סטטוס ההטמעה
- סטטוס הפלטפורמה של Chrome.
- בגרסת המקור לניסיון Chrome 84 עד 101: סגורה עכשיו.
- דמו.
- שילוב עם כלי הפיתוח ל-Chrome.
מהם טוקנים של מצב פרטי?
אסימוני מצב פרטי מאפשרים להעביר אמון באותנטיות של משתמש מהקשר אחד לאחר, כדי לעזור לאתרים להילחם בהונאות ולהבדיל בין בוטים לאנשים אמיתיים – בלי מעקב פסיבי.
- אתר מנפיק יכול להנפיק אסימונים לדפדפן האינטרנט של משתמש שמוכיח שהוא מהימן, למשל על ידי שימוש מתמשך בחשבון, השלמת עסקה או קבלת ציון reCAPTCHA מקובל.
- אתר למימוש יכול לוודא שמשתמש הוא לא מזויף על ידי בדיקה אם יש לו אסימונים ממנפיק שהוא סומך עליו, ולאחר מכן לממש את האסימונים לפי הצורך.
אסימוני המצב הפרטיים מוצפנים, כך שלא ניתן לזהות אדם פרטי או לחבר מכונות מהימנות ומכונות לא מהימנות כדי לגלות את זהות המשתמש.
למה אנחנו צריכים טוקנים של מצב פרטי?
באינטרנט נדרשות דרכים ליצור ולשלוח אותות אמון שמראים שהמשתמש הוא מי שהוא מציג עצמו, ולא בוט שמתחזה לאדם או צד שלישי זדוני שמבצע הונאה נגד אדם או שירות אמיתיים. הגנה מפני הונאות חשובה במיוחד למפרסמים, לספקים של מודעות ול-CDN.
לצערנו, הרבה מנגנונים קיימים למדידת האמינות ולהפצתה – למשל, כדי לקבוע אם אינטראקציה עם אתר היא מאדם אמיתי – מתבססים על שיטות שאפשר להשתמש בהן גם ליצירת טביעת אצבע. המנגנונים להעברת אמון חייבים לשמור על הפרטיות, כדי לאפשר את ההפצה של האמון בין אתרים ללא מעקב אחר משתמשים ספציפיים.
באמצעות Private State Token API, אתר יכול להנפיק אסימונים קריפטוגרפיים למשתמש שהוא סומך עליו, שאפשר להשתמש בהם מאוחר יותר במקום אחר. האסימונים מאוחסנים באופן מאובטח בדפדפן של המשתמש, ולאחר מכן אפשר לממש אותם בהקשרים אחרים כדי לאמת את המקוריות של המשתמש. כך אפשר להעביר את האמון של משתמש באתר אחד (למשל, אתר של רשת חברתית או שירות אימייל) לאתר אחר (למשל, בעל תוכן דיגיטלי או חנות אונליין) בלי לזהות את המשתמש או לקשר זהויות בין אתרים.
איך פועלים טוקנים של מצב פרטי?
בדוגמה הזו, אתר של בעל תוכן דיגיטלי רוצה לבדוק אם המשתמש הוא אדם אמיתי ולא בוט, לפני שהוא מציג מודעה.
- משתמש מבקר באתר (שנקרא מנפיק) ומבצע פעולות שמובילות את האתר להאמין שהמשתמש הוא אדם אמיתי, כמו ביצוע רכישות, שימוש בחשבון אימייל או השלמה מוצלחת של reCAPTCHA.
- אתר המנפיק משתמש ב-Private State Token JavaScript API כדי להפעיל בקשה לאסימוני אמון לדפדפן של המשתמש.
- האתר של המנפיק משיב עם נתוני אסימון.
- הדפדפן של המשתמש שומר את הנתונים של אסימון האמון באופן מאובטח.
- המשתמש נכנס לאתר אחר (למשל, אתר חדשות) שרוצה לוודא שהמשתמש הוא אדם אמיתי: לדוגמה, כשמוצגות מודעות.
- האתר משתמש ב-Private State Token API כדי לבדוק אם בדפדפן של המשתמש מאוחסנים אסימוני אמון של מנפיקים שהאתר סומך עליהם.
- אסימוני מצב פרטי נמצאים למנפיק שבו המשתמש ביקר בעבר.
- אתר בעל התוכן הדיגיטלי שולח בקשה למנפיק לממש את אסימוני האמון.
- האתר של המנפיק משיב עם רשומת מימוש.
- אתר בעל התוכן הדיגיטלי שולח בקשה לפלטפורמת מודעות, כולל תיעוד המימוש כדי להראות שהנפיק סומך על המשתמש כאדם אמיתי.
- פלטפורמת המודעות מספקת את הנתונים הנדרשים להצגת מודעה.
- המודעה מוצגת באתר של בעל התוכן הדיגיטלי.
- נספרת חשיפה של צפייה במודעה.
האם יש כלים זמינים לשימוש בטוקנים של מצב פרטי?
בכלי הפיתוח ל-Chrome, אפשר להפעיל את הבדיקה בכרטיסיות 'רשת' ו'אפליקציה'. מידע נוסף על השילוב הזה עם DevTools ועל אסימוני מצב פרטיים
איך אתרים מטפלים באסימונים ממספר מנפיקים מהימנים?
האתר יכול לבדוק בדפדפן של המשתמש אם יש אסימונים תקפים עם document.hasTrustToken() למנפיק אחד בכל פעם. אם הפונקציה מחזירה את הערך true ויש טוקן זמין, האתר יכול לממש את הטוקן ולהפסיק לחפש טוקנים אחרים.
האתר צריך להחליט אילו מנפיקי אסימונים לבדוק ובאיזה סדר.
תרחישים לדוגמה
טוקנים של מצב פרטי (PST) תומכים במגוון תרחישים לדוגמה למניעת הונאות. בבסיסו, PST יכול לשמש כאות אמון נוסף כי ה-API מסוגל לקודד קטעי מידע שיכולים לעזור להעביר אמון מהקשר אחד לאחר. כאשר קובצי ה-cookie של צד שלישי יוצאו משימוש, חשוב לנו לוודא שתרחישים לדוגמה כמו אלה הבאים עדיין יוכלו לפעול כנדרש. בכל תרחישי השימוש של PST, המנפיקים והממירים צריכים לעבוד יחד. כדאי לשקול להשתמש ב-PST אם יש לכם תרחישים לדוגמה דומים לאחד מהתרחישים הבאים:
- שירותי מניעת הונאות: מניעת הונאות היא תרחיש לדוגמה לגיטימי שצריך לתמוך בו באינטרנט, אבל לא צריך לדרוש מזהה יציב, גלובלי לכל משתמש. בהקשרים של צד שלישי, אפשר להשתמש ב-PST כדי לפלח משתמשים לקבוצות מהימנות ולא מהימנות.
- ניתוח הונאות בפרסום: PST יכול לשמש לניתוח קליקים, חשיפות ומזימות של בוטים שמקורם בהונאות בפרסום בשירותי טכנולוגיית הפרסום.
- זיהוי בוטים: אחרי שמריצים את הניתוח כדי לקבוע אם דפדפן הוא רובוט או לא, PST יכול לעזור לקודד את המידע הזה כדי לשתף אותו מהקשר אחד לאחר.
- תשלומים מאובטחים: כדי לזהות איומים שקשה יותר לזהות בהקשר של צד שלישי עם מידע מוגבל (כמו זיוף כרטיסים), אפשר להשתמש ב-PST כאות נוסף להעברת אמון.
- שירותים למניעת ניצול לרעה במסחר אלקטרוני: חשוב מאוד לזהות בוטים באינטראקציות במסחר אלקטרוני (קליקים, תשלום, רכישה, דירוג מוצרים, בוטים בצ'אט, החזרות) כדי למנוע סריקה של דפים ואינטראקציות לא אנושיות. האות הזה יכול לשמש כאות נוסף חשוב לזיהוי סוכנים אוטומטיים של ספקי צד שלישי למניעת הונאות בפלטפורמות מסחר אלקטרוני.
- שירותי CDN: PST מספקים מנגנון שעוזר בדיווח ובזיהוי של תנועה שמקורה בתרמית.
רשימת תרחישי השימוש הזו היא לא רשימה מקיפה של כל היכולות למניעת הונאות שאפשר להפיק מהן תועלת באמצעות טוקנים של מצב פרטי. בנוסף, הרשימה לא כוללת רק מודלים ספציפיים, ויכול להיות ש-PST יעזור במספר תהליכי עבודה למניעת הונאות.
תהליכים של משתמשים
הנפקה ומימוש הם הרכיבים המרכזיים של טוקנים של מצב פרטי. תרחישים לדוגמה קודמים הם האזורים העיקריים שבהם תהיה תמיכה ב-PST, אבל אפשר להתייחס לרגעים הבאים בתהליכי שימוש מסוימים של משתמשים בתור המקומות שבהם כדאי להנפיק או לממש אסימונים בפועל:
- הנפקת אסימונים במהלך תהליכי ניהול החשבון (כניסה, הרשמה, איפוס סיסמה וכו')
- הנפקת אסימונים לאחר אישור אימות רב-שלבי (MFA)
- הנפקת אסימונים אחרי פעולות בסיכון גבוה, כמו מחיקת היסטוריית התשלומים
- מימוש אסימונים לאישור בכמה אתרים לפני ביצוע פעולות עם סיכון בינוני
- מימוש אסימונים לאישור בכמה אתרים לפני ביצוע פעולות בסיכון גבוה
תאימות לחוקי הפרטיות באינטרנט
הנפקת אסימוני מצב פרטיים כרוכה באחסון מידע בציוד המסוף של המשתמש, ולכן זוהי פעילות כפופה לחוקי הפרטיות הדיגיטלית באזור הכלכלי האירופי (EEA) ובבריטניה, שבדרך כלל מחייב הסכמה מהמשתמשים. בתור מנפיקים, באחריותכם לקבוע אם השימוש שלכם ב-Private State Tokens API חיוני כדי לספק שירות אונליין שהמשתמש ביקש במפורש, ולכן אתם פטורים מדרישת ההסכמה. מידע נוסף זמין בשאלות נפוצות בנושא תאימות שקשורות לפרטיות בארגז החול לפרטיות.
יצירת מעורבות ושיתוף משוב
- גרסת מקור לניסיון: סגורה עכשיו.
- הדגמה: תקופת הניסיון של מקור האסימונים של Trust Tokens הסתיימה, אבל עדיין אפשר לבדוק את ההדגמה.
- GitHub: קוראים את ההצעה, שואלים שאלות ומעקב אחרי הדיון.
- W3C: אפשר לדון בתרחישי שימוש בתחום בקבוצה העסקית לשיפור הפרסום באינטרנט.
- IETF: קבוצת העבודה של Privacy Pass ב-IETF מספקת קלט טכני לפרוטוקול הבסיסי.
- תמיכה למפתחים: אפשר לשאול שאלות ולהצטרף לדיוני המאגר של ארגז החול לפרטיות לתמיכה במפתחים.
- שאלות לגבי גרסת המקור לניסיון: שליחת דיווח על באג ב-Chromium או מענה על טופס המשוב שנשלח אליכם כמשתתפים בגרסת המקור לניסיון.