W3C技術架構組抨擊谷歌將多個域名視為同一來源的建議
谷歌提出的一項建議使網絡瀏覽器能夠出於隱私和安全的考慮,將一組域名視為一個整體,這遭到了W3C技術架構小組(TAG)的反對。谷歌的”第一方集”(FPS)涉及到網絡瀏覽器確定一個cookie或其他資源是來自用戶瀏覽的同一網站還是來自其他網站的方式。瀏覽器很可能會對這些要素進行不同的處理,一個明顯的例子就是阻止第三方cookie的計劃。
了解更多:
該提案建議,在同一實體擁有多個域名的地方–比如google.com、google.co.uk和youtube.com–它們可以被歸為一組,”允許相關域名聲明自己是同一個第一方”。
這個想法允許網站通過在已知位置的manifest來聲明自己的集合。它還指出,”瀏覽器廠商可以維護一個符合其UA(用戶代理)政策的域名列表,並將其運到瀏覽器中”。
2019年2月,谷歌軟件工程師邁克-韋斯特(Mike West)要求對TAG進行審查,並在昨天公佈了該提案的反饋意見。文件中說:”它已經被TAG審查過,並代表了一個共識的觀點”。
根據TAG的說法,儘管網絡技術發生了重大變化,但在過去10年中,”起源的架構板塊一直保持相對穩定”。它補充說:”我們擔心這個建議削弱了起源的概念,而沒有考慮到這一行動的全部影響。” 該小組指出了提案中的一些模糊之處,例如FPS是否適用於訪問麥克風和攝像頭等權限。
谷歌Chrome瀏覽器的一位工程經理曾表示。”我們並不建議改變權限範圍。目前FPS的範圍只是作為瀏覽器實施跨站追踪限制的隱私邊界來對待。” 但TAG估計,FPS的確切範圍應該在提案中列出。
第二個關注點是對瀏覽器廠商將可自行運送名單的建議。”這可能會導致更多的應用開發者瞄準特定的瀏覽器,並編寫只適用於(或僅限於)這些瀏覽器的網絡應用,這不是一個理想的結果,”TAG說。
默認值具有強大的效果,很容易想像,例如,谷歌在發售其主導市場的Chrome瀏覽器時,其列表中說youtube.com和google.co.uk從隱私的角度來看是同一個網站,而用戶可能想區分它們,但可能不知道如何改變設置甚至或是意識到這一點。”第一方集可能會讓用戶代理或瀏覽器為了這些網站或cookie發行者(如廣告商)的利益而批准網站作為一個集,而不是為了用戶的利益,”TAG說。
在谷歌單獨提出”隱私沙盒”的背景下,TAG對FPS尤為關注。因為FPS試圖重新定義什麼是第三方cookie,這讓”隱私沙盒的功效”受到質疑。從谷歌的角度來看,FPS被列為隱私沙盒技術的構件之一。
該組織還反對FPS “為網絡增加一個複雜的配置層”的方式,並指出”其他實施者的強烈反對”,包括Mozilla和蘋果。例如,蘋果的WebKit負責人Maciej Stachowiak就擔心”第一方的說法不誠信”,並補充道:如何防止實際並非由同一方擁有和控制的域名做出相關的聲明?例如,一個廣告網絡可以讓其頂級發布商加入一個協會,以重新獲得一定程度的跟踪權力。
TAG總結道:”我們認為第一方集的提議對網絡的現有形式有害……這個提議破壞了原點的概念,我們認為原點是網絡架構的基礎承重因素。”
該評論補充道:”這個提案很可能只有利於強大的、同時控制一個實現和服務的大型實體。”最後,TAG警告了對”依賴於第一方集”的新功能的請求,指出其中一個這樣的功能SameParty Cookie已經提交審查。
這個審查中有一些強硬的字眼,而且值得注意的是,TAG成員包括Web的發明者Tim Berners-Lee,萬維網絡的發明者。
谷歌已經在當前版本的Chrome 89中實現了First Party Sets和SameParty cookies,在Chrome 89中,它們被列為”起源試驗”,以”允許開發者試用新功能並給予反饋”。該選項默認是關閉的,但開發者可以在註冊後為特定網站啟用,也可以由用戶在Chrome設置中啟用。