Le projet "Web Environment Integrity API" (WEI) de Google est mort avant mme d'avoir vu le jour. Google a annonc qu'il n'ira pas loin dans le dveloppement de cette technologie controverse cense lutter contre la fraude et les abus en ligne. Annonc pour la premire en mai, le projet a t vivement dcri par les diffrents acteurs du Web, les critiques ayant affirm que la technologie ressemblait horriblement une gestion des droits numriques (DRM) pour les sites Web. Les critiques ont allgu qu'il s'agissait d'une attaque srieuse contre le Web ouvert et que cela violait potentiellement les rglements en matire de protections des donnes en vigueur dans l'UE et ailleurs.LAPI dintgrit de lenvironnement Web (Web Environment Integrity API) propose "un nouveau moyen de dterminer si les navigateurs sont dignes de confiance, afin de lutter contre la fraude criminelle et d'autres comportements rprhensibles". Elle permet un navigateur de prouver qu'il fonctionne conformment aux attentes de l'exploitant du site Web et qu'il n'a pas t manipul. Ain, si vous avez un site Web qui propose des jeux en ligne et que vous voulez vous assurer qu'aucun joueur ne triche, vous pouvez utiliser la norme WEIA pour dterminer que les clients connects sont authentiques, lgitimes et qu'ils n'excutent pas de code de triche.
Il en va de mme pour les sites Web qui ne veulent pas que des robots automatiss publient ou aiment des messages. Selon Google, l'engagement doit se faire par le biais d'un navigateur accept et non modifi. Google affirme que cela permettrait de lutter contre la fraude publicitaire, les bots sur les rseaux sociaux, le phishing, la violation des droits dauteur, la triche dans les jeux Web et amliorerait la scurit des transactions financires. Le standard fonctionnerait en demandant au client de passer un test dattestation denvironnement auprs dun serveur tiers, qui lui dlivrerait un jeton dintgrit sil est conforme aux exigences du site Web.
Mais le projet a suscit de nombreuses proccupations de la part des utilisateurs et des dfenseurs du Web ouvert. L'initiative commence faire glisser le navigateur Web vers une poque o seuls les navigateurs autoriss et officiellement publis seront accepts par les sites Web. Cela laisse penser que Google prvoit un avenir o les sites Web pourraient bnficier d'une forme de DRM. Et comme le projet Chromium sert de base non seulement Google Chrome, mais aussi Microsoft Edge, Brave et un certain nombre d'autres navigateurs usits, cette proposition pourrait avoir un large effet sur le Web si elle tait dploye et adopte l'avenir.
Selon les dtracteurs du projet, il pourrait porter atteinte la vie prive et au choix des internautes, en les forant utiliser un logiciel spcifique et en les empchant daccder certains contenus selon leur environnement. Comme l'explique Google lui-mme, pour fonctionner, le systme devrait vrifier, par le biais d'une attestation, si la pile logicielle et matrielle du visiteur d'un site rpond certains critres et est donc authentique. Tout est bien jusqu' ce qu'on en abuse pour refuser l'accs aux visiteurs dont la configuration ne plat pas au propritaire au propritaire du site, par exemple s'ils utilisent un bloqueur de contenu ou un tlchargeur de vido.
L'API pourrait tre utilise pour limiter la libert sur le Web, en donnant aux sites Web ou des tiers un droit de regard sur le navigateur et la pile logicielle utiliss par les visiteurs. Les Googlers l'origine de l'API ont publi un projet de spcification en juillet, affirmant : l'API dintgrit de lenvironnement Web permet aux agents utilisateurs de demander des verdicts d'un assesseur pouvant tre utilis pour vrifier l'intgrit de l'environnement Web. Ces verdicts sont transmis une partie se fiant l'information, qui en valide l'authenticit. L'intgrit de l'environnement Web est mieux adapte la dtection des environnements Web trompeurs .
Mais cela a suscit un flot de critiques de la part de la communaut technique. Les Googlers concerns ont alors limit le nombre de personnes autorises poster des commentaires sur la base de donnes du projet et le dveloppement public du projet a cess. Trois mois plus tard, aprs des demandes sporadiques sur le statut du projet, Google a modr ses ambitions. Au lieu de l'API prvue initialement dans la premire forme du projet, la chocolaterie prvoit dsormais de travailler sur une version plus limite de la technologie pour Android WebViews, une version de son navigateur Chrome qui peut tre intgre dans les applications Android.
Nous avons entendu vos commentaires et la proposition d'intgrit de l'environnement Web n'est plus prise en compte par l'quipe Chrome , a dclar jeudi l'quipe Android de Google. L'quipe Chrome a maintenant soumis un commit pour revenir sur le code du projet qui tait parvenu jusqu'au navigateur de l'entreprise. L'quipe Android se concentre dsormais sur l'API Android WebView Media Integrity, qui fournit une forme similaire d'attestation, mais uniquement pour les WebViews intgres dans les applications Android. Elle a dclar qu'il s'agit d'une forme d'extension des fonctionnalits existantes dj sur les appareils pilots par Android.
Il s'agit simplement d'une extension des fonctionnalits existantes sur les appareils Android dots de Google Mobile Services (GMS) et il n'est pas prvu de l'offrir au-del des mdias intgrs, tels que la vido et l'audio en continu, ou au-del des WebViews Android , a dclar l'quipe d'Android. L'quipe note que la possibilit pour les applications Android d'intgrer des pages Web qui intgrent des fichiers multimdias prsente des avantages, mais qu'elle ouvre galement la voie la fraude. Elle estime que des dveloppeurs peu scrupuleux peuvent en effet intervenir sur le contenu intgr et sur la manire dont les utilisateurs interagissent avec celui-ci.
L'API "Android WebView Media Integrity" vise garantir ceux qui intgrent des mdias dans des WebViews que leurs ressources - telles que les mdias en continu - sont affiches dans l'application o elles ont t intgres et non dans l'application non fiable d'un tiers inconnu. Les fournisseurs de mdias qui souhaitent tester ce processus peuvent s'inscrire un programme d'accs anticip prvu pour l'anne prochaine. Bien que Google annonce qu'il s'agit ici d'une version modre du projet initial, les promesses de l'entreprise suscitent le scepticisme chez les critiques. Dans les commentaires, l'on estime que Google n'a pas renonc au projet.
C'est peut-tre moins nocif que la proposition originale, mais nous sommes toujours en prsence d'un DRM, et dsormais il n'y a plus de processus de normalisation, donc nous n'avons pas beaucoup de dtails sur la faon dont cela fonctionnera. Honntement, cette annonce devrait susciter plus de scepticisme que ce que j'ai vu sur les forums. Je ne dis pas que c'est aussi mauvais, je dis juste que nous devrions nous demander dans quelle mesure cela va amliorer la scurit pour les utilisateurs finaux ou si cela va juste se transformer en un DRM pour permettre aux applications Web intgres d'agir comme des applications natives , a crit un critique.
Un deuxime critique a crit : pour moi, cela ressemble : "nous allons le dvelopper et le tester de toute faon, et nous essaierons de le standardiser nouveau le moment venu" . Un autre a crit : on dirait qu'ils ont eu trop de mauvaise presse et de ractions hostiles avec le plan A, alors ils passent au plan B et esprent faire bouillir la grenouille proverbiale lentement au fil du temps. L'ingnieur en scurit qui est en moi a ador cette proposition, le passionn de vie prive et de logiciels libres qui est en moi l'a dteste . Il est important de noter que le gant de la recherche n'est pas la seule socit Internet travaillant sur ce type de projet.
Pour rappel, Apple a dj mis en place son propre systme d'attestation, appel "Private Access Tokens", qui, bien qu'il prsente certaines des mmes proccupations, semble moins inquitant que la proposition de Google, car la part globale de Safari sur le march des navigateurs Web, tous appareils confondus, est bien infrieure celle de Chrome. Google propose galement deux services d'attestation plus limits, l'API Play Integrity et Firebase App Check. L'analyse effectue par YouTube, filiale de Google, dans les navigateurs clients la recherche de bloqueurs de publicits reprsente galement une forme d'attestation ou de vrification de l'intgrit.
Le plan de Google tait de prototyper l'API d'intgrit de l'environnement Web dans Chromium - la fondation open source de Chrome ainsi que de Edge, Brave, Vivaldi et de divers autres navigateurs -, mais pas de Firefox ni de Safari. Les dtracteurs du projet ont galement allgu que la proposition profiterait injustement Google en excluant les navigateurs concurrents ou en dsavantageant les utilisateurs qui ont choisi de ne pas tre suivis. Selon les analystes, le revirement de Google permet de prserver un peu plus longtemps la "scurit" du Web ouvert, mais d'autres rformes sont ncessaires pour dcentraliser le contrle des normes.
En attendant, il m'est difficile de faire confiance aux motivations de Google, compte tenu de sa position dominante. Nous devons rester mobiliss pour les empcher de rintroduire discrtement des concepts tels que l'API dintgrit de lenvironnement Web lorsque nous baissons la garde , a crit un critique.
Et vous ?
Quel est votre avis sur le sujet ?
Que pensez-vous de l'abandon de l'API dintgrit de lenvironnement Web ?
Est-il possible que Google rintroduise ce projet sous une autre forme l'avenir ?
La nouvelle proposition permet-elle Google d'exprimenter un prototype du projet initial ?
La nouvelle proposition amliorera-t-elle la scurit d'Android comme le prtend Google ?
Quelles sont les proccupations qu'elle pose, notamment en matire de protection de la vie prive ?
Voir aussi
