- Related Website Sets (RWS) ของ Chrome อนุญาตให้มีการแชร์ข้อมูลระหว่างไซต์ที่เกี่ยวข้องกันเป็นข้อยกเว้น แม้หลังการยกเลิกคุกกี้บุคคลที่สาม ซึ่งอาจทำให้การคุ้มครองความเป็นส่วนตัวบนเว็บอ่อนแอลง
- ฟีเจอร์นี้อาศัยสมมติฐานว่าผู้ใช้สามารถรับรู้ความสัมพันธ์ด้านความเป็นเจ้าของระหว่างไซต์ได้ แต่ในการศึกษากับผู้เข้าร่วม 30 คน การตัดสินทั้งหมดราว 42% เป็นคำตอบผิด และราว 73% ตอบผิดอย่างน้อยหนึ่งครั้ง
- แม้ในกรณีที่ Chrome จัดว่าเป็น “ไซต์ที่เกี่ยวข้องกัน” ผู้ใช้ยังตัดสินว่าราว 37% ไม่เกี่ยวข้องกัน ซึ่งอาจทำให้เกิดการติดตามข้ามไซต์ที่ผู้ใช้ไม่คาดคิดได้
- หากต้องการตรวจสอบความสัมพันธ์ ผู้ใช้ต้องเปิดไซต์ก่อน ดังนั้นทันทีที่เห็น แบรนด์หรือโลโก้ร่วมกัน โอกาสในการแชร์ข้อมูลและติดตามก็เกิดขึ้นแล้ว
- Brave, Firefox, Safari คัดค้าน RWS หรือชื่อเดิมคือ First-Party Sets และข้อเสนอนี้ก็ถูกนำออกจาก W3C Privacy Community Group แล้ว
สมมติฐานความเป็นส่วนตัวบนเว็บที่ RWS เปลี่ยนไป
- Related Website Sets (RWS) เป็นฟีเจอร์ที่ Google นำมาใช้ใน Chrome ก่อนการยุติการใช้คุกกี้บุคคลที่สาม
- Google อ้างว่า RWS ช่วยลดปัญหาความเข้ากันได้ของไซต์ และช่วยรักษาสถานะการเข้าสู่ระบบระหว่างโดเมนที่เกี่ยวข้องกัน
- Brave วิจารณ์ว่า RWS ให้ความสำคัญกับผลประโยชน์ของผู้ลงโฆษณามากกว่าผลประโยชน์ของผู้ใช้ และเป็นกลไกที่ยังคงอนุญาตให้เชื่อมโยงข้ามไซต์ได้ต่อไป แม้หลังการยกเลิกคุกกี้บุคคลที่สาม
- สมมติฐานหลักคือ หากสองไซต์ดำเนินการโดยองค์กรเดียวกัน ผู้ใช้ย่อมคาดได้ว่าจะมีการแชร์ข้อมูล และเบราว์เซอร์ก็ไม่จำเป็นต้องใช้การบล็อกในระดับเดียวกับคุกกี้บุคคลที่สาม
- ตัวอย่างที่ยกมาคือ instagram.com และ facebook.com ซึ่งดำเนินการโดย Meta
- สมมติฐานนี้ทำให้โมเดลความเป็นส่วนตัวบนเว็บอ่อนแอลง โดยมุ่งไปในทิศทางที่อนุญาตให้ติดตามข้ามไซต์ได้เพียงเพราะเป็น เจ้าของโดยองค์กรเดียวกัน
การศึกษาผู้ใช้: การเดาความสัมพันธ์ของไซต์ทำได้ยาก
- งานวิจัยตรวจสอบสมมติฐานหลักของ RWS ที่ว่า “ผู้ใช้เว็บสามารถตัดสินความสัมพันธ์ของสองไซต์ได้อย่างแม่นยำหรือไม่”
- นักวิจัยนำเสนอ คู่เว็บไซต์ 20 คู่ ให้กับ ผู้ใช้เว็บ 30 คน ที่รับสมัครผ่านโซเชียลมีเดีย
- คู่เว็บไซต์ถูกสุ่มเลือกจาก รายการ RWS ของ Chrome และ Tranco ซึ่งเป็นรายการเว็บไซต์ยอดนิยม
- ผู้เข้าร่วมตัดสินว่าสองไซต์นั้นดำเนินการโดยองค์กรเดียวกันหรือไม่
- เนื่องจากผู้เข้าร่วมบางคนไม่ได้ตอบทุกข้อ จึงรวบรวมการตัดสินคู่ไซต์เฉพาะได้ทั้งหมด 430 รายการ
- ความคาดหวังของผู้ใช้มักไม่ตรงกับรายการ RWS
- ผู้เข้าร่วมราว 73% ตัดสินความสัมพันธ์ระหว่างสองไซต์ผิดอย่างน้อยหนึ่งครั้ง
- ในการตัดสินทั้งหมด ราว 42% เป็นคำตอบผิด
- แม้แต่คู่ไซต์ที่เกี่ยวข้องกันจริงตามเกณฑ์ RWS ผู้ใช้ก็ยังมองว่าราว 37% ไม่เกี่ยวข้องกัน
- ผลลัพธ์นี้แสดงให้เห็นว่า RWS อาจทำให้พฤติกรรมที่คล้ายกับคุกกี้บุคคลที่สามกลับมาเป็นไปได้อีกครั้ง แม้ในสถานการณ์ที่ผู้ใช้ไม่ได้คาดคิด
- บทความวิจัยฉบับเต็มเผยแพร่เป็น บทความ arXiv และมีกำหนดนำเสนอที่ 2024 Internet Measurement Conference
โอกาสในการติดตามเกิดขึ้นก่อนการตัดสิน
- สัญชาตญาณเบื้องหลัง RWS คือผู้ใช้จะเข้าใจความสัมพันธ์ระหว่างไซต์ A และไซต์ B ก่อน แล้วจึงเข้าชมไซต์ B เฉพาะเมื่อยอมรับความสัมพันธ์นั้นได้
- ในความเป็นจริง หากผู้ใช้ต้องการตรวจสอบ แบรนด์หรือโลโก้ร่วมกัน ของไซต์ B ก็ต้องโหลดไซต์ B ก่อน
- ทันทีที่หน้าเว็บโหลด โอกาสในการแชร์ข้อมูลและติดตามข้ามไซต์ก็เกิดขึ้นแล้ว
- ดังนั้น RWS อาจสร้างความเสียหายต่อความเป็นส่วนตัวก่อนที่ผู้ใช้จะตัดสินความสัมพันธ์ของสองไซต์ได้
การเป็นเจ้าของโดยองค์กรเดียวกันไม่ใช่เหตุผลให้อนุญาตการติดตาม
- RWS ตั้งอยู่บนแนวคิดว่า หากสองไซต์เกี่ยวข้องกัน การที่เบราว์เซอร์ลดการคุ้มครองความเป็นส่วนตัวระหว่างสองไซต์นั้นก็ไม่เป็นอันตรายหรือยอมรับได้
- Brave มองว่าสมมติฐานนี้ผิด
- หากผู้ใช้สมัครบัญชี Facebook และบัญชี Instagram ด้วยอีเมลและข้อมูลคนละชุด เบราว์เซอร์สมัยใหม่สามารถป้องกันไม่ให้ Meta รู้ได้ว่าทั้งสองบัญชีเป็นของคนเดียวกัน
- เบราว์เซอร์สำหรับผู้ใช้ทั่วไปอย่าง Brave, Firefox, Safari รวมถึงเบราว์เซอร์เพื่อวัตถุประสงค์เฉพาะอย่าง Tor Browser, Icefox ก็สามารถให้การคุ้มครองแบบนี้เป็นพฤติกรรมเริ่มต้นได้
- บริษัทบางแห่งพยายามหลบเลี่ยงการคุ้มครองความเป็นส่วนตัวของเบราว์เซอร์ด้วย link decoration หรือ bounce tracking
- ความแตกต่างสำคัญคือ ขณะที่เบราว์เซอร์ที่เน้นความเป็นส่วนตัวทดลองเทคนิคการบล็อกการติดตามข้ามไซต์ Chrome กลับออกแบบฟีเจอร์ที่อนุญาตให้เชื่อมโยงข้ามไซต์
ปฏิกิริยาของเบราว์เซอร์และชุมชนมาตรฐาน
- RWS ถูกนำเสนอเหมือนข้อเสนอเว็บทั่วไป แต่ผู้มีส่วนเกี่ยวข้องหลายฝ่ายในระบบนิเวศเว็บได้ตรวจสอบและปฏิเสธไปแล้ว
- Brave, Firefox, Safari ได้เปิดเผยจุดยืนต่อสาธารณะว่า RWS หรือชื่อเดิมคือ First-Party Sets ไม่เป็นผลดีต่อผู้ใช้และเว็บ
- ข้อเสนอนี้ถูกนำออกจาก W3C Privacy Community Group แล้ว และไม่ได้รับการพิจารณาในกลุ่มของ W3C ที่เน้นความเป็นส่วนตัวอีกต่อไป
การเปลี่ยนแปลงความเป็นเจ้าของและกำแพงภาษา
- โดเมนที่อยู่ในรายการ RWS อาจถูกโอนไปยังเจ้าของรายอื่นในภายหลังได้
- การที่วันนี้โดเมน A, B, C ดำเนินการโดยองค์กรเดียวกัน ไม่ได้การันตีว่าพรุ่งนี้จะยังเป็นเจ้าของโดยองค์กรเดียวกัน
- มีความเสี่ยงลักษณะเดียวกับกรณีส่วนขยายเบราว์เซอร์ถูกขายจากผู้ที่น่าเชื่อถือไปให้ผู้ไม่ประสงค์ดี หรือกรณีไลบรารีซอฟต์แวร์ยอดนิยมและ dependency ถูกยึดครอง
- แม้ไซต์จะเกี่ยวข้องกันอย่างมีนัยสำคัญในช่วงที่ถูกเพิ่มเข้าไปในรายการ แต่ยังมีข้อกังวลว่าไม่มีกลไกในการนำออกเมื่อความเป็นเจ้าของเปลี่ยนไปอย่างเงียบ ๆ
- ยังมีปัญหาด้านภาษาและการรับรู้ด้วย
- แม้ในสถานการณ์ที่ผู้ใช้ภาษาอังกฤษประเมินไซต์ภาษาอังกฤษ ผู้ใช้ก็ยังไม่คาดคิดว่าไซต์ที่ Google ตัดสินว่าเกี่ยวข้องกันนั้นเกี่ยวข้องกัน
- เมื่อผู้ใช้เข้าชมไซต์ในภาษาที่ตนไม่รู้จัก การตัดสินความสัมพันธ์อาจยิ่งยากขึ้น
สรุป
- RWS อาจเป็นอันตรายต่อความเป็นส่วนตัวบนเว็บในสามรูปแบบ
- สมมติฐานที่ว่าผู้ใช้สามารถคาดเดาได้ว่าไซต์ใดเกี่ยวข้องกัน ไม่สอดคล้องกับพฤติกรรมของผู้ใช้จริง
- โอกาสในการติดตามข้ามไซต์เกิดขึ้นแล้ว ก่อนที่ผู้ใช้จะตัดสินได้ว่าสองไซต์ดำเนินการโดยองค์กรเดียวกันหรือไม่
- มันทำให้สมมติฐานที่ว่า หากไซต์เป็นขององค์กรเดียวกัน องค์กรนั้นก็ควรติดตามผู้ใช้ข้ามไซต์ได้ กลายเป็นสิ่งฝังแน่นในแพลตฟอร์มเว็บ
- เบราว์เซอร์ที่เคารพความเป็นส่วนตัวกำลังเดินไปในทิศทางที่พยายามบล็อกการติดตามของทุกไซต์ โดยไม่ขึ้นกับองค์กรเจ้าของ
1 ความคิดเห็น
ความคิดเห็นจาก Hacker News
แต่ก็แทบไม่มีเว็บไซต์ที่รองรับ Encrypted Client Hello อยู่ดี เรื่องหน่วยความจำก็แค่ซื้อเพิ่มน่าจะดีกว่า ยกเว้นกรณีที่โชคดีได้ใช้ผลิตภัณฑ์ของ Apple
เบราว์เซอร์ควรอยู่ ข้างผู้ใช้ และไม่ควรร่วมมือกับบริษัทการตลาด ยิ่งไปกว่านั้นควรทำให้การติดตามผู้ใช้และการเก็บลายนิ้วมือทำได้ยากขึ้น ไม่จำเป็นต้องติดตามประวัติการท่องเว็บของผู้ใช้ แค่สร้างผลิตภัณฑ์ที่ดีกว่าคู่แข่ง ได้อันดับ 1 ในรีวิวและบทเปรียบเทียบ แล้วซื้อโฆษณากับอินฟลูเอนเซอร์ก็พอ
คงจะดีถ้าเบราว์เซอร์ทำให้ การเก็บลายนิ้วมือ ยากขึ้น โดยบล็อกการอ่านข้อมูล canvas, การอ่านชื่อ GPU, การไล่ดูรายการการ์ดเสียง, การตรวจจับส่วนขยายที่ติดตั้งไว้ เป็นต้น ส่วน Web API ใหม่ ๆ ก็ควรต้องรับประกันว่าไม่เพิ่มข้อมูลสำหรับการทำ fingerprinting หรือไม่ก็ซ่อนไว้หลังระบบสิทธิ์
สำหรับคุกกี้บุคคลที่สาม เบราว์เซอร์น่าจะมีปุ่มให้ยกเว้นเฉพาะกับเว็บไซต์เก่าที่ต้องพึ่งสิ่งนี้ แทนการใช้รายชื่อชวนกังขาอย่าง RWS แต่อีกด้านหนึ่งก็เสี่ยงที่หนังสือพิมพ์ บล็อก หรือเว็บถามตอบ จะบังคับให้กดปุ่มนั้นเพื่อดูเนื้อหา
เหตุผลในการมีอยู่ของ Chrome คือการเก็บข้อมูล ส่วน Firefox อย่างน้อยตอนนี้ก็ยังปรับแต่งให้เข้าข้างผู้ใช้และบล็อกการทำ fingerprinting ได้มากพอสมควร แต่ตอนนี้ Mozilla ก็กลายเป็นบริษัท ad tech ไปแล้วเช่นกัน และการที่ Firefox ถูกทำให้คอยสอดส่องผู้ใช้โดยค่าเริ่มต้นเพื่อให้ขายข้อมูลนั้นให้กับนักการตลาดได้ ก็แสดงให้เห็นถึงการไม่เคารพผู้ใช้ Firefox
ตอนนี้สามารถปิดการสอดส่องนั้นได้ด้วยการตั้งค่า
dom.private-attribution.submission.enabledเป็นfalseในabout:configดู https://news.ycombinator.com/item?id=41311479 และ https://web.archive.org/web/20240827185708/https://make-fire... ยังไม่รู้ว่าตัวเลือกนี้จะคงอยู่นานแค่ไหน หรือหลังอัปเดตจะต้องคอยตั้งกลับเป็น
falseใหม่บ่อยแค่ไหนเราต้องการเบราว์เซอร์ใหม่ที่ทำงานเพื่อประโยชน์ของผู้ใช้อย่างแท้จริง
เพราะแบบนี้จึงมักมีคนบอกว่าทางออกเดียวของปัญหานี้คือการกำกับดูแล และมุมมองนั้นก็น่าเชื่อถือไม่น้อย
ทั้งหมดนี้ดูคล้ายการฮั้วกัน และการที่เบราว์เซอร์ซับซ้อนกว่าระบบปฏิบัติการที่มันรันอยู่เสียอีก ก็เหมือนเป็นโครงสร้างที่ตั้งใจทำให้ทีมเล็ก ๆ ไม่มีทางเขย่าวงการได้ วิธีแก้แบบดื้อ ๆ คือหลีกเลี่ยงเว็บให้มากที่สุดและหันไปสนใจคอมพิวติ้งในระดับที่มนุษย์ยังควบคุมได้
ข่าวและการถกเถียงเชิงนโยบายทั้งหมดที่วนอยู่รอบคุกกี้ดูเหมือนเป็นเพียงการเปิดเผยแบบจำกัดวง
ถ้าอย่างนั้นก็เท่ากับว่าเว็บไซต์สามารถประกาศโดเมน “ที่ได้รับการอวยพร” เพื่ออ้อมการบล็อกคุกกี้บุคคลที่สามได้เองงั้นหรือ? เว็บไซต์ขนาดใหญ่พยายามหาวิธีใหม่ ๆ มาใช้ในทางที่ผิดเพื่อเลี่ยงความพยายามของผู้ใช้ที่จะปกป้องตัวเองอยู่ตลอด เราจะเชื่อได้อย่างไรว่าพวกเขาจะไม่ใช้สิ่งนี้ในทางที่ผิด
แต่ตามที่บทความพูดไว้ แค่ดูเนื้อหาในรายการเบื้องต้นก็น่ากังวลแล้ว แนวคิดที่ว่า “Google เป็นผู้ชี้ขาดของทุกอย่างที่เกี่ยวกับโฆษณา” นั้นล้มเหลว
ถึงอย่างนั้นทางเลือกอื่นก็ไม่ได้ดีนัก ระบบคุกกี้บุคคลที่สามแบบปัจจุบันเปิดทางให้เรื่องที่เลวร้ายกว่านี้มาก เราต้องการแนวคิดที่ดีกว่านี้
การทำแบบนั้นดูดีกว่า
แต่ก็มีกรณีใช้งานที่ชอบธรรมอยู่ เช่น เว็บไซต์ในเครือ Stack Exchange มีความเกี่ยวข้องกันอย่างชัดเจนและมีแบรนด์รวมกัน แต่ใช้คนละโดเมน ใน Firefox ที่บล็อกคุกกี้บุคคลที่สาม ผู้ใช้ต้องล็อกอินแยกในแต่ละโดเมน ดังนั้นต่อให้ล็อกอินที่
stackoverflow.comแล้ว ไปที่superuser.comก็จะยังไม่ได้อยู่ในสถานะล็อกอินอยู่ดี ปัญหาที่ First Party Sets พยายามแก้ก็คือจุดนี้จะบอกว่าเว็บไซต์เหล่านี้ควรเป็น subdomain ของโดเมนรวมเดียวกันก็คงได้ แต่ตอนที่สร้างเว็บไซต์เหล่านี้ขึ้นมา คุกกี้บุคคลที่สามยังใช้งานได้ปกติดี จึงไม่มีเหตุผลแรงพอที่จะต้องทำแบบนั้น การย้ายแอปไปอีกโดเมนโดยไม่สร้างปัญหาให้ผู้ใช้นั้นทั้งเจ็บปวดและอาจมีต้นทุนสูงมาก
ไม่ได้หมายความว่าควรยอมรับ First Party Sets ตามนั้นเลย แต่ก็เป็นความพยายามแก้ปัญหาที่มีอยู่จริง การหาทางออกที่ทั้งปกป้องความเป็นส่วนตัวของผู้ใช้และยังคงประสบการณ์ที่ดีของเว็บไซต์ที่เกี่ยวข้องกันจริง ๆ ไว้ได้ เป็นเรื่องยาก หรืออาจถึงขั้นเป็นไปไม่ได้
stackoverflow.comแล้วไปติดล็อกอินต่อที่superuser.comได้โดยอัตโนมัติ ก็คาดหวังได้กับ ป๊อปอัปขอสิทธิ์ ประมาณว่า “เว็บไซต์นี้ต้องการแชร์คุกกี้กับstackexchange.comกดอนุญาตเพื่อล็อกอิน กดปฏิเสธเพื่อไม่อนุญาตถาวร หรือกดไม่ต้องสนใจเพื่อตัดสินใจภายหลัง”คลิกครั้งเดียวก็ได้ข้อดีของทั้งสองฝั่งพร้อมกัน เพื่อลดความสับสน ทุกเว็บไซต์ควรมี “โดเมนบุคคลที่หนึ่ง” เดียวที่ใช้ร่วมกันทั้งไซต์ย่อยทั้งหมด และโดเมนบุคคลที่หนึ่งนั้นไม่ควรสามารถแชร์คุกกี้กับไซต์อื่นใดนอกจากตัวเองได้
ถ้าพวกเขาให้ความสำคัญกับการอนุญาตให้ล็อกอินแบบรวมศูนย์ข้ามหลายโดเมนจริง ก็ควรย้ายไปใช้โมเดลซับโดเมนตั้งนานแล้ว เพราะผู้ใช้ Firefox และ Safari ได้รับผลกระทบในทางลบมานานมาก
ถ้าไม่ได้ให้ความสำคัญมากขนาดนั้นก็ไม่เป็นไร แต่ถ้าอย่างนั้น การบล็อกคุกกี้บุคคลที่สามของ Chrome หรือการถกเถียงเรื่อง First Party Sets ก็คงไม่เกี่ยวกับพวกเขามากนัก
signin.foo.comในช่วงหนึ่ง แต่ในแง่ประสบการณ์ใช้งานจะดูเหมือนได้รับการยืนยันตัวตนแล้วโดยไม่ต้องล็อกอินใหม่หรือคาดหวังให้นักพัฒนาส่งโดเมนที่เกี่ยวข้องไปยังแต่ละเบราว์เซอร์ และให้แต่ละเบราว์เซอร์ดูแลรายการของตัวเอง
ฟังดูคล้าย HSTS
[0]: https://github.com/GoogleChrome/related-website-sets/blob/ma...
/.well-known/related-website-set.jsonแล้วนโยบายคุกกี้และค่าตั้งต้นสามารถพัฒนาและปล่อยใช้งานได้ตามต้องการ
ฉันเริ่มรวบรวมบทความและการวิเคราะห์หลายชิ้นเกี่ยวกับโครงการอย่าง Privacy Sandbox ของ Google ไว้ที่ https://privacysandstorm.com/proposals/ และยังเผยแพร่วัสดุอื่น ๆ เช่นชุดข้อมูลและเครื่องมือด้วย หากสนใจก็ยินดีรับการมีส่วนร่วม
Yohan (https://yohan.beugin.org/)
[1] Interest-disclosing Mechanisms for Advertising are Privacy-Exposing (not Preserving) https://petsymposium.org/popets/2024/popets-2024-0004.php
[2] A Public and Reproducible Assessment of the Topics API on Real Data - https://arxiv.org/abs/2403.19577
https://arxiv.org/html/2403.19577v1