據參與這個備受爭議的反欺詐項目的一名開發者介紹，Google的Web環境完整性（WEI）提案旨在使網絡“更加私密和安全”。

Google的軟件工程師Ben Wiser在周三回應了對該提案的嚴重關切，他堅稱WEI旨在解決在線欺詐和濫用問題，而不會帶來瀏覽器指紋識別和跨站跟蹤所帶來的隱私問題。

他在GitHub Issues帖子中解釋說：“WEI實驗是一個更大目標的一部分，即在阻止跨站跟蹤和減少依賴指紋識別來打擊欺詐和濫用的同時，保持網絡的安全和開放。”

“欺詐檢測和緩解技術通常嚴重依賴于分析客戶端在一段時間內的獨特行為以尋找異常，這涉及從人類用戶和疑似自動化客戶端收集大量客戶端數據。”

WEI是一個認證方案。它為網頁發布者提供了一種方式，可以在網站或應用中添加代碼，通過與可信的第三方（例如Google）檢查，看訪問者的軟件和硬件堆棧是否滿足被認為是真實的某些標準。

從技術上講，認證只是傳輸一個帶有值的令牌的問題——這個值來自尚未公開的硬件和軟件特性——這個值表明客戶端是否值得信任。然后由網站發布者決定如何回應這個信號。

理論上，如果有效地實施，WEI可以讓網絡游戲發布者檢查游戲玩家是否通過使用未經授權的硬件或軟件來作弊。或者，它可能被內容發布者用來檢查廣告是顯示給真實的訪問者還是欺詐的機器人。

人們擔心的是，WEI可能會被用來禁止廣告攔截，阻止某些瀏覽器，限制網絡抓取（盡管在網站的服務條款下通常被禁止，但仍然在很大程度上是合法的），排除下載YouTube視頻或其他內容的軟件，并對其他合法的網絡活動施加其他限制。

WEI的認證檢查實際上在尋找什么尚未公開。從已經添加到Chromium開源項目的WEI代碼中也看不出來。但Wisner堅稱，“WEI并不是為了單獨針對瀏覽器或擴展程序”，并且并不是為了阻止偽裝自己身份的瀏覽器。

然而，一項技術的預期用途并不一定限制了它以新的狡猾的方式被使用。

警鐘敲響

在技術社區中，對該提案表示警告的人們認為，網絡不應該被納入一個基于許可的制度，其中第三方對用戶的價值進行評判——沒有咨詢，基于不透明的標準。

Vivaldi的軟件開發者Julien Picalausa在周二的一篇文章中寫道：“這個想法很簡單，也很危險。它將為網站提供一個API，告訴他們當前正在使用的瀏覽器和平臺是否被一個權威的第三方（稱為認證者）信任。”

“細節尚不明確，但目標似乎是防止與各種網站的‘假’交互。雖然這看起來像一個崇高的動機，而且列出的用例看起來非常合理，但提出的解決方案絕對糟糕，已經被等同于網站的DRM，帶來了所有的含義。”

盡管這個想法可能很危險，但認證已經在原生平臺（Android和iOS）上實施——有些人會說這些是相對開放的網絡相比的獨裁政權。

但認證甚至已經進入了網絡。Tim Perry，開發工具HTTP Toolkit的創建者，在周二的博客文章中指出，Apple為其Safari瀏覽器提供了私有訪問令牌。網絡安全公司Cloudflare使用私有訪問令牌作為避免向人們展示CAPTCHA謎題以證明他們不是機器人的一種方式。

Perry認為，Apple的方案不那么令人擔憂，因為Safari的市場份額（移動和桌面瀏覽器的約20%）遠小于Chrome/Chromium（網絡客戶端的約70%）。盡管如此，他反對認證，因為它從根本上是反競爭的。

Perry宣稱：“網絡上的欺詐和機器人是一個真正的問題，討論如何防御這個問題是完全合理的，而且通常非常有價值！”

“這是一個難題。也就是說，這必須與網絡本身的健康進行仔細的平衡。阻止競爭，阻礙開源和開放網絡，以及剝奪用戶對自己設備的所有控制權，這不是一個合理的權衡。”

Google認為Apple的私有訪問令牌過于私密。WEI提案說，“由于令牌完全被掩蓋，這項技術假設認證者可以在沒有任何來自網站關于如假陽性或假陰性等缺口的反饋的情況下，提供持續的、高質量的認證。”

Apple的私有訪問令牌并不涉及設備制造商（Apple，作為認證者）和Cloudflare之間的設備數據交換。Google認為，以這種方式掩蓋令牌數據會拒絕來自參與認證過程的網站的反饋，這些網站可能能夠使用被扣留的設備數據來最小化不正確的信任判斷。

事實上，Wiser建議，引發WEI的是隱私改進。“像用戶代理減少、IP減少、防止跨站存儲和指紋隨機化等隱私功能使得更難區分或重新識別個體客戶端，這對隱私很好，但使打擊欺詐更困難，”他聲稱。

他辯稱，這樣做的結果是，決心打擊欺詐的網站已經通過增加他們對登錄門的使用，侵入性的指紋技術，以及像CAPTCHAs和SMS驗證這樣的侵入性挑戰來回應。Wiser認為，這些防御措施使網絡體驗變得更糟。

“我們認為這是一個難以解決的問題，但是一個非常重要的問題，我們將繼續努力。我們將繼續在公開場合設計、討論和辯論，”他說。

根本的缺陷

Vivaldi的CEO Jon von Tetzchner在接受The Register采訪時說，雖然Google尚未明確指出WEI將如何衡量以做出信任判斷，但細節并不真正重要——整個方法都是有問題的。

“監控經濟是存在問題的一個大原因，”他解釋說，“而監控經濟的解決方案似乎是更多的監控。”

Von Tetzchner說，Google想知道誰在看它的廣告，但他認為，Google應該關注它的廣告在哪里顯示——通常是在網絡垃圾頁面上，由參與廣告欺詐的機器人查看。

他回憶起他參與Opera瀏覽器時，不得不處理Google Docs在瀏覽器上無法工作的問題。“當我們開始使用Vivaldi時，我的想法是，好吧，我們正在使用Chromium，這不會是問題，”他說。

但兼容性問題仍然存在，他說，Vivaldi不得不隱藏自己的身份（偽裝其默認的用戶代理字符串）以使用戶能夠訪問流行的Google服務。他擔心WEI代表了更多的同樣的問題。

Von Tetzchner認為，認證不是應對在線欺詐的適當回應。

“我只是不認為這是一個解決方案，”他說。“解決方案是擺脫監控經濟。我們一直在試圖禁止監控經濟，禁止收集數據，制作用戶檔案，并將其用于廣告。我真的不明白為什么這在社會上應該是合法的。

“監控經濟非常有毒，”他補充說。“它為社會創造了重大問題。我認為明顯的事情應該是停止使用這項技術。使用它沒有任何意義，有其他同樣有效的做廣告的方式。但是對某些公司來說，這里有很多錢，他們不想放棄他們所擁有的東西。”