Web Environment Integrity API - Vorschlag für eine API zur Integrität von Webumgebungen
(github.com/RupertBenWiser)- Die Web Environment Integrity API ist ein neuer API-Vorschlag zur Bestimmung der Integrität einer Webumgebung und liefert über den Aufruf
navigator.getEnvironmentIntegrity("...")eine Attestation - Dieser Vorschlag wird nicht weiterverfolgt; zusammen mit der Mitteilung dazu wird für Feedback und die Beteiligung an dem Thema gedankt
- Eine nur für Android verfügbare API, die nicht auf das offene Web abzielt, wird in Increasing trust for embedded media als Prüfpunkt behandelt
- Die spec beschreibt derzeit die Art und Weise, wie dies in Chromium als Prototyp implementiert wird
1 Kommentare
Hacker-News-Kommentare
Das war beim Web fast unvermeidlich, denke ich: Das werbebasierte Geschäftsmodell hat viel Geld hineingepumpt, und auch Entwickler haben ihren Teil dazu beigetragen, indem sie dem Browser immer weiter Funktionen aufgebürdet haben, die schwer selbst zu implementieren sind
Am Ende bestimmt dadurch praktisch ein dominanter Browser, der von einer Werbefirma betrieben wird, sogar die Web-Spezifikationen, und nun geht es in die Richtung, einen Nachweis zu verlangen, dass der Zugriff über vollständig gesperrte Geräte oder gesperrte Komponenten erfolgt
Ironischerweise sitzt auch Brave insofern im selben Boot, als es ebenfalls eine Werbefirma ist, und man dort langfristig schon darüber gesprochen hat, Ad-Blocking zu verhindern, indem man den „Browser innerhalb von Trusted Computing“ laufen lässt. Ich denke, schon die Grundannahme der Monetarisierung über Werbung ist letztlich selbstzerstörerisch oder trifft den Kern des Problems
Es fühlt sich an, als würde etwas, das mir wirklich viel bedeutet, an tausend kleinen Schnitten sterben, und ich weiß nicht einmal, wie man sinnvoll protestieren soll. Google drückt die Implementierung in Chromium hinein, und sobald Banken oder Netflix damit anfangen, sind andere Engines faktisch ebenfalls zur Implementierung gezwungen
Schon bei FLoC waren die meisten dagegen, aber nachdem es verworfen wurde, kam es einfach unter neuem Namen wieder zurück. Dass Firefox diesen Vorschlag nicht implementiert, könnte die letzte Hoffnung sein
[0]: https://github.com/RupertBenWiser
[1]: https://github.com/RupertBenWiser/Web-Environment-Integrity/...
[2]: https://news.ycombinator.com/item?id=26344013
Es gibt keine Versuche, das Blockieren von Brave-Werbung zu verhindern. Wenn man sie nicht sehen will, schaltet man sie von Anfang an nicht ein, reduziert die Häufigkeit oder deaktiviert sie vollständig
Im Brave-Modell lädt das Gerät eine regionale Werbeliste herunter, und die Relevanzbewertung erfolgt ebenfalls auf dem Gerät. Nutzerdaten verlassen das Gerät nicht, und wenn eine Werbebenachrichtigung angezeigt wird, erhält der Nutzer 70 % der entsprechenden Werbeeinnahmen, auch ohne zu klicken
Gesponserte Bilder im neuen Tab lassen sich im neuen Tab selbst mit zwei Klicks deaktivieren, und auch Dinge wie die Anzahl der Werbebenachrichtigungen pro Stunde legt der Nutzer selbst fest. Brave hat kein Interesse daran, Nutzer zum Ansehen von Werbung zu zwingen
Es sieht zwar so aus, als würde damit das Werbegeschäftsmodell geschützt, tatsächlich könnte es aber zu einem Monopol von Google Chrome führen und das Auftauchen neuer Wettbewerber verhindern
Ich halte es nicht für eine Lösung, auf ein so universelles Zugangsmittel wie das Web DRM-artige Kontrolle auszuüben. Wir wollen ein offenes, faires und freies Web bewahren, und ihr könnt bei https://github.com/dosyago/BrowserBoxPro mitmachen
Auch die Aussage, Google beherrsche die Web-Spezifikationen fast vollständig, halte ich für realitätsfern. Zwar schlägt Google viele APIs vor, aber wenn andere Browser-Hersteller sie für schädlich halten, verschwinden sie oft wieder; auch frühere Versuche, mehr Werbetechnik in den Browser zu bringen, sind an mangelnder Unterstützung anderer Hersteller gescheitert
Bei den Web-Spezifikationen ist die heutige Konstellation, in der Google, Mozilla und Apple mit unterschiedlichen Interessen gegeneinander ziehen, insgesamt wohl eher das Bestmögliche, und gerade dadurch wird das Web besser
Das widerspricht als Anti-WWW-Funktion und Rückschritt den Grundprinzipien des WWW. Ich hoffe, dass es nicht umgesetzt wird, aber für alle, die dachten, Chrome sei mehr als eine Werbeauslieferungs-App mit Browserfunktionen, ist es eine gute Warnung
Es ist seltsam, dass Ben Wiser, der Hauptautor der Spezifikation, offenbar einmal einen Text geschrieben hat, der sich gegen das Modell des geschlossenen Walled Garden richtet
In „I just spent £700 to have my own app on my iPhone“ kritisierte er das Monopol des iOS App Store und überlegte sogar, wegen der Freiheit bei der App-Installation zu Android zurückzukehren
Umso weniger ist nachvollziehbar, wie er diese Haltung mit der von ihm federführend verfassten Spezifikation vereinbart. Er beklagte sich darüber, dass man auf einem Linux-Laptop keine Apps entwickeln könne und jährlich 99 US-Dollar zahlen müsse, wenn man eine App länger als einen Monat verfügbar halten und Freunden die einfache Installation ermöglichen wolle — ziemlich absurd und traurig
[1]: http://benwiser.com/blog/I-just-spent-%C2%A3700-to-have-my-o...
Das Werbebeispiel dreht sich ebenfalls darum, Werbetreibenden keine Bot-Aufrufe in Rechnung zu stellen, und das ist derzeit tatsächlich ein großes Problem
Aber Werkzeuge lassen sich leicht zum Guten wie zum Schlechten einsetzen, und je mehr das hier nicht nur getarnte Bots mit gefälschtem User Agent herausfiltert, sondern zum Blockieren von Adblockern verwendet wird, desto mehr wird es zu einem bösartigen Werkzeug
Selbst wenn der begrenzte Umfang des Vorschlags wirklich die eigentliche Absicht war, gibt es keinen Mechanismus, der eine Ausweitung des Anwendungsbereichs verhindert. Die Spekulation über Motive scheint etwas am Punkt vorbei zu gehen, aber der Geist der Kontrolle darüber, wer den Client kontrolliert, ist eindeutig präsent, und diese Maßnahme darf nicht umgesetzt werden
Wenn man so etwas außerdem in einer Zeit durchdrückt, in der die Eintrittsbarrieren für Konkurrenz bei Software und Inhalten sinken, kann das eine furchtbare Gegenreaktion auslösen
Googles Public-Web-Entwickler und Developer-Relations-Leute verbringen oft enorm viel Zeit damit, in langen Texten Apple anzugreifen und zu behaupten, Apple zerstöre das Web
Tatsächlich hat Google das Web aber schon so stark beschädigt, dass Apple Jahrzehnte brauchen würde, um auf ein ähnliches Niveau zu kommen. Wenn Leute Google verlassen, fangen sie nach und nach auch an, Google zu kritisieren; siehe etwa, was Alex Russell von Web Components nach seinem Wechsel zu Microsoft schrieb: https://infrequently.org/2021/07/hobsons-browser/
Diese Art, den Vorschlag zu präsentieren, ist wirklich raffiniert. Er wurde auf GitHub statt bei Google veröffentlicht, um Distanz zu schaffen, und so formuliert, als wäre er im Interesse der Nutzer, obwohl tatsächlich das Gegenteil der Fall ist
Er stellt das Konzept des User Agent selbst auf den Kopf und ist eine große Bedrohung für die Branche, also muss er gestoppt werden
Wenn die Tech-Branche nicht bereit ist, auf eine ihrer größten Einnahmequellen zu verzichten, dann ist genau das die Richtung, die sie will
Zur Liste der Adjektive, die den Aufstieg einer autoritären Dystopie verschleiern, muss man jetzt auch integrity hinzufügen
Bei „trusted computing“ bedeutete „trusted“, dass der Eigentümer keine Kontrolle hat, und später wurde TPM als „Sicherheit“ verkauft, wodurch Gegner wie böswillige Akteure oder Verschwörungstheoretiker wirken sollten
Jetzt passiert es tatsächlich. Man will exakt kontrollieren, welche Hardware und Software verwendet wird, und tut so, als gäbe es Wahlfreiheit, während man in Wirklichkeit über Ausschluss die Teilnahme verhindert
Intel musste seinen Versuch, Prozessoren mit einer eindeutigen Seriennummer zu versehen, nach öffentlichem Gegenwind zurückziehen — die Öffentlichkeit kann also etwas bewirken. Man muss die Menschen über die kommende Dystopie aufklären und sie wütend genug machen, um zu handeln
Ein Anfang wäre, Wissen darüber zu verbreiten, wie und warum man TPM und Secure Boot deaktiviert: eigene Treiber, das Betriebssystem der Wahl ausführen, Hardware besitzen, die einem tatsächlich gehört. Unternehmensnahe Sicherheitslobbys werden „unsicher“ schreien, aber es muss klar gesagt werden: Sicherheit, die der Freiheit feindlich gegenübersteht, ist nicht die Sicherheit, die wir wollen
„Wer die Freiheit für Sicherheit aufgibt, verdient am Ende beides nicht“
https://www.gnu.org/philosophy/right-to-read.html
Ursprünglich wurde es wohl genau so beworben, um Kritiker zu besänftigen, aber eine konsequente Umsetzung hätte mit dem Ziel kollidiert, die Hardware zu kontrollieren. Eine Regulierung, die Hersteller dazu verpflichtet, diese Option tatsächlich reibungslos und praktisch nutzbar bereitzustellen, könnte ziemlich wirksam sein
Außerdem sollte man Warnbildschirmen, „Nudges“ und absichtlich verschlechterten Nutzererfahrungen mehr Aufmerksamkeit schenken. Bei Surface-Tablets kann man Secure Boot zwar deaktivieren, aber dann erscheint bei jedem Start ein grellroter, hässlicher Boot-Bildschirm. Solche Maßnahmen können gerade auf normale Nutzer psychologisch erheblich wirken
Ob man es nun mag oder nicht, schon die Vision einer 15-jährigen Browser-Strategie ist bewundernswert
Ein unterschätztes Meisterwerk bösartiger Genialität: einen Browser zu bauen, der gut genug ist, um die Branche zu dominieren, und früh zu erkennen, dass genau diese Dominanz entscheidend sein würde, um die Vorherrschaft in der Werbetechnologie zu sichern
Dass Chromium Open Source ist, ist überhaupt nicht wichtig. Das Web ist ein Protokoll, und wenn man das Protokoll nicht kontrolliert, bedeutet selbst verfügbarer Quellcode nicht viel
Der Grund, warum man Chromium nicht forken und Funktionen entfernen kann, ist, dass Websites diese Funktionen erwarten und der Browser sonst nicht funktioniert. Fügt man Funktionen hinzu, werden sie nicht genutzt, weil sich keine Website für einen kleinen Fork interessiert. Man muss nicht Chromium forken, sondern das gesamte Web
Das war ein Ziel, das sich seit ActiveX, Java Web Applets und Flash durchgezogen hat. Aber der Kapitalismus nutzt Situationen natürlicher Monopole nur zu gern aus und versucht, sie lange zu erhalten
Deshalb gibt es Regulierung im Bereich der „öffentlichen Güter“. Bereiche, in denen ein natürliches Monopol optimal ist, darf man nicht wie einen freien Markt behandeln. Es liegt nahe zu denken, dass auch die Internet-Infrastruktur ein öffentliches Gut werden sollte. Wenn Browser-Hersteller zu Gemeinnützigkeit gezwungen würden, müssten Unternehmen, die auf dem Internet Geschäfte machen wollen, ihr Internetgeschäft vielleicht sogar organisatorisch abspalten
Vielleicht würden wir heute sonst sagen: „Google, das Google Plus herausgebracht hat, war genial. Es hat Facebook und andere gestoppt und die sozialen Medien beherrscht“
Das ist ein unverhohlener Versuch, die Webnutzung auf Linux- und BSD-Desktops, anderen freien und Open-Source-Clients, Custom-Android-ROMs usw. zu zensieren — um Werbung zu verkaufen. Es wird nicht einmal versucht, das zu verbergen
„Nutzer mögen Websites, deren Erstellung und Pflege teuer ist, wollen sie aber nutzen, ohne direkt dafür zu bezahlen, oder müssen das tun. Solche Websites werden durch Werbung finanziert, aber Werbetreibende können nur dann zahlen, wenn ein Mensch und kein Bot die Werbung sieht …“
Es ist fast schon niedlich, wie es mit „Nutzer“ anfängt und so wirkt, als ginge es um Anforderungen der Nutzer, und dann im nächsten Satz zum eigentlichen Ziel, den Werbetreibenden, wechselt
Solche Ansätze könnten an einem Attest-Guard scheitern und nicht als Umgebung anerkannt werden, die „die Integrität des Werbegeschäftsmodells und des dominierenden Browsermarkts“ bewahrt. Wenn ihr etwas tun wollt, beteiligt euch bitte an unserer Open-Source-Browser-Arbeit https://github.com/dosyago/BrowserBoxPro
So wie man eine Küche nicht dafür tadelt, dass sie Essen ausgibt, gibt es keinen Grund anzunehmen, dass irgendetwas von HTTP/3 bis Chrome bei Google nicht dem Verkauf von Werbung oder der Datenausbeutung dient
Das wirkt wie ein weiterer Schritt hin zum Tod des offenen Webs
Nach dem Motto: „Tut uns leid, aber diese Website kann nur auf bestimmten Geräten mit einem von Big Tech kompilierten Browser aufgerufen werden. Das ist zu Ihrem Besten“
Dass das von Google kommt, dem größten Ad-Tech-Unternehmen der Welt, überrascht auch nicht
Das neue AdWeb wird wie ein App Store sein. Websites müssen den Eigentümern des AdWeb Geld zahlen, und die Nutzer müssen Smartphones oder gesperrte Browser verwenden. Das offene Web kann bestehen bleiben und sich weiterentwickeln, ohne sich um Monetarisierung sorgen zu müssen
Es ist jetzt Zeit, Google zu zerschlagen. Google ist das AT&T und Standard Oil unserer Generation.
Ads, YouTube, Search, Cloud, Chrome usw. sollten alle zu unabhängigen Unternehmen gemacht werden, und die Kartellbehörden müssen endlich ihre Arbeit tun.
Die USA töten die Gans, die goldene Eier legt, nur als allerletztes Mittel.
Der US-Kartellmaßstab ist der Schaden für Verbraucher. Dass Google Funktionen implementiert, die andere Unternehmen gefordert haben, dass jedes Unternehmen teilnehmen und eigene Attestation-Signale senden kann und dass Unternehmen aus später unverbundenen Märkten womöglich nicht genehmigte Stacks nicht unterstützen, lässt sich schwer Google allein anlasten.
Search würde sich halten, unter der Annahme, dass es Suchanzeigen und die Kerninfrastruktur behält, aber nicht genug Geld verdienen, um echte Produkterweiterungen zu liefern. Die Qualität würde sinken, Talente würden abwandern, und Nutzer würden wieder für jede Suche mehrere Suchmaschinen verwenden. Das Monopol würde brechen, aber auch ein Teil des Internets, und am Ende wäre Wikipedia der einzige Gewinner, den wir uns wünschen.
Display Ads würde ohne die Fessel des restlichen Unternehmens in noch dunklere Richtungen laufen und sich zunehmend an böswillige Akteure annähern. In 20 Jahren könnte es beim bidirektionalen Teilen von Nutzerdaten auf dem Niveau von Lexis zur Liga des Bösen gehören.
YouTube würde zusammen mit Display Ads ebenfalls durchstarten, aber beim Aufbau eines eigenen Anzeigenmarkts würden die Werbequalität weiter sinken und die Margen schwanken. Trotzdem würde seine Stellung zementiert, es würde ohne Anweisungen der Muttergesellschaft agiler werden und neue Wettbewerber noch schneller niederwalzen können.
Workspace würde langsam verrotten. AI-Funktionen würden stoppen und entfernt werden, und Drive müsste ohne allgemeine interne Infrastruktur neu aufgebaut werden. GMail würde mit viel weniger Personal die Infrastrukturlast tragen müssen und instabil werden, und durch die Zerschlagung würde Produktionsinfrastruktur hastig abgetrennt, was weltweit Instabilität auslösen würde. Ausfälle beim E-Mail-Zugang würden etwa dazu führen, dass Rechnungen nicht bezahlt werden, und die Wirtschaft würde stark erschüttert.
Photos würde als eigenständiges Unternehmen schnell sterben. Mit dem gelegentlichen Verkauf von Bilderrahmen lassen sich die Margen nicht halten.
Chrome könnte versuchen, bei Microsoft Finanzierung zu bekommen, und dabei komplett übernommen werden; das Kernteam würde wahrscheinlich aufgelöst. Das Schicksal des Open-Source-Produkts hinge davon ab, welcher Microsoft-Manager intern gewinnt, und am Ende könnte das Hauptprodukt geschlossen und nur Edge als Ersatz übrig bleiben.
Kommunikationsprodukte sowie Forschung und Entwicklung würden sofort eingestellt. Die AI-Organisation würde versuchen, unabhängig zu werden, aber kein Geschäft finden und unter Reputationsproblemen leiden, um dann zehn Jahre später geschlossen zu werden; stattdessen könnte ein übernehmendes Unternehmen mehrere erfolgreiche Produkte hervorbringen und in bereits etablierten Märkten deutliche Spuren hinterlassen.
Android würde zu einer unabhängigen Organisation werden und in den ersten zehn Jahren unter interner Politik leiden, könnte aber letztlich zu seinen Open-Core-Wurzeln zurückkehren und wieder agiler werden. Selbst wenn der Markt sich aufspaltet und verzweigt, könnte es im westlichen Android-Ökosystem weiterhin das Zentrum bleiben.
Chromecast, ChromeOS und Nest würden massiv leiden, weil das zentrale Ökosystem wegfällt, in das sie einspeisen. Sie würden versuchen, sich an Android anzulehnen, aber beim Versuch, alles zu Androidisieren, würden Nutzererlebnis oder Margen leiden, und am Ende würde außer ChromeOS alles eingestellt, wobei auch das ChromeOS-Geschäft endet. Es bliebe jedoch ein Open-Source-Erbe zurück, das eine kleine enthusiastische Gruppe unter der Dominanz von Microsoft Edge gerade so weiterführen könnte.
Die Daten der Nutzer würden auf ein Dutzend Unternehmen verteilt, und die SSO-Integration würde schlechter werden. Sicherheitsfehler würden zunehmen, Online-Kriminalität würde explodieren, und das Gefühl der 90er käme in viel größerem Maßstab zurück. ISPs würden ihre Chance nutzen, und viele Nutzer würden nach alternativen E-Mail-Diensten suchen, dabei aber auf Probleme bei Auffindbarkeit, Sicherheit und Speicher stoßen. Am Ende wären Amazon, Apple, Microsoft und Cloudflare die größten Gewinner.
Ich stimme zu, dass man Google zerschlagen sollte, aber vielleicht ist jetzt der falsche Zeitpunkt.
Frühere Diskussionen
https://news.ycombinator.com/item?id=36800789
https://news.ycombinator.com/item?id=36785516
https://news.ycombinator.com/item?id=36800744
https://news.ycombinator.com/item?id=36808231
https://news.ycombinator.com/item?id=36791711
https://news.ycombinator.com/item?id=36789691
https://news.ycombinator.com/item?id=36816208
https://news.ycombinator.com/item?id=35862886
Nach den HN-Richtlinien ist das zwar ein Repost, aber ich halte es für einen Fehler, ihn zu löschen. Das könnte das Ende des offenen Webs bedeuten, und trotzdem ist es hier seltsamerweise nie wirklich an die Oberfläche gekommen. Diesmal fühlt sich etwas anders an.
Die Voraussetzungen für eine Werbemaschine, die sich end-to-end nicht blockieren lässt, sind bereits geschaffen.
Das zynisch benannte „Privacy Sandbox“ verlagert Tracking direkt in den Browser, fesselt Adblocker durch Einschränkungen bei Browser-Erweiterungen und lässt danach nur noch „verifizierte“ Clients zugreifen. Das führt zu unvermeidbarem Tracking und nicht blockierbarer Werbung, und davon werden wir mit der Zeit immer mehr sehen.
Das allein ist schon böse genug, aber dass Google das Ganze auch noch so verpackt, dass man diese Pläne massiv missversteht, bringt mein Blut zum Kochen. „Seid so böse wie nur möglich“ – Google ist wirklich ein erbärmliches Unternehmen, und ich habe endgültig genug.