谷歌的“Web Integrity API”噩梦需要网络的 DRM 看门人

放大 / 小 Android 机器人会监视你所做的一切。 奥里希·劳森/盖蒂图片社

Google提出的新网络标准是……DRM？周末，互联网上流传着这个提议的“Web 环境完整性 API”。该解释由四名 Google 员工撰写，其中至少有一名来自 Chrome 的“隐私沙盒”团队，该团队正在通过直接在浏览器中构建用户跟踪广告平台来应对跟踪 Cookie 的消亡。

Web 完整性 API 简介如下：“用户通常依赖于信任他们所运行的客户端环境的网站。这种信任可能会假设客户端环境对其自身的某些方面是诚实的，保护用户数据和知识产权，并且对于是否有人使用它是透明的。”

该项目的目标是更多地了解网络浏览器另一端的人，确保他们不是机器人，并且浏览器没有以未经批准的方式修改或篡改。简介中指出，这些数据将有助于广告商更好地计算广告展示次数、阻止社交媒体机器人、执行知识产权、阻止网页游戏中的作弊，并帮助提高金融交易的安全性。

也许最有说服力的解释是它“借鉴了现有的本机证明信号，例如 [Apple 的] App Attest 和 [Android] Play Integrity API”。 Play Integrity（以前称为“SafetyNet”）是一种 Android API，可让应用程序知道您的设备是否已获得 root 权限。 Root 访问权限使您可以完全控制所购买的设备，但许多应用程序开发人员不喜欢这样。因此，如果您获得 Android 手机的 root 权限并被 Android Integrity API 标记，则多种类型的应用程序将直接拒绝运行。您通常会被阻止使用银行应用程序、Google 钱包、在线游戏、Snapchat 和 Netflix 等一些媒体应用程序。您可以使用 root 访问权限来作弊游戏或网络钓鱼银行数据，但您可能还需要 root 权限来个性化您的设备、删除垃圾软件或拥有可行的备份系统。 Play Integrity 并不关心，并且无论如何都会阻止您访问这些应用程序。 Google 希望网络也能如此。

Google 的计划是，在网页上进行交易时，网络服务器可能会要求您在获取任何数据之前通过“环境证明”测试。此时，您的浏览器将联系“第三方”证明服务器，您将需要通过某种测试。如果成功，您将获得一个签名的“IntegrityToken”，它验证您的环境未被修改并指向您想要解锁的内容。您将其带回网络服务器，如果服务器信任证明公司，您就可以解锁内容并最终获得包含您想要的数据的响应。

放大 / Web Integrity API Google Schema。 谷歌

Google 喜欢用笼统的方式描述其 API，但实际上这场游戏的大多数玩家可能都是 Google。 Google 可能会或可能不会提供该网站，Chrome 将是浏览器，并且......