Механизм Signed HTTP Exchanges (SXG)
Месяц назад на конференции для разработчиков компания Google предложила технологию «порталов», которая призвана обеспечить новый способ загрузки и навигации по веб-страницам. По сути, <portal> — это более продвинутая и современная версия <iframe>. Главная разница в том, что <portal> позволяет перемещаться внутри контента, который внедрён на страницу извне, а <iframe> не позволяет этого по соображениям безопасности. Более того, <portal> может изменять URL в адресной строке браузера, то есть этот тег полезнее в качестве инструмента навигации.
Для Google это очень важная технология, потому что позволяет удержать пользователей на поисковом сайте, загружая запрошенный контент с других сайтов через «порталы» в виде веб-пакетов.
С порталами связано ещё несколько проектов, которые Google предлагает принять в качестве стандартов. Все вместе они позволяют упаковать ресурсы веб-сайта, подписать цифровой подписью — и передавать их через сторонние сайты. То, что и нужно для «порталов».
- Signed HTTP Exchanges (SXG);
- формат веб-пакетов с цифровой подписью Web Packaging (передача пользователю ресурсов стороннего сайта, в том числе через пиринговую сеть);
- изменения в спецификации fetch.
Сейчас порталы поддерживаются в Chrome Canary для Android, Mac, Windows, Linux и Chrome OS. Правда, по умолчанию она пока отключена. Чтобы её включить в Chrome Canary, следует активировать флаг порталов в настройках chrome://flags/#enable-portals.
На данный момент только Chrome поддерживает эту технологию, другие браузеры пока не выразили интереса. Более того, сейчас Mozilla выступила с аргументированной критикой, почему технология Web Packaging не нужна и даже вредна для интернета.
Почему Mozilla против
Mozilla подчёркивает, что подобный метод затрудняет реализацию same-origin policy — критического механизма безопасности, который позволяет изолировать потенциально опасные веб-ресурсы, уменьшая поверхность атаки. В частности, этот механизм ограничивает взаимодействие скриптов со сторонними доменами. В свою очередь, Google предлагает полагаться на цифровые подписи.
«По своей сути, замена источника (origin) фундаментально изменяет способ работы интернета, — говорится в документе Mozilla. — Контент больше не обязан следовать связям с источниками. Место, где контент создан, можно полностью отделить от места, где он получен».
Разработчик браузера Firefox беспокоится, что разрешение агрегаторам размещать и транслировать чужой контент увеличивает риски безопасности и порождает новые угрозы: например, скрипты, с помощью которых злоумышленник компрометирует ключ сервера или мошенническим способом получает сертификат с целью создания вредоносного контента от имени источника.
Учитывая, что данный контент может кэшироваться или храниться в нескольких местах, между отзывом сертификата и аннулированием вредоносных распределённых веб-пакетов может пройти несколько дней, пишет Mozilla.
Компания также высказывает несколько других опасений по поводу дополнительной сложности (что негативно влияет на безопасность), возможной потери производительности, навязывания конкретных «бирж» Signed HTTP Exchanges для подписи пакетов и накладных расходов на хранение для издателей и агрегаторов.
Хотя указанные технические проблемы можно решить доработкой стандарта, но Mozilla по-прежнему не уверена, что стандарт Web Packaging полезен для интернета: «Остаётся вопрос, что это фундаментальное изменение способа доставки контента в интернете представляет собой проблемный сдвиг в балансе сил между субъектами, — рассуждают разработчики Firefox. — Мы должны рассмотреть, могут ли агрегаторы использовать эту технологию, чтобы навязать свою волю издателям».
За общими формулировками Mozilla сквозит подозрение, что путём внедрения новых стандартов Google пытается изменить баланс в свою пользу и взять на себя функцию главного поставщика стороннего контента. Эти опасения усиливаются тем, что Chrome сейчас стал фактически стандартным браузером в интернете, а на базе Chromium основаны многочисленные сторонние браузеры, в том числе новый Edge и Opera. Это уже похоже на монополию. Компания Google близка к тому, чтобы продавливать любые стандарты без согласия индустрии, просто внедряя их в Chrome. В такой ситуации сначала веб-разработчики примут нововведение, а затем будут вынуждены подчиниться и остальные браузеры, как это происходило во времена монополии Internet Explorer.
Mozilla считает, что принятие Web Packaging просто увеличит централизацию в вебе, увеличив влияние Facebook и Google как дистрибьюторов контента.
Учитывая, как другие технологии и рыночный выбор повлияли на баланс сил в интернете — речь о технологии Google AMP, авторизации на сайтах через Facebook, изменениях в поисковом рейтинге Google, доле на рынке браузеров и так далее — Mozilla считает необходимым дополнительно изучить последствия внедрения технологии Web Packaging, прежде чем принимать этот стандарт.
«Большие перемены нуждаются в серьёзном обосновании и поддержке. Это конкретное изменение особенно значительное и представляет собой ряд проблем. Повышенная подверженность проблемам безопасности и неизвестное влияние этого на баланс сил достаточно значительны, чтобы мы рассматривали эту технологию как вредную, пока не будет доступно больше информации», — заключает Mozilla.
Комментарии (19)
vibornoff
03.06.2019 12:11Ну да, шпионить за пользователями со стороны браузера слишком палевно. Надо срочно придумать и внедрить SXG, чтобы беспалевно шпионить через брокера, подписывающего контент со сторонних ресурсов.
Как по мне, так слишком сложно. Можно было бы просто купить CloudFlare.
Revertis
03.06.2019 14:05Да, с покупкой CloudFlare они бы получили отличную систему отслеживания.
А так, приходится пока делать AMP, SXG и т.п.
Sabubu
03.06.2019 12:14Смысл обеих технологий — позволить Гуглу отображать сайты из результатов поиска, чтобы при этом пользователь оставался на сайте Гугла. Зачем пользователю идти в огромный опасный интернет, если он вполне может остаться в уютном, безопасном домене Гугла под внимательным наблюдением.
Идея Signed exchange в том, что сайт предоставляет Гуглу подписанный архив страницы, и Гугл отображает ее у себя, при этом браузер подменит URL в адресной строке с URL архива (google.com/archive/xyz) на URL сайта в архиве (example.com/page1), но технически пользователь соединяется с серверами Гугла.
Идея порталов, как понимаю, это другой подход для реализации той же цели.
Ничего нового тут нет, тот же Вконтакте позволяет просматривать текстовое содержимое сайта по ссылке без ухода на него. AMP — это то же самое, но он не нравится издателям тем, что показывает Гугл в адресной строке вместо их домена.
oracle_and_delphi
03.06.2019 13:49Идея Signed exchange в том, что сайт предоставляет Гуглу подписанный архив страницы, и Гугл отображает ее у себя, при этом браузер подменит URL в адресной строке с URL архива (google.com/archive/xyz) на URL сайта в архиве (example.com/page1), но технически пользователь соединяется с серверами Гугла.
То есть для фишингового сайта Хром будет показывать не URL фишеров, а URL банка или магазина?
geisha
03.06.2019 12:23Компания Google близка к тому, чтобы продавливать любые стандарты без согласия индустрии, просто внедряя их в Chrome.
Интересно, в chromium фича тоже наличествует? У себя не нашел.
Revertis
03.06.2019 14:03Для Google это очень важная технология, потому что позволяет удержать пользователей на поисковом сайте, загружая запрошенный контент с других сайтов через «порталы» в виде веб-пакетов.
Скорее для того, чтобы пристально следить за всем, что потребляет тот или иной пользователь.
alsoijw
03.06.2019 18:08«Остаётся вопрос, что это фундаментальное изменение способа доставки контента в интернете представляет собой проблемный сдвиг в балансе сил между субъектами, — рассуждают разработчики Firefox. — Мы должны рассмотреть, могут ли агрегаторы использовать эту технологию, чтобы навязать свою волю издателям»
Mozilla считает, что принятие Web Packaging просто увеличит централизацию в вебе, увеличив влияние Facebook и Google как дистрибьюторов контента.
Отзываем сертификат, и контент исчезает везде. Мечта цензуры. Сейчас хоть скриншоты вставляют или текст перепечатывают.
zim32
04.06.2019 19:18У меня такое ощущение в последнее время что гуглом и госдепом управляют одни т те же люди. Уж больно амбиции у них похожи.
grey_rat
04.06.2019 21:06Наверно будет как с вебкомпонентами. Гугл прикрутит их к своему ютубу, а на тех браузерах которые не захотят делать поддержку порталов — ютуб работать не будет. И вопрос поддержки порталов браузерами решится сам собой.
rsashka
Зато данная технология поможет пользователям безбоязненно делать перепосты сообщений в виде подписанных пакетов и не боясь преследования за фейковые новости. (это такая злая ирония)
Squoworode
Так ведь преследование за репосты отменять никто не собирается. Наоборот, будет проще проверять, не был ли изменён текст исходного поста, чтобы не проводить лишний раз экспертизу.
Dmitrsha01
Преследование и анонимизация ботов политолухов это снова игра вида снаряд VS броня, вопрос распространения подписи пакетов тут мало что добавит. Тема ближе к импорту технологий из смежной отрасли. Например, исторически победоносное заимствование автопромом самолётной системы АВS прошло сравнительно быстро, тогда как с закачкой в шины азота наблюдается прямо противоположная история-с :)
Zoomerman
Перепост наказуем в любом случае, будет он пакетом или не будет.
Другое дело, что заРКНить «распространителей контента» можно будет с легкой руки.
rsashka
ЭП позволяет подтвердить неизменность публикуемого контента.
Разве в этом случае вина за «фейковость» новости не будет сниматься с конечного пользователя (если он опубликовал сообщение в неизменном виде)?
ffs
Зачем? Засудить конкретного пользователя проще, палки выполняются.
Zoomerman
По поводу фейка к пользователю претензий не будет.
В претензию станет «распространение недостоверной информации»
А по наказанию это столько же, как и создание фейковой новости
rsashka
А разве у обычного пользователе появилась обязанность проверять достоверность распространяемой информации, так же как и у официально зарегистрированного СМИ?
Насколько я помню, на СМИ закон о фейках не распространяется и как раз из-за требования проверять достоверность публикуемых фактов.