Google, WEI'yi Chromium'a zaten dahil ediyor
(github.com/chromium)- Chromium commit'i
6f47a22, Web Environment Integrity Origin Trial ile açıldığında tüm web API'sine erişilebilmesi için feature yapısını ayarlıyor - Temel değişiklik,
base::Feature'ıncontent_features.hiçindenruntime_enabled_features.json5tabanlı üretilmiş feature yapısına taşınması; böylece özellik bayrağı ile web API görünürlüğü kontrolü ayrılıyor - Web API'si hâlâ
RuntimeFeaturetarafından kontrol ediliyor ve varsayılan olarak devre dışı kalıyor, ancak Origin Trial bunu açarsa API erişimi mümkün oluyor base::Feature, Finch ile kapatılırsa tüm özelliğin kill-switch'i hâline geliyor ve Origin Trial'ın özelliği etkinleştirmesi de engellenebiliyor- Değişiklik, 15 dosyada 173 satır ekleme ve 18 satır silme içeriyor; ayrıca WebView'e, bilinen bir origin'den gelen yanıtların spoof edilebilmesini kullanan testler ekleniyor
Origin Trial ile WEI API erişimini açan yapısal değişiklik
- Commit başlığı
[wei] Ensure Origin Trial enables full feature; hedef ise Chromium deposundaki6f47a22commit'i - Değişikliğin odağı, Web Environment Integrity Origin Trial ile etkinleştirildiğinde API'nin tamamına erişimin mümkün olmasını sağlamak
base::Featurekonumu,content_features.hiçindenruntime_enabled_features.json5tarafından üretilen feature yapısına taşınıyor- Bu yapıda
base::Featurevarsayılan olarak etkin olabilir, ancak web API görünürlüğünüRuntimeFeatureyönetiyor ve varsayılan durumda kapalı kalıyor
Origin Trial, RuntimeFeature ve kill-switch ilişkisi
- Origin Trial,
RuntimeFeature'ı etkinleştirerek API erişimini açabiliyor - API'nin tamamına erişilebilmesi için yalnızca
RuntimeFeaturedeğil,base::Featureda etkin olmalı; ilgili koşullarorigin_trial_context.ccdeğişikliğine yansıtılmış durumda base::Feature, Finch üzerinden devre dışı bırakılırsa tüm özelliğin kill-switch'i olarak çalışıyor- Bu durumda Origin Trial'ın özelliği açması da engelleniyor
WebView testleriyle doğrulanan davranış
- WebView testleri, bilinen bir origin'den gelen yanıtların kolayca spoof edilebilmesinden yararlanılarak eklendi
AwWebEnvironmentIntegrityTest.javaiçinde şu davranışları doğrulayan testler bulunuyor- Varsayılan durumda
navigatorüzerindegetEnvironmentIntegrityyok BlinkFeatures.WEB_ENVIRONMENT_INTEGRITYaçıldığında API kullanılabiliyor- İlgili feature devre dışı bırakıldığında API yeniden kullanılamaz hâle geliyor
- Origin Trial header'ı ve token ile
getEnvironmentIntegrity('contentBinding')çağrısı yapılıyor veencode()sonucu kontrol ediliyor
- Varsayılan durumda
- Testlerde
https://example.com/origin'i,Origin-Trialheader'ı, Origin Trial token'ı veTOKEN_BASE64değeriAQIDBA==kullanılıyor
Kod yolları ve feature referanslarının taşınması
- Çeşitli yerlerdeki mevcut
features::kWebEnvironmentIntegrityreferanslarıblink::features::kWebEnvironmentIntegrityolarak değiştiriliyor - Değişen başlıca dosyalar şunlar
- Android WebView'in production flag listesi de
ContentFeatures.WEB_ENVIRONMENT_INTEGRITYyerineBlinkFeatures.WEB_ENVIRONMENT_INTEGRITYkullanacak şekilde değiştiriliyor
Değişikliğin kapsamı ve commit bilgileri
- Commit 15 dosyayı değiştiriyor; toplam değişiklik 173 satır ekleme ve 18 satır silme
- İlgili bug kayıtları
1439945,b/278701736 - Review bağlantısı
chromium-review.googlesource.com/c/chromium/src/+/4681552 - Commit konumu
refs/heads/main@{#1173344}olarak belirtiliyor
1 yorum
Hacker News yorumları
Durumu kavramak için giriş niteliğinde bir kaynak olarak Vivaldi’nin özeti fena değildi
https://vivaldi.com/blog/googles-new-dangerous-web-environme...
İşletim sisteminin varsayılan tarayıcısı Firefox olarak ayarlı ve diğer tüm uygulamalar buna uyuyor; fakat kurulum sırasında gizlilik politikası gibi bağlantıları açarken Microsoft Edge’i kullandı. Üstelik hiç konteynerleştirme özelliği yok; bir sekmedeki Google çerezlerinin başka bir sekmeden okunmasını engellemek için yeni bir gizli pencere açmak gerekiyor. Kaldırır kaldırmaz, neden sildiğimi soran sayfayı da Edge’de açtı
Mozilla, bu Web Environment Integrity uygulaması nedeniyle Google’ın W3C’den çıkarılmasını talep etmeli
“Chrome’un payı %65; Google’sız W3C ne işe yarar?” denebilir, ama Google web’in temel ilkelerini tek taraflı değiştirebiliyorsa W3C zaten işe yaramaz demektir. Google, W3C’nin önemli olduğu görüntüsünü korumak istiyorsa bu uygulamayı geri çekmeli
Sadece 3 gün içinde web’in olası geleceğinin bu kadar tehlikeli hâle gelmiş olması inanılır gibi değil. Zaten standart komitesinde ilerleyen, daha az sorunlu ama yine de kötü bir öneri olan Private Access Tokens var; Google bunu görmezden geldi. Öneriyi çok kuşkulu biçimde kişisel bir GitHub hesabıyla yayımladı, dış katkıları ve yorumları hemen kapattı ve tepkilere rağmen Chromium’a eksiksiz bir uygulamayı zorla sokuyor
Gereken şey gerçek eylem; Mozilla da kendini hep web ideallerini koruyan “gerçek” tarafsız muhafız olarak sundu. Şimdi bunu kanıtlama zamanı. Sadece karşı görüş bildirmek yetmez. Bu, web’i tüm kapalı ekosistemlerden ayıran temelin kendisine yönelik bir saldırı. Birisi W3C’ye “yalnızca mevcut tarayıcıların web sayfalarını render etmesine izin verilmeli” diye bir öneri sunsaydı, doğru tepki “bu öneriye karşıyız” demek değil; öneriyi sunanın o organizasyona katılma ehliyeti olup olmadığını ciddi biçimde sormak olurdu. Şu an olan da tam olarak bu
Bu genelde iyi işler; ancak standart öncesi uygulama fazla başarılı olursa, daha sonra onaylanan standarda uyan bir uygulamaya geçmek zorlaşabilir. Çünkü standartlaştırma sürecinde sık sık büyük değişiklikler olur
Buna örnek CSS Grid Layout. Microsoft bunu IE 10’a
-ms-vendor prefix’iyle ekledi; neredeyse herkes beğendiği için standartlaştı ama Microsoft’un ilk uygulamasıyla arada büyük farklar vardı, bu yüzden CSS’ten sadece-ms-kaldırmak standart CSS Grid’in düzgün çalışması için yeterli olmadıMicrosoft’un IE 10’da ilk kez yayımlamasından diğer tarayıcılarda varsayılan olarak açılmasına kadar 4,5 yıl geçti. Chrome bunu bir yıl içinde, Firefox ise ondan yaklaşık 2 yıl sonra deneysel özellik olarak ekledi ama kullanıcıların elle açması gerekiyordu. O 4,5 yıl boyunca yalnızca IE’yi önemseyen siteler
-ms-biçimini yeterince çok kullandı ve Microsoft IE 10 ile 11’de standart yerine o biçime bağlı kaldıİnterneti standart kuruluşları değil, büyük şirketler yapıyor. Gerçek yaşayan standart WHATWG’de; gerçek yazılımları Google, Apple, Cloudflare ve Amazon üretiyor. W3C’yi umursayan kimse yok; Mozilla da gücünü uzun zaman önce kaybetti
O dönemde “web XHTML2’dir; istiyorsanız kendi internetinizi kurun” diyebilecek ağırlığı vardı, ama şimdi pazarlık gücü çok daha zayıf
O zaman sorumluluğu büyük internet şirketlerine devretme kararı bir ölçüde makul olmuş olabilir; fakat sonunda bugün olduğu gibi fiilen erken dönem Microsoft Network modeline geri dönülmesine yol açan da bu oldu
[1]http://www.codersnotes.com/notes/the-microsoft-network/
Yorumlarda sadece şikâyet etmekle kalmayıp bugün rekabet kurumlarıyla iletişime geçmek gerek
US: https://www.ftc.gov/enforcement/report-antitrust-violation / antitrust@ftc.gov
EU: https://competition-policy.ec.europa.eu/antitrust/contact_en / comp-greffe-antitrust@ec.europa.eu
UK: https://www.gov.uk/guidance/tell-the-cma-about-a-competition... / general.enquiries@cma.gov.uk
India: https://www.cci.gov.in/antitrust/ / https://www.cci.gov.in/filing/atd
Burada yeni bir rekabet şikâyetini somut biçimde oluşturabiliyorsunuz
Bu öneri o kadar baştan sona kullanıcı düşmanı ki teknik gerekçelerle eleştirmek bile zor
Kötü bir öneri değil; tehlikeli, şeytani ve kötü niyetli bir öneri, bu yüzden ayrıntılı eleştiri boşa çaba. Sorunun tamamı kendisi ve çöpe atılmalı
Sessiz protesto bu kez işe yaramaz. Amaç, hükümetlerin ve düzenleyicilerin dikkatini çekecek kadar büyük bir mesele yaratmak ve rekabet soruşturması süreçlerini başlatmalarını sağlamak
Google sansürüyle ve “nezaketli olun” uyarılarıyla defolup gidebilir. Artık gerçek yüzünü gösterdi; davranış kuralları iyi uygulamaları ve kapsayıcı bir ortamı güçlendirmek yerine karşıt görüşleri bastırma aracına dönüştü
Firefox’a geçtim, başkalarına da aynısını yapmalarını öneriyorum
https://github.com/RupertBenWiser/Web-Environment-Integrity/...
Açıkça kullanıcı düşmanı. “Kullanıcı ajanı” ilişkisini tersine çevirip ajanı, ekranın arkasındaki kişiyi gözetleyen reklamverenler, şirketler ve hükümetler için çalışır hâle getirme girişimi. Giriş bölümünün bunu kullanıcıların ihtiyaç duyduğu ya da istediği bir şeymiş gibi paketlemesi mide bulandırıcı
Dürüstçe yeniden yazılsa şöyle olurdu: Google gibi şirketler, reklamverenlerin kullanıcı hakkında mümkün olduğunca çok şey bilmesini sağlamalıdır. Gelir, istemci ortamının parmak izinin alınmasına, davranış ve geçmişin izlenmesine, klavyenin arkasında yeterli harcanabilir gelire sahip bir insan olduğunu kanıtlamaya dayanabilir. Bu tür kişisel veri madenciliği Google’ın iş modelinin temelidir ve web üzerindeki hâkimiyetini ve devasa kâr marjlarını koruması için zorunludur
Geçmişte Chromium ekibinden kişilerle çalıştım ve genel olarak yetkin ve iyi niyetli olduklarını düşünüyordum; ama bu spesifikasyon önerisinde herhangi bir iyi niyet ya da yetkinlik göremiyorum. Google’ın eskiden olduğu gibi her şeyi yavaş yavaş içine çekme çizgisinin ötesine geçip, çok daha doğrudan ve otoriter bir yöne doğru davranış değiştirdiği hissi veriyor
Web sitelerinin uygulamalar yerine web üzerinde daha fazla iş yapabilmesini sağlayan gerçek faydaları da var. CAPTCHA’lar azalabilir, sosyal medya botları da azalabilir
Çoğunluğun kullandığı platformlar bundan fayda görecek ve Apple kullanıcıları zaten böyle faydalar görüyor gibi
Açık kaynak ortamının kötüleşeceği argümanını anlıyorum. Ama google.com hâlâ çalışacak. Kullanım deneyimini kötüleştirenler başka web siteleri olacak
Bu konuya karşı çıkmak için birçok neden var, ancak arama motorları üzerindeki etkisi pek ele alınmadı
Web siteleri bunu uygularsa, yeni oyuncuların bir web arama motoru kurması fiilen imkânsız hâle gelir. Mevcut oyuncular kendi istemcilerini izin listesine alabilir ya da doğrulayabilir, diğer tüm scraping istemcilerini de bot olarak sınıflandırabilir
Başka hiçbir neden olmasa bile, bir arama şirketi olan Google’ın tarayıcı gibi başka alanlardaki pazar hâkimiyetini kullanarak rekabeti öldürebilecek bir şeyi nasıl dayatmasına izin verilebildiğini anlamıyorum
IE ve Edge dönemindeki Microsoft tarayıcı motoru, IE kötü şöhretli derecede acı verici olsa da bu alana rekabet getirdiği için takdire değerdi. Ama artık yalnızca Chrome (Blink), Firefox (Gecko) ve Safari (WebKit) var; Chrome baskın payı elde ettikten sonra ne yaptığı da oldukça açık
Web’i daha güvenli bir yer hâline getirdiklerine içtenlikle inanan Googler’lar olabilir, ama bir adım geri çekilip bakınca gerçek neden oldukça net görünüyor
https://github.com/RupertBenWiser/Web-Environment-Integrity/...
Ya da paylaşılan bir gizli anahtarla URL’nin HMAC’ini içeren bir istek başlığı göndermek de yeterli olur
Daha temelde, kendi sahip olduğun içeriğin neden özellikle scrape edilmesi gereksin ki? Google’ın YouTube sonuçlarını arama sonuçları sayfasına koyarken kullandığı gibi rastgele bir arka kanal oluşturup verilere erişebilirsin. Yararlı biçimde scrape edilebilir bir web sitesi sunmaya hiç gerek yok
The Register’dan bir başka ılımlı makale
https://www.theregister.com/2023/07/25/google_web_environmen...
Spesifikasyon yarı pişmiş hâlde olmasına rağmen geçen haftaki tepki hızlı oldu; WEI GitHub deposuna çoğu eleştirel yorumlar yağdı ve önerinin yazarına yönelik hakaretler de vardı. Google geliştiricileri, yorum yapmayı daha önce depoya katkıda bulunmuş kişilerle sınırladı ve nezaket çağrısıyla birlikte davranış kuralları belgesini yayımladı
Bugünlerde itirazlara verilen yaygın tepki bu
Ayrı olarak, spesifikasyon yazarıyla doğrudan iletişime geçmek isteyen gazeteciler ya da kişiler onun herkese açık web sitesine bakabilir. Spesifikasyonun yayımlandığı GitHub profilindeki diğer depolardan birinde yer alıyor ve kişisel e-postası da var. 2022’de aşağıdaki cümleleri yazmış olması acı verecek kadar absürt
“Sonunda bunu bir uygulamaya dönüştürmeye karar verdim. Maliyetlerin başladığı yer burası oldu. iOS uygulaması derlemek için ikinci el bir MacBook Pro almam gerekti. Apple’ın stratejisi apaçık ve gerçekten işe yarıyor, ama yalnızca bir Linux dizüstü bilgisayarla uygulama geliştiremiyor olmam hâlâ beni çok öfkelendiriyor. Uygulamayı bir aydan uzun süre yaşatmak ve arkadaşlarımın kolayca yüklemesini sağlamak için geliştirici hesabına 99 dolar ödemem gerekti. Apple, insanları App Store kullanmaya zorlamak istediğini anlıyorum ama bu biraz zalimce. Küçük uygulamamı kullanmaya devam etmek için artık fiilen her yıl 99 dolar ödemek zorundayım.”
[0] https://benwiser.com/blog/I-just-spent-%C2%A3700-to-have-my-...
İnsan zihni, bir ömür boyunca atan kalp sayısından daha fazla farklı sesin bulunduğu internet ölçeğindeki sosyal internete uyumlu değildir
Küçük ama gerçekten yapılabilecek bir şey var: kendi web sitenize nazikçe Firefox kullanmanızı öneririz mesajı koymak.
Mutlaka göze çok çarpması gerekmiyor; küçük bir ifade yeterli. Firefox ya da Chromium tabanlı olmayan başka bir tarayıcı önerebilirsiniz.
Ben de kendi web siteme ekledim: https://geeklaunch.io/
Yalnızca Chromium tabanlı tarayıcılarda görünecek şekilde yaptım. Akışı azar azar değiştirebiliriz.
Bu web sitesi, gizliliğe saygı duyan bir web tarayıcısı olan Firefox için tasarlanmıştır.
.hiddensınıfı öğeyi bir şekilde gizlemeli; burada.hidden { display: none; }gibi ele alınıyor.Firefox kullanıcısı olsam da uzun süredir Mozilla hakkında yalnızca olumlu hisler beslemiyorum. Böyle tanıtmadan önce Mozilla’nın bu meselede doğru tarafta durduğunu bilmek isterim.
Farkı açıklasanız bile %99’u ertesi gün unutacaktır.
Sonuçta anlamsız. Bu tür aşırı yetki suistimaline karşı yalnızca devlet müdahalesi ve düzenleme yardımcı olabilir. Google, cüzdanla karşı konulabilecek bir hedef değil; fazla büyük.
User agent’ı açıkça Firefox ya da Safari olarak değiştirsem de görünmeye devam ediyor.
Tüm bunların içinde bir parlak taraf olduğunu düşünüyorum. Davranış kuralları, kurumsal sansür, reklamlar, cadı avları ve çeşitli kısıtlamalarla World Wide Web giderek daha fazla arındırılıp steril hale geldikçe, değerli ve ilginç kısımların alternatif alanlara akmasını umuyorum.
Eski internet; geek’lerin, tuhaf insanların, outsider’ların ve antisosyal eğilimli kişilerin toplandığı bir yerdi. Her şeye izin vardı ve her şey mümkündü. Ben dahil pek çok kişi bunun dünyayı değiştirmesini umdu ama değiştirmedi. Herkesin gördüğü gibi dünya yeniden kazanıyor. Yine de web’in normalleşmesinin, kurumsal güvenli alandan fazlasını isteyen insanlar için kritik bir kitle oluşturmasını umuyorum.
Görsel gürültüden ve “dinamik” özelliklerden arındırılmış Gemini gibi protokollerin yeterince kullanıcı kazandığı bir geleceği içtenlikle diliyorum. Öyle olmasa bile, ana akım sosyal medyayı, Google ve Microsoft servislerini, LLM’leri ve diğer modern, distopik şeyleri kullanmayan biri olarak kaybedecek pek bir şeyim yok. Yüz ömrü dolduracak kadar harika kitap var; yürünecek dağ patikaları ve birlikte içki içilecek arkadaşlar da yeterince var. Belki de daha iyi olur.
Şimdi bankacılık büyük ölçüde çevrimiçine taşındı ve bankalar fiziksel şubelerinin çoğunu kapattı. Pek çok ülkede kamu hizmetlerine erişim için de durum aynı. Burada endişe edilmesi gereken nokta şu: geek’ler ve outsider’lar için küçük bir hobi interneti hayatta kalsa bile, desteklenen tarayıcı olmadan önemli günlük işleri yapamaz hale gelmek.
Wikimedia Foundation’ı işin içine çekip, Wikipedia’nın ya da diğer büyük MediaWiki sunucularının tarayıcıda bu özellik algılandığında hiçbir içerik göstermemesini sağlamak gerekiyor.
Ayrıca bir dağıtım bakımcısıysanız Apache ve nginx varsayılanlarını da böyle ayarlamalısınız.
Daha da ileri giderek, siyasi ve teknik nedenleri uzun uzun açıklayan bir duvara yönlendirmek yerine, bu modül nedeniyle tarayıcının desteklenmediğini belirten büyük bir ERROR mesajı ve mümkünse
about:configiçinde nasıl devre dışı bırakılacağına dair kısa bir yönerge göstermek daha iyi olur.Sistem yöneticisi ayarı değiştirebilir ama burada varsayılanlardan söz ediyoruz.
Bununla birlikte önerinin geri kalanı fena görünmüyor. Dağıtım bakımcıları istemci varsayılanlarında WEI’yi kapatabilir ya da WEI içeren istemci programlarını dahil etmeyebilir.
“don’t be evil”dan böyle 180 derece dönüldüğünü görmek hayal kırıklığı yaratıyor.
Tüm arkadaşlarıma ve aileme Mozilla Firefox’u öneriyorum.
Teknoloji alanındaki arkadaşlarım arasında bile, Firefox’ta gerçekten çalışmayan bir şey olduğunda Chrome’a dönebilecekleri halde sırf rahat geldiği için Chrome kullanmayı sürdüren çok kişi var. Teknolojiden pek anlamayan insanları nasıl ikna edeceğiz?
Şimdi özellikleri kısıtlanmamış uBlock Origin ile Firefox’u gayet iyi kullanıyor.
Son kontrol ettiğimde çoklu profil desteği de bir yerlerde yarım yamalak yapılmış durumdaydı.