Zum jetzigen Zeitpunkt konnte ich keine offizielle Nachricht von Google zu dieser Spezifikation finden, daher ist es möglich, dass es sich nur um die Arbeit eines fehlgeleiteten Ingenieurs im Unternehmen handelt, der keine Unterstützung von oben hat, aber es scheint eine Arbeit zu sein wird seit mehr als einem Jahr durchgeführt und die resultierende Spezifikation ist für das offene Web so giftig, dass Google an dieser Stelle zumindest eine Erklärung abgeben muss, wie es so weit kommen konnte.
Was ist Webumgebungsintegrität? Es ist einfach gefährlich.
Die fragliche Spezifikation, die unter https://github.com/RupertBenWiser/Web-Environment-Integrity/blob/main/explainer.md beschrieben wird, heißt Web Environment Integrity. Die Idee dahinter ist ebenso einfach wie gefährlich. Es würde Websites mit einer API ausstatten, die ihnen mitteilt, ob dem Browser und der Plattform, auf der er gerade verwendet wird, ein vertrauenswürdiger Dritter (ein sogenannter Attester) vertraut. Die Details sind unklar, aber das Ziel scheint darin zu bestehen, „falsche“ Interaktionen mit Websites aller Art zu verhindern. Obwohl dies wie eine noble Motivation erscheint und die aufgeführten Anwendungsfälle sehr vernünftig erscheinen, ist die vorgeschlagene Lösung absolut schrecklich und wurde bereits mit DRM für Websites gleichgesetzt, mit allem, was dazu gehört.
Interessant ist auch, dass es beim ersten aufgeführten Anwendungsfall darum geht, sicherzustellen, dass Interaktionen mit Anzeigen echt sind. Auch wenn dies oberflächlich betrachtet kein Problem darstellt, deutet es doch auf die Idee hin, dass Google bereit ist, alle Mittel zu nutzen, um seine Werbeplattform zu stärken, ungeachtet des potenziellen Schadens für die Nutzer des Webs. Obwohl der Text das unglaubliche Risiko erwähnt, das mit dem Ausschluss von Anbietern einhergeht (lesen Sie, andere Browser), wird nur ein lauer Versuch unternommen, das Problem anzugehen, und am Ende gibt es keine wirkliche Lösung.
Was ist also das Problem?
Wenn eine Entität einfach entscheiden kann, welche Browser vertrauenswürdig sind und welche nicht, gibt es keine Garantie dafür, dass sie einem bestimmten Browser vertrauen wird. Jeder neue Browser wird standardmäßig nicht als vertrauenswürdig eingestuft, bis er auf irgendeine Weise nachgewiesen hat, dass er vertrauenswürdig ist. Dies liegt im Ermessen der Prüfer.
Außerdem würde jeder, der nicht mehr mit veralteter Software arbeitet, bei der diese Spezifikation nicht unterstützt wird, irgendwann vom Web ausgeschlossen werden.
Erschwerend kommt hinzu, dass das wichtigste Beispiel für einen Attestierer Google Play auf Android ist. Das heißt, Google entscheidet, welcher Browser auf seiner eigenen Plattform vertrauenswürdig ist. Ich sehe nicht ein, wie man von ihnen Unparteilichkeit erwarten kann.
Unter Windows würden sie sich wahrscheinlich über den Windows Store an Microsoft wenden, und unter Mac würden sie sich an Apple wenden. Wir können also davon ausgehen, dass zumindest Edge und Safari vertrauenswürdig sind. Jeder andere Browser bleibt den Gunsten dieser drei Unternehmen überlassen.
Natürlich fällt Ihnen im vorherigen Absatz eine eklatante Auslassung auf. Was ist mit Linux? Nun, das ist die große Frage. Wird Linux vollständig vom Surfen im Internet ausgeschlossen? Oder wird Canonical durch die Kontrolle der Snaps-Paket-Repositorys zum Entscheider? Wer weiß. Aber für Linux sieht es nicht gut aus.
Das allein wäre schon schlimm genug, aber es kommt noch schlimmer. Die Spezifikation weist stark darauf hin, dass ein Ziel darin besteht, sicherzustellen, dass echte Menschen mit der Website interagieren. Es wird in keiner Weise klargestellt, wie dies erreicht werden soll, daher bleiben uns einige große Fragen, wie dies erreicht werden soll. Werden Verhaltensdaten verwendet, um festzustellen, ob sich der Benutzer menschenähnlich verhält? Werden diese Daten den Attestierern vorgelegt? Werden Barrierefreiheitstools, die auf der Automatisierung der Eingabe in den Browser basieren, dazu führen, dass dieser nicht mehr vertrauenswürdig ist? Wird es Erweiterungen betreffen?
Die Spezifikation sieht derzeit zwar eine Ausnahmeregelung für Browsermodifikationen und -erweiterungen vor, diese können jedoch die Automatisierung von Interaktionen mit einer Website trivial machen. Entweder ist die Spezifikation also nutzlos oder es werden irgendwann auch dort Einschränkungen angewendet. Ansonsten wäre es für einen Angreifer trivial, das Ganze zu umgehen.
Können wir uns einfach weigern, es umzusetzen?
Leider ist es dieses Mal nicht so einfach. Jeder Browser, der sich dafür entscheidet, dies nicht zu implementieren, wäre nicht vertrauenswürdig und jede Website, die sich für die Verwendung dieser API entscheidet, könnte daher Benutzer dieser Browser ablehnen.
Google verfügt auch über Möglichkeiten, die Akzeptanz durch Websites selbst zu steigern. Erstens können sie ganz einfach alle ihre Eigenschaften von der Verwendung dieser Funktionen abhängig machen, und die Nichtnutzung von Google-Websites ist für die meisten Browser bereits ein Todesurteil. Darüber hinaus könnten sie versuchen, Websites, die Google Ads verwenden, vorzuschreiben, diese API ebenfalls zu verwenden, was sinnvoll ist, da das erste Ziel darin besteht, gefälschte Anzeigenklicks zu verhindern. Das würde schnell dafür sorgen, dass jeder Browser, der die API nicht unterstützt, dem Untergang geweiht wäre.
Es gibt Hoffnung.
Es besteht eine überwältigende Wahrscheinlichkeit, dass das EU-Recht einigen wenigen Unternehmen keine weitreichende Entscheidungsbefugnis einräumen wird, welche Browser zulässig sind und welche nicht.
Es besteht kein Zweifel, dass die Prüfer einem enormen Druck ausgesetzt wären, so fair wie möglich zu sein. Leider sind Gesetzgebungs- und Justizapparate in der Regel langsam, und es lässt sich nicht sagen, wie viel Schaden entstehen wird, während Regierungen und Richter dies prüfen.
Wenn dies vorangetrieben wird, wird es eine schwierige Zeit für das offene Web und könnte kleinere Anbieter erheblich beeinträchtigen. Es ist seit langem bekannt, dass Googles Dominanz auf dem Webbrowser-Markt das Potenzial hat, zu einer existenziellen Bedrohung für das Web zu werden. Mit jeder schlechten Idee, die sie auf den Tisch brachten, wie FLOC, TOPIC und Client Hints, kamen sie der Verwirklichung dieses Potenzials näher.
Bei Web Environment Integrity handelt es sich eher um das Gleiche, aber auch um einen Schritt über den Rest, was die Bedrohung angeht, die es darstellt, insbesondere da es dazu genutzt werden könnte, Microsoft und Apple zur Zusammenarbeit mit Google zu ermutigen, um den Wettbewerb sowohl im Browser- als auch im Betriebssystembereich einzuschränken.
Es ist unbedingt erforderlich, dass sie darauf aufmerksam gemacht und daran gehindert werden, voranzukommen. Während unsere Wachsamkeit es uns ermöglicht, all diese Versuche, das Web zu untergraben, zu bemerken und uns dagegen zu wehren, besteht die einzige langfristige Lösung darin, Google zu gleichen Wettbewerbsbedingungen zu verhelfen. Da hilft die Gesetzgebung, aber auch die Reduzierung ihres Marktanteils.
Ebenso wird unsere Stimme für jeden Vivaldi-Benutzer stärker, sodass wir in diesen Diskussionen effektiver sein können. Wir hoffen, dass die Nutzer des Internets dies erkennen und ihre Browser entsprechend auswählen. Der Kampf dafür, dass das Internet offen bleibt, wird langwierig sein und es steht viel auf dem Spiel. Lasst uns gemeinsam kämpfen.
