Code einbauen, der prüft, ob der User Agent diese API implementiert, und wenn die Prüfung positiv ausfällt, dem Nutzer mit Begründung mitteilen, dass dieser Browser nicht willkommen ist.
    #BoycottGoogle #BoycottChrome #BoycottBullshit

    • Ich kann das nachvollziehen und fände es gut, wenn alle mitmachen würden, aber ich kann mir nicht vorstellen, dass die Leute mit dem Geld, mit denen ich arbeite, zustimmen würden.
    • Das muss man dem Chef sagen. Und wenn Google will, kann es vermutlich auch eine Möglichkeit bauen, das zu verbergen.

  • Wie üblich ein langer Text über Googles WEI, der aber nicht erwähnt, dass Apple dieses Schiff bereits still und leise vom Stapel gelassen hat und es deshalb kaum Aufmerksamkeit oder Gegenwind gab.
    https://httptoolkit.com/blog/apple-private-access-tokens-att...
    https://toot.cafe/@pimterry/110775130465014555
    Ein trauriger Zustand von Tech-News und Blogs. Man sieht nicht das größere Bild, sondern wiederholt nur dasselbe Drama.

    • Wie ein Großteil der Internetnutzer weltweit besitze ich keine Apple-Produkte, habe es daher nicht bemerkt, war nie betroffen und werde es wahrscheinlich auch künftig nicht sein.
      Dagegen interagiere ich ständig mit Websites, die Google Analytics oder Google-Anzeigen verwenden. Wenn diese Websites anfangen, den von mir gewählten Browser abzulehnen, werde ich auf einem erheblichen Teil des Internets tatsächlich ausgesperrt.
      Auch die übrigen 60 % der Internetnutzer könnten praktisch gezwungen werden, diese Technik zu akzeptieren. Da die Zahl der Betroffenen um ein bis zwei Größenordnungen höher liegt, gibt es genug Grund, Alarm zu schlagen.
    • Genau das sagt der Artikel auch. Weil Safari nicht der dominierende Webbrowser ist, ist es nicht dasselbe Problem. Die Macht, die Apple damit ausüben kann, ist sehr begrenzt.
    • Eine Verteidigung nach dem Motto „da drüben gibt es einen noch größeren Bösewicht“ ist keine Strategie, mit der man gewinnen kann.
    • Persönlich halte ich Private Access Tokens nicht für so schlimm wie WEI. PAT umgeht im Wesentlichen CAPTCHAs, während WEI Menschen potenziell komplett von Websites aussperren kann.
    • Es hätte eindeutig mehr Aufmerksamkeit bekommen müssen.

  • Dass der erste Anwendungsfall darin besteht zu prüfen, ob eine Anzeigeninteraktion echt ist, ist nur der Anfang. Attestation könnte am Ende dazu führen, dass Werbetreibende verlangen, dass Nutzer tatsächlich anwesend sind und auf den Bildschirm schauen.
    Es könnte wie in der Black-Mirror-Folge „Fifteen Million Merits“ werden.

    • Sony hält bereits ein Patent auf genau dieses Szenario aus Black Mirror.
      https://www.creativebloq.com/sony-tv-patent
      Darin müssen Fernsehzuschauer den Markennamen rufen, um eine Werbung zu überspringen. Man muss etwa „McDonald's!“ rufen, damit der Big Mac verschwindet.
      Unternehmen werden, wenn man sie nicht daran hindert, die verrücktesten und schrecklichsten Dinge tun – und es wird tatsächlich passieren.
    • Unter Android pausieren manche Videoanzeigen bereits, wenn man das Benachrichtigungsfeld herunterzieht.
    • Ich freue mich schon auf den Tag, an dem innerhalb eines Host-Browsers, den alle Medienseiten zwingend verwenden müssen, noch eine komplette Browser-Engine in WASM obendrauf läuft.

  • Jetzt braucht es zwei Dinge. Erstens eine kartellrechtliche Aufspaltung, die Google in Suche und Werbung trennt. Zweitens eine Werbesteuer.
    Es muss für Suchmaschinen wirtschaftlich nachteilig werden, zu viele Anzeigen auszuliefern.

    • Dem ersten Punkt stimme ich zu, aber der zweite scheint am Ziel vorbeizugehen. Das hat mit Suche nicht viel zu tun.
      Google nutzt seine Marktposition als größter Anzeigenverkäufer und zugleich als Hersteller des beliebtesten Browsers Chrome/Chromium, um dafür zu sorgen, dass Nutzer auf keiner Website darum herumkommen, Google-Anzeigen zu sehen.
    • Die Idee, Suche und Werbung zu trennen, könnte meiner Meinung nach die Spielregeln ändern. Aber wie kann Suche ohne Werbung Geld verdienen und zugleich verhindern, dass der Ranking-Algorithmus beschädigt wird?
    • Für Suchmaschinen wird es wirtschaftlich nicht nachteilig werden, Werbung anzuzeigen. Die Anzeigenplätze im sichtbaren Bereich lassen sich immer wertvoll verkaufen.
      Stattdessen müsste es taktisch nachteilig werden, weil Werbung die Genauigkeit beeinträchtigt und Nutzer vertreibt. Ohne einen deutlich genaueren Konkurrenten kann man das aber lange durchhalten.
      Bei der Google-Suche gibt es auch hoffnungsvolle Zeichen. Manche berichten, dass die Genauigkeit nachgelassen hat, und Google verändert ständig sein typisches Verhalten, um Spam zu vermeiden; dabei entwertet es die Mühe, die Menschen in SEO und Tricks für die Google-Suche gesteckt haben. Allerdings könnten diese beiden Dinge auch dasselbe Phänomen sein.

  • Ich sehe schon den Hinweis „Diese Website ist nicht mit Ihrem Gerät kompatibel“ bei YouTube auftauchen.
    Es steht unter Googles Kontrolle, und Google will, dass man Werbung im offiziellen Browser sieht; das wäre also nicht überraschend. Anfangs könnte es auch in Banking-Apps auftauchen.
    Langfristig wird es entweder dahinsiechen oder zu Kartellmaßnahmen führen. Einen anderen Weg sehe ich kaum.

    • Wahrscheinlich werden alle Streamingdienste das unter dem Vorwand der Pirateriebekämpfung schnell implementieren. Es wird nichts bringen und nur diejenigen schädigen, die mit Browsern oder Betriebssystemen schauen wollen, die Freiheit stärker respektieren.
    • Ohne eine vollständige Vertrauenskette ab dem Bootvorgang wie bei Android und iOS, und sofern sie nicht von einer proprietären Desktop-Umgebung bereitgestellt werden kann, müsste man den Austausch „Ich bin ein legitimer Browser“ fälschen können.
      Das eine Prozent, dem es wichtig ist, wird das tun. Aber es ist schrecklich, dass man sich an einem Ort, der früher das offene Web war, nun auf unterirdische „Crack“-Methoden herablassen muss. Wird man entdeckt, droht die Sperre.
    • Banken sind nicht das Ziel. Wenn Banken Maßnahmen ergreifen, die Menschen mit Behinderungen, behinderte Administratoren von Firmenkonten oder ältere Menschen behindern, bekommen sie massiv Ärger. Sie werden sich vorsichtig bewegen müssen.

  • Ich weiß nicht, was an WEI genau schlimmer sein soll als an einem Guckloch in der Tür. Bots sind bereits ein großes Problem und werden schlimmer. Was ist die Alternative?
    Sowohl in der realen Welt als auch im Web muss man wissen, mit wem man es zu tun hat. Vielleicht stehe ich allein da, aber ich halte WEI für etwas Gutes.
    Wer schon einmal eine Website betrieben hat, weiß, wie nervig Bots sind. Websites, denen Bots egal sind, müssen WEI nicht verwenden. Natürlich werden sie es in der Praxis tun, weil Bots ein Problem sind.
    Mit dem Fortschritt der KI war das ohnehin unvermeidlich. Etwas anderes zu glauben grenzt an Wahnvorstellung.

    • SSL wird tatsächlich nur für Serverzertifikate verwendet. Wegen der Zertifizierungsstellen war das nicht besonders gut und es gab viele Beschwerden, aber mit Let’s Encrypt wurde die Lage besser. Außerdem ist Identität nur an die Kontrolle über eine Domain gebunden und unterscheidet sich von etwas viel Invasiverem und faktisch kommerzialisiertem wie Code-Signing-Zertifikaten.
      WEI hat das Potenzial, echtes DRM nach dem Prinzip „zugelassene Geräte“ zu werden. Es ist sehr invasiv und kann nach Belieben großer Unternehmen eingesetzt werden, um Screenreader, Werbeblocker, Tracking-Schutz, Schutz vor Fingerprinting, das Herunterladen urheberrechtlich geschützter Inhalte und jede künftig denkbare Nutzungsweise auszuschließen.
      Es ist buchstäblich ein Tor, das das Web in einen App Store verwandelt, bestenfalls in mehrere App Stores. Wenn Bots das Problem sind, muss man das konkret benennen. Es gibt viele gute Bots, und ironischerweise stammt ein großer Teil des Bot-Traffics von den großen Unternehmen, die so etwas vorantreiben. Für bösartige Bots gibt es IP-Blocklisten, und manipulative Bots in der Grauzone sind ein Problem; aber warum man allen Nutzern verpflichtende Handschellen anlegen sollte, ist eine andere Frage.
    • Das Wesen von WEI besteht darin, Nutzer daran zu hindern, ihre eigenen Geräte vollständig zu kontrollieren. Wenn man Menschen die Kontrolle über ihre Geräte gibt, entstehen Bots. Es geht um die Frage, ob man glaubt, dass die Beseitigung von Bots wichtiger ist als Universal Computing.
      Bots sind schlicht Computer, die tun, was ihre Besitzer wollen. Die Pro-WEI-Position läuft darauf hinaus, dass einem nicht gefällt, wie andere Menschen ihre Computer verwenden, und man ihnen deshalb die Kontrolle über diese Computer wegnehmen möchte.
      Jetzt, wo starke KI vor der Tür steht, sieht man eine Bewegung, die Universal Computing wegnehmen will. Die schlimmsten Folgen entstehen alle daraus, dass Menschen die Fähigkeit verlieren, ihre eigenen Computer zu kontrollieren.
    • SSL verlangt nicht, dass irgendein Dritter meine Software und Hardware genehmigt, damit sie funktionieren.
    • TLS erlaubt es einer Website nicht, die vom Nutzer gewünschte technische Umgebung einzuschränken – also Hardware, Betriebssystem und Browser. WEI tut das.
    • Wer einen Browser ohne diese Funktion verwendet, wird zum Bürger zweiter Klasse, der extreme Verfahren durchlaufen muss, um das Web zu nutzen, oder könnte sogar von großen Teilen des Webs komplett ausgesperrt werden.
      Ich nutze mehrere selbst geschriebene Web-Scraper-Skripte. Zum Beispiel habe ich von allen Gehaltsabrechnungen digitale Kopien. Solche Dinge werden fast alle nutzlos werden.
      Die Website für die Betriebsrente meines früheren Arbeitgebers erlaubte das Herunterladen monatlicher Abrechnungen nur manuell und erkannte die Mechanize-Bibliothek, woraufhin sie eine Robotersperre-Warnung anzeigte. Niemand macht das jeden Monat manuell, aber Roboter waren ebenfalls nicht erlaubt.
      Damals musste man zum Blockieren immerhin noch irgendwo spezielle Software installieren; das hier macht solche Dinge sehr viel einfacher. Auch um Tools wie Selenium mache ich mir Sorgen. Das ist kein SSL.

  • Es gibt viel moralische Empörung über diesen Vorschlag, und das zu Recht. Sie sollte eher noch stärker werden. Unabhängig davon glaube ich allerdings, dass dieser Vorschlag ohnehin nicht gut funktionieren wird.
    Wenn er ohne Widerstand implementiert wird, entsteht ein geschlossenes, fest verdrahtetes DRM-Web, das die Aufmerksamkeit der Gesetzgeber auf sich ziehen wird. Hoffentlich passiert genau das.
    Wenn es weiterhin Browser gibt, die sich widersetzen, ist das aus Sicht von Websites kaum nützlich. Denn sie müssten ohnehin Backup-Mechanismen zur Betrugserkennung beibehalten. Wenn sie diese schon weiter pflegen müssen, werden sie vermutlich lieber die bestehenden Methoden als alleinige Lösung nutzen, mit denen sich deutlich mehr personenbezogene Daten sammeln lassen.

    • Das war von Anfang an nicht für einzelne Websites gedacht. Es ist eine Maßnahme, die ausschließlich Googles Werbegeschäft schützen soll.