O reforço de cookies de terceiros no Chrome que induz usuários ao erro

 (brave.com)
1 pontos por GN⁺ 2024-08-30 | 1 comentários | Compartilhar no WhatsApp
  • Os Related Website Sets (RWS) do Chrome permitem, como exceção, o compartilhamento de informações entre sites relacionados mesmo após o fim dos cookies de terceiros, o que pode enfraquecer a proteção da privacidade na web
  • O recurso se apoia na premissa de que usuários conseguem reconhecer relações de propriedade entre sites, mas, em um estudo com 30 pessoas, cerca de 42% de todos os julgamentos estavam errados e aproximadamente 73% erraram pelo menos uma vez
  • Mesmo quando o Chrome classificou sites como “relacionados”, usuários julgaram cerca de 37% deles como não relacionados, o que pode permitir rastreamento entre sites que o usuário não esperava
  • Para verificar a relação, é preciso primeiro abrir o site; portanto, no momento em que o usuário vê branding ou logotipo compartilhado, já surge uma oportunidade de compartilhamento de informações e rastreamento
  • Brave, Firefox e Safari se opuseram aos RWS, ou ao nome anterior First-Party Sets, e a proposta também foi removida do W3C Privacy Community Group

A premissa de privacidade na web que os RWS mudam

  • Related Website Sets (RWS) são um recurso introduzido pelo Google no Chrome antes do encerramento dos cookies de terceiros
  • O Google afirma que os RWS ajudam a reduzir problemas de compatibilidade de sites e a manter o estado de login entre domínios relacionados
  • A Brave critica os RWS como um mecanismo que prioriza os interesses de anunciantes em vez dos usuários e continua permitindo conexões entre sites mesmo após o fim dos cookies de terceiros
  • A premissa central é que, se dois sites são operados pela mesma organização, o usuário pode prever o compartilhamento de informações, e o navegador não precisa aplicar bloqueio no nível dos cookies de terceiros
    • Como exemplo, são citados instagram.com e facebook.com, operados pela Meta
  • Essa premissa enfraquece o modelo de privacidade da web ao caminhar na direção de permitir rastreamento entre sites apenas porque eles têm o mesmo proprietário organizacional

Estudo com usuários: é difícil acertar a relação entre sites

  • O estudo verificou a principal suposição dos RWS: “usuários da web conseguem julgar corretamente a relação entre dois sites?”
  • Pesquisadores apresentaram 20 pares de sites a cada um de 30 usuários da web recrutados por redes sociais
    • Os pares de sites foram escolhidos aleatoriamente da lista de RWS do Chrome e do Tranco, uma lista de sites populares
    • Participantes julgaram se achavam que os dois sites eram operados pela mesma organização
    • Como alguns participantes não responderam a todas as perguntas, foram coletados ao todo 430 julgamentos de pares de sites únicos
  • As expectativas dos usuários frequentemente divergiram da lista de RWS
    • Cerca de 73% dos participantes julgaram incorretamente a relação entre dois sites pelo menos uma vez
    • Cerca de 42% de todos os julgamentos estavam errados
    • Mesmo em pares de sites realmente relacionados segundo os critérios dos RWS, usuários consideraram cerca de 37% como não relacionados
  • O resultado mostra que os RWS podem reabilitar comportamentos semelhantes aos cookies de terceiros mesmo em situações que os usuários não esperavam
  • O artigo completo está disponível como artigo no arXiv e será apresentado na 2024 Internet Measurement Conference

Oportunidade de rastreamento antes do julgamento

  • A intuição por trás dos RWS é que o usuário entende a relação entre o site A e o site B e só visita o site B quando pode aceitar essa relação
  • Na prática, para o usuário verificar o branding ou logotipo compartilhado do site B, ele precisa primeiro carregar o site B
  • No momento em que a página é carregada, já surge a oportunidade de compartilhamento de informações e rastreamento entre sites
  • Portanto, os RWS podem causar danos à privacidade antes que o usuário julgue a relação entre os dois sites

Ter o mesmo proprietário não é justificativa para permitir rastreamento

  • Os RWS se baseiam na ideia de que, se dois sites são relacionados, é inofensivo ou aceitável que o navegador reduza as proteções de privacidade entre eles
  • A Brave considera essa premissa incorreta
    • Se um usuário registra contas no Facebook e no Instagram com e-mails e informações diferentes, navegadores modernos podem impedir que a Meta saiba que as duas contas pertencem à mesma pessoa
    • Navegadores de uso geral como Brave, Firefox e Safari, bem como navegadores de propósito específico como Tor Browser e Icefox, também podem oferecer essas proteções como comportamento padrão
  • Algumas empresas tentam contornar as proteções de privacidade do navegador por meio de link decoration ou bounce tracking
  • A diferença essencial é que, enquanto navegadores focados em privacidade experimentam técnicas para bloquear rastreamento entre sites, o Chrome projeta um recurso que permite conexões entre sites

Reação dos navegadores e da comunidade de padronização

  • Os RWS foram apresentados como uma proposta comum para a web, mas vários atores do ecossistema web já os analisaram e rejeitaram
  • Brave, Firefox e Safari declararam publicamente que os RWS, ou seu nome anterior First-Party Sets, não são bons para usuários nem para a web
  • A proposta foi removida do W3C Privacy Community Group e não é mais analisada pelo grupo focado em privacidade do W3C

Mudanças de propriedade e barreiras linguísticas

  • Domínios incluídos na lista de RWS podem posteriormente passar para outro proprietário
    • O fato de hoje os domínios A, B e C serem operados pela mesma organização não garante que amanhã continuarão tendo o mesmo dono
    • Há riscos do mesmo tipo que casos em que extensões de navegador são vendidas de uma entidade confiável para uma maliciosa, ou bibliotecas de software populares e suas dependências são sequestradas
    • Mesmo que um site estivesse significativamente relacionado no momento em que foi incluído na lista, permanece a preocupação de que não haja um mecanismo para removê-lo quando a propriedade mudar silenciosamente
  • Também há problemas de idioma e percepção
    • Mesmo em uma situação em que falantes de inglês avaliam sites em inglês, usuários não previram sites que o Google considerava relacionados
    • Quando usuários visitam sites em idiomas que não conhecem, julgar a relação pode se tornar ainda mais difícil

Conclusão

  • Os RWS podem prejudicar a privacidade na web de três maneiras
    • A premissa de que usuários conseguem prever quais sites estão relacionados entre si não corresponde ao comportamento real dos usuários
    • Antes que o usuário julgue se dois sites são operados pela mesma organização, já surge uma oportunidade de rastreamento entre sites
    • Eles cristalizam na plataforma web a suposição de que, se sites pertencem à mesma organização, essa organização pode rastrear usuários entre esses sites
  • Navegadores que respeitam a privacidade estão avançando no sentido de bloquear rastreamento em todos os sites, independentemente da organização proprietária

Leituras relacionadas

1 comentários

 
GN⁺ 2024-08-30
Opiniões no Hacker News
  • Uso Firefox há muito tempo e não tive grandes problemas. Antigamente, quando eu tinha pouca memória, o Chrome de fato usava menos memória, mas o Firefox também tem modo somente HTTPS, DNS criptografado sem rota alternativa, SOCKS e suporte a Encrypted Client Hello
    Só que quase nenhum site oferece suporte a Encrypted Client Hello. Quanto à memória, é melhor simplesmente comprar mais; a exceção pode ser quem tem a sorte de usar produtos da Apple
    O navegador deve ficar do lado do usuário e não colaborar com empresas de marketing. Indo além, deve dificultar o rastreamento e a coleta de impressões digitais dos usuários. Não é preciso rastrear o histórico de navegação das pessoas: basta criar um produto melhor que os concorrentes, ficar em primeiro lugar em reviews e comparativos, e então comprar publicidade com influenciadores
    Seria bom se os navegadores dificultassem mais a coleta de impressão digital, bloqueando leitura de dados de canvas, leitura do nome da GPU, enumeração de placas de áudio, detecção de extensões instaladas etc. Novas APIs da Web deveriam garantir que não aumentam os dados de fingerprinting ou ficar escondidas atrás de permissões
    Para cookies de terceiros, em vez de listas suspeitas como RWS, o navegador poderia oferecer um botão para permitir exceções em sites antigos que dependem deles. O risco, porém, é que jornais, blogs e sites de perguntas e respostas obriguem o usuário a clicar no botão para ver o conteúdo
    • O navegador deveria originalmente ser um agente do usuário, trabalhando para o usuário. Hoje está cada vez mais difícil encontrar um navegador que não trabalhe para empresas de publicidade às custas do usuário
      A razão de existir do Chrome é a coleta de dados, e o Firefox, ao menos por enquanto, pode ser configurado de forma reforçada para ficar do lado do usuário e impedir bastante fingerprinting. Mas a Mozilla também se tornou uma empresa de tecnologia de anúncios, e mostrou falta de respeito pelos usuários do Firefox ao fazer o navegador vigiar os usuários por padrão para poder vender esses dados a profissionais de marketing
      Atualmente é possível desativar essa vigilância definindo dom.private-attribution.submission.enabled como false em about:config
      Veja https://news.ycombinator.com/item?id=41311479 e https://web.archive.org/web/20240827185708/https://make-fire.... Não dá para saber por quanto tempo essa opção será mantida, nem com que frequência será preciso voltar a defini-la como false depois de atualizações
      Precisamos mesmo de um novo navegador que opere no interesse dos usuários
    • É praticamente impossível garantir que uma nova API da Web não forneça mais dados de fingerprinting. O simples fato de o usuário ter escolhido uma opção em um aviso de permissão — e, se escolheu, qual opção — já vira um ponto de dados
      Por isso se diz com frequência que a única solução para esse problema é regulação, e esse ponto de vista é bastante convincente
    • https://news.ycombinator.com/item?id=40703546 — isso foi há dois meses
    • Quando o navegador líder é desenvolvido por uma empresa de publicidade, é bem difícil implementar políticas do lado do usuário. Pior ainda: a mesma empresa também contribui para a fundação do Firefox e lidera os “padrões” da Web
      Tudo parece conluio, e o fato de os navegadores terem ficado mais complexos do que o sistema operacional em que rodam também parece uma estrutura deliberada para impedir que equipes pequenas mexam no tabuleiro. A solução teimosa é evitar a Web tanto quanto possível e focar em computação em escala humana
    • A principal prioridade dos fabricantes de navegadores deveria ser impedir a coleta de impressão digital do navegador dos usuários
      Todas as notícias e discussões de política sobre cookies parecem uma divulgação limitada
  • Esse resultado parece bem óbvio. Related Website Sets (RWS) supostamente é um mecanismo em que uma empresa declara relações entre sites para que o navegador permita acesso limitado a cookies de terceiros para certos fins
    Então é como se o site pudesse declarar domínios “abençoados” capazes de contornar diretamente o bloqueio de cookies de terceiros? Grandes sites continuam procurando maneiras de contornar e abusar das tentativas dos usuários de se protegerem. Como confiar que esses sites não vão abusar disso?
    • Não é o próprio site que simplesmente declara. Existe uma lista mestre que precisa ser enviada e passar por um processo de aprovação
      Mas, como o artigo aborda, só o conteúdo da lista preliminar já é preocupante. A ideia de “Google como árbitro de tudo relacionado a anúncios” é um fracasso
      Ainda assim, a alternativa também não é boa. O sistema atual de cookies de terceiros permite coisas muito piores. Precisamos de ideias melhores
    • Não sei os detalhes, mas me pergunto se é parecido com algo que vi recentemente no Safari. Ao visitar um site relacionado da Microsoft, apareceu um pop-up perguntando se eu queria permitir o compartilhamento de cookies para login, e eu podia aprovar ou recusar
      Essa implementação parece melhor
  • Essa é uma situação difícil. Relações entre domínios podem ser — e de fato serão — abusadas para rastreamento de formas que o usuário não espera
    Mas também há casos de uso legítimos. Por exemplo, os sites da família Stack Exchange são claramente relacionados e têm uma marca integrada, mas usam domínios diferentes. No Firefox, com cookies de terceiros bloqueados, é preciso fazer login separadamente em cada domínio; depois de entrar em stackoverflow.com, ao ir para superuser.com, você não aparece como já logado. É exatamente esse o problema que First Party Sets tenta resolver
    Dá para dizer que teria sido melhor se esses sites fossem subdomínios de um único domínio integrado. Mas, na época em que os sites foram criados, cookies de terceiros funcionavam normalmente, então não havia um motivo forte para fazer isso. Mover um app para outro domínio sem causar problemas aos usuários pode ser algo realmente doloroso e caro
    Não estou dizendo que devemos aceitar First Party Sets como está, mas é uma tentativa de resolver um problema real. Encontrar uma solução que proteja a privacidade do usuário e, ao mesmo tempo, mantenha uma boa experiência em sites que são realmente relacionados pode ser difícil, ou talvez impossível
    • Para fazer com que, depois de entrar em stackoverflow.com, o usuário também entre automaticamente em superuser.com, eu esperaria um pop-up de permissão como: “Este site quer compartilhar cookies com stackexchange.com. Clique em permitir para fazer login, em recusar para negar permanentemente, ou em ignorar para decidir depois”

Um clique permite aproveitar o melhor dos dois lados. Para reduzir a confusão, todos os sites deveriam ter um único “domínio primário” compartilhado por todo o subsítio, e esse domínio primário não deveria poder compartilhar cookies com nenhum site além de si mesmo

  • Safari e Firefox já fazem bloqueio de cookies de terceiros há anos. O Stack Overflow teve tempo suficiente para se adaptar e migrar para uma estrutura organizacional “correta”
    Se consideravam importante permitir login unificado em vários domínios, deveriam ter migrado há muito tempo para um modelo de subdomínios. Usuários de Firefox e Safari vêm sendo afetados negativamente há muito tempo por causa disso
    Se não consideram isso tão importante, tudo bem também; mas, nesse caso, o bloqueio de cookies de terceiros no Chrome ou a discussão sobre First Party Sets também não deveria ser muito relevante para eles
  • O Stack Overflow foi criado em 2008. A Netscape adicionou um botão de bloqueio de cookies de terceiros em 1997, e a web, em geral, continuou funcionando bem mesmo com esse recurso ativado
  • Isso lembra quando o Google fez a transição conveniente para o Manifest V3, apesar de haver casos de uso legítimos, como bloqueadores de anúncios. Tecnicamente, o V3 pode até ser mais seguro e melhor para os usuários, mas aqui parece um movimento na direção oposta
  • Outros sites parecem lidar bem com esse problema usando redirecionamentos e cabeçalhos cross-origin. Em algum momento você acaba chegando a signin.foo.com, mas, em termos de experiência do usuário, parece autenticado sem precisar fazer login de novo
  • O Google espera que outros navegadores simplesmente copiem a sua lista?
    Ou os desenvolvedores devem enviar domínios relacionados para cada navegador, e cada navegador deve manter sua própria lista?
    Parece parecido com HSTS
    [0]: https://github.com/GoogleChrome/related-website-sets/blob/ma...
  • Não parece que o Brave seja uma boa fonte, ou uma fonte objetiva, sobre esse assunto
    • É claro que o Brave tem um incentivo comercial para reclamar do Chrome, mas isso não torna a reclamação falsa
    • Fico curioso se você quer dizer que o Brave é concorrente, ou se é outra coisa
  • Acho que agora é hora de começar a bloquear /.well-known/related-website-set.json
  • Pela frase “mesmo depois que os cookies de terceiros forem descontinuados no Chrome”, parece que este texto foi escrito algumas semanas atrás
    • Pode explicar?
  • Uso Firefox, então não me importo
    • Ou o Firefox vai oferecer suporte a isso, ou seus sites favoritos deixarão de funcionar e você acabará migrando para o Chrome, que funciona
  • Padme: então o Brave agora vai deixar de ser baseado no Chrome, certo?
    • O Brave não é Chrome; é um navegador derivado do Chromium. Não entendo por que essa situação significaria que ele deveria deixar de ser derivado do Chromium
      As políticas e os padrões de cookies podem ser desenvolvidos e distribuídos como quiserem
    • O Brave tem engenheiros de software, então o plano provavelmente é simplesmente desativar essa parte do código e seguir em frente, como fazem em muitas partes do motor do Chrome
  • Não é exatamente o lugar certo, mas, se alguém conhecer pesquisas ou textos sobre os Topics de anúncios do Chrome, tenho interesse. No momento sei muito pouco sobre como isso afeta a privacidade do usuário e o que é compartilhado com terceiros