วิสัยทัศน์ของ Mozilla สำหรับข้อมูลรับรองบนเว็บที่พยายามรักษาความเปิดกว้างและความเป็นส่วนตัวแม้ในยุคของบอต
(blog.mozilla.org)- เมื่อการใช้งานบอตในทางที่ผิดเพิ่มขึ้น เว็บไซต์ต่าง ๆ จึงเข้มงวดกับ CAPTCHA และข้อกำหนดการล็อกอินมากขึ้น ทำให้ผู้ใช้ปกติต้องเผชิญทั้ง แรงเสียดทานในการเข้าถึง และความเป็นส่วนตัวที่ลดลง
- การเสริมความเข้มงวดของการป้องกันการติดตามในเบราว์เซอร์เป็นสิ่งจำเป็นต่อการปกป้องผู้ใช้ แต่ก็ทำให้สัญญาณอย่างที่อยู่ IP และลายนิ้วมือเบราว์เซอร์ซึ่งเว็บไซต์เดิมใช้เพื่อ ป้องกันการใช้งานในทางที่ผิด อ่อนประสิทธิภาพลงด้วย
- Mozilla มองว่า การพิสูจน์ความน่าเชื่อถือของอุปกรณ์ อย่าง Web Environment Integrity อาจเสี่ยงต่อการยกอำนาจควบคุมการเข้าถึงเว็บไปให้ผู้ให้บริการ OS และฮาร์ดแวร์เพียงไม่กี่ราย
- ทางเลือกคือแนวทาง ข้อมูลรับรองแบบไม่ระบุตัวตน ที่ตรวจสอบได้ว่าผู้ใช้อยู่ภายในขอบเขตการใช้งานที่สมเหตุสมผล โดยไม่เปิดเผยตัวตนของผู้ใช้หรือแหล่งที่ออกข้อมูลรับรอง
- Cloudflare ร่วมกับเบราว์เซอร์อื่น ๆ และผู้มีส่วนได้ส่วนเสียบนเว็บรายอื่นได้เริ่มออกแบบร่วมกันแล้ว โดยมีเป้าหมายเพื่อลด CAPTCHA การบล็อกที่ไม่จำเป็น และการบังคับให้ผู้ใช้ต้องระบุตัวเอง
จุดที่การปกป้องความเป็นส่วนตัวปะทะกับการป้องกันการใช้งานในทางที่ผิด
- การปกป้องความเป็นส่วนตัวบนเว็บยังคงเข้มข้นขึ้นอย่างต่อเนื่อง
- เบราว์เซอร์ที่ให้ความสำคัญกับความเป็นส่วนตัวกำลังกำจัด คุกกี้บุคคลที่สาม
- พวกมันรับมือกับตัวติดตามด้วยการจำกัดการติดตามผ่านลายนิ้วมือเบราว์เซอร์และซ่อนที่อยู่ IP
- การเปลี่ยนแปลงนี้สร้างต้นทุนใหม่ให้กับประสบการณ์ผู้ใช้
- ผู้ใช้ต้องเจอ CAPTCHA มากขึ้น คำขอให้ล็อกอินมากขึ้น และหน้าบล็อกมากขึ้น
- ที่อยู่ IP และลายนิ้วมือเบราว์เซอร์เคยถูกใช้เพื่อสร้างโปรไฟล์ผู้ใช้ แต่ขณะเดียวกันก็ถูกใช้เป็นสัญญาณสำหรับ ป้องกันการใช้งานในทางที่ผิด ของเว็บไซต์ด้วย
- การเพิ่มขึ้นของทราฟฟิกจากบอตยังเป็นภาระโดยตรงต่อการดำเนินงานของเว็บไซต์
- การใช้งานในทางที่ผิดในวงกว้างอย่าง credential stuffing และสแปมสามารถสร้างความเสียหายจริงได้
- แม้แต่ผู้เข้าชมปกติก็ต้องยอมรับแรงเสียดทานที่มากขึ้นและความเป็นส่วนตัวที่ลดลง และเว็บไซต์ก็อาจผลักผู้ใช้ที่ตั้งใจให้บริการออกไปเสียเอง
- หากไม่มีการเปลี่ยนแปลง ผู้ใช้จะถูกกดดันให้ต้องเลือกระหว่าง ความเป็นส่วนตัว กับ การเข้าถึงเว็บ
- ข้อเสนออย่าง Web Environment Integrity (WEI) เป็นแนวทางที่ให้ผู้ใช้พิสูจน์กับเว็บไซต์ว่าอุปกรณ์และซอฟต์แวร์ของตน “เชื่อถือได้”
- Mozilla มองว่าแนวทางนี้ย้ายอำนาจควบคุมอุปกรณ์จากผู้ใช้ไปสู่ผู้ให้บริการ OS และฮาร์ดแวร์เพียงไม่กี่ราย
- ผู้ให้บริการเหล่านั้นจะเป็นผู้ตัดสินว่าอุปกรณ์และซอฟต์แวร์ใดสามารถเข้าถึงเว็บได้ ซึ่งสวนทางกับ เว็บแบบเปิด
วิธีพิสูจน์การจำกัดอัตราการใช้งานด้วยข้อมูลรับรองแบบไม่ระบุตัวตน
- แก่นของความเสียหายจากบอตอยู่ที่การทำงานในระดับมหาศาล
- เว็บไซต์ไม่จำเป็นต้องรู้ตัวตนของผู้ใช้
- ไม่จำเป็นต้องตรวจสอบว่าอุปกรณ์ของผู้ใช้รันเฉพาะซอฟต์แวร์ที่ได้รับอนุมัติหรือไม่
- เพียงแค่รู้ว่าอยู่ภายใน ขีดจำกัดอัตราการใช้งาน ที่สมเหตุสมผลก็พอ
- หากการจำกัดอัตราการใช้งานจะได้ผล ผู้โจมตีต้องไม่สามารถสร้างตัวตนใหม่เพื่อรีเซ็ตขีดจำกัดได้ง่าย
- เหตุผลที่เว็บไซต์เรียกร้องอีเมล การล็อกอินแบบรวมศูนย์ หรือการทำลายนิ้วมืออุปกรณ์ ก็เพื่อทำให้การได้ตัวระบุใหม่มีต้นทุน
- ปัญหาคือตัวระบุเหล่านี้อาจถูกใช้เพื่อติดตามได้ด้วย
- ความสัมพันธ์ผู้ใช้ที่มีอยู่เดิมสามารถทำหน้าที่เป็นการรับรองแบบเงียบ ๆ จากอีกเว็บไซต์หนึ่งได้
- ตัวอย่างเช่น เว็บไซต์ที่มีความสัมพันธ์กับผู้ใช้ เช่น การสมัครสมาชิกหรือบัญชีที่ใช้งานมานาน สามารถรับรองผู้ใช้ได้
- เว็บไซต์ที่ผู้ใช้เพิ่งเข้าเป็นครั้งแรกสามารถเชื่อได้ว่าผู้ใช้นั้นเป็นผู้ใช้จริงที่อยู่ภายในขีดจำกัด แต่ไม่ควรรู้ตัวตนของผู้ใช้หรือแหล่งที่มาของการรับรอง
- กรณีของ VPN แสดงให้เห็นชัดว่าทำไมแนวทางนี้จึงจำเป็น
- หลายเว็บไซต์บล็อก ทราฟฟิกจาก VPN ทั้งหมด เพราะมองว่ามีทั้งทราฟฟิกปกติและทราฟฟิกที่ใช้งานในทางที่ผิดปะปนกัน
- หากบริการ VPN สามารถรับรองผู้สมัครสมาชิกแต่ละรายได้ เว็บไซต์ก็จะจัดการการจำกัดอัตราการใช้งานในระดับผู้สมัครสมาชิกได้
- แต่หากระบบรับรองทำให้สามารถติดตามผู้ใช้ VPN ได้ จุดประสงค์ของการใช้ VPN ก็จะเสียไป
- Private Access Tokens ของ Apple ซึ่งอิงกับ Privacy Pass สามารถให้โทเคนใช้ครั้งเดียวเพื่อป้องกันการเชื่อมโยงระหว่างการเข้าชมแต่ละครั้งได้
- Mozilla มองว่าวิธีนี้ก็ยังมี ข้อจำกัดสำคัญ
- เช่นเดียวกับ WEI มันยังพึ่งพาการพิสูจน์อุปกรณ์ จึงไม่สามารถหลีกเลี่ยงการคัดกรองโดยฮาร์ดแวร์ได้
- และยากที่จะเปิดระบบให้ผู้มีส่วนร่วมมากขึ้นสามารถรับรองผู้ใช้ได้พร้อมกับคงความเป็นส่วนตัวไว้ ทำให้การควบคุมอาจกระจุกตัวอยู่กับคนเพียงไม่กี่กลุ่ม
- โครงสร้างที่ Mozilla มุ่งไปคือระบบที่ใครก็สามารถรับรองผู้ใช้ได้ และแต่ละเว็บไซต์สามารถเลือกผู้รับรองที่ตนไว้วางใจได้เอง
- Anonymous credentials ช่วยให้ผู้ใช้นำข้อมูลรับรองที่ออกโดยหน่วยงานหนึ่งไปแสดงต่อเว็บไซต์ได้ในจำนวนครั้งที่จำกัดภายหลัง โดยที่ทั้งเว็บไซต์และผู้ออกไม่สามารถติดตามการใช้งานได้
- ยังสามารถซ่อนด้วยว่าใครเป็นผู้ออกข้อมูลรับรอง โดยพิสูจน์ได้เพียงว่าออกมาจากหนึ่งในชุดผู้ออกที่เชื่อถือได้
- Mozilla ได้เริ่มออกแบบระบบลักษณะนี้ร่วมกับ Cloudflare และผู้มีส่วนได้ส่วนเสียบนเว็บรายอื่น รวมถึงเบราว์เซอร์ต่าง ๆ
- ดูแนวทางที่ละเอียดกว่านี้ได้ใน Mozilla Hacks: PACT: Anonymous Credentials for the Web
- เป้าหมายสุดท้ายคือทำให้ CAPTCHA ลดลง ลดการบล็อกที่ไม่จำเป็น และลดการบังคับให้ผู้ใช้ระบุตัวเอง โดยไม่ทำลายความเป็นส่วนตัว
1 ความคิดเห็น
ความคิดเห็นจาก Lobste.rs
อย่างไรก็ตาม ช่องทางรั่วไหลด้านเวลายังเป็นเรื่องที่น่ากังวลได้ โดย credential แบบไม่ระบุตัวตนที่นำเสนอได้หลายครั้งช่วยลดช่องทางรั่วไหลลักษณะนี้ได้ค่อนข้างมาก เมื่อเทียบกับโทเคนใช้ครั้งเดียวที่ Privacy Pass ใช้งานอยู่ในปัจจุบัน
แต่ผมสงสัยตรงที่บอกว่า “ถ้าผู้ใช้ยังไม่มี Endorsement จาก Anchor ที่เหมาะสมเลย ก็สามารถบูตสแตรป Credential ได้ด้วยกลไกเดิมอย่าง CAPTCHA, การสร้างบัญชี หรือการล็อกอินแบบ federated”
CAPTCHA แทบใช้ไม่ได้ผล นอกจากจะเป็นวิธีบังคับให้ผู้ใช้อยู่ค้างนานพอจะถูกเก็บลายนิ้วมือดิจิทัล ส่วนการสร้างบัญชีและการล็อกอินแบบ federated ก็ต้องไปตั้งด่านด้วยกลไกอื่นอยู่ดี จึงแค่เลื่อนปัญหาไปอีกชั้นหนึ่งเท่านั้น
แถมคุณก็ไม่อาจบังคับให้คนที่กำลังจะล็อกอินธนาคารจากคอมพิวเตอร์ในห้องสมุดไปสร้างบัญชีใหม่กับเว็บไซต์อื่นได้อีกด้วย ทุกวันนี้ “กลไกเดิม” พึ่งพาการเก็บลายนิ้วมือของเบราว์เซอร์อย่างมาก หรือไม่ก็พึ่งพา hardware attestation แบบที่ Apple ทำ และถ้าเป้าหมายของ Mozilla เป็นต้นคือทำให้การเก็บลายนิ้วมือเป็นไปไม่ได้ ผมก็ไม่แน่ใจว่าสิ่งนี้จะทำงานอย่างไร
แต่อินเทอร์เน็ตมีปัญหาหลักไม่ใช่ Shopify สูญเงินเพราะการฉ้อโกง แต่คือคอนเทนต์ที่เราเคยเข้าชมหายไปเรื่อย ๆ
เช่น เลิกยัด AI เข้าไปในทุกอย่าง และเลิกสนับสนุนหรือเอื้อให้บริษัทที่ก่อความยุ่งเหยิงนี้ตั้งแต่แรก ถ้าครอว์เลอร์พวกนี้ปิดตัวไปเอง เราก็คงไม่ต้องมีวิธีอ้อมแบบนี้
ถึงอย่างนั้น AI ก็เป็นตัวที่ทำให้ทราฟฟิกพุ่งสูงจริง แต่ปัญหานี้เก่ากว่า AI มาก และครอว์เลอร์ก็ไม่ใช่ปัญหาที่ร้ายแรงที่สุดด้วยซ้ำ ตัวอย่างเช่น การนำชุดข้อมูล credential ที่รั่วไหลไปลองกับระบบล็อกอินธนาคาร หรือการ brute-force หมายเลขบัตรของขวัญและบัตรเครดิต เป็นปัญหาที่ใหญ่กว่า
ต่อให้ AI หายไป เราก็แค่กลับไปสู่โลกในระดับปี 2021 และตอนนั้นปัญหานี้ก็ร้ายแรงมากมานานแล้ว