Proč se boj s boty proměnil v noční můru pro běžné uživatele

Představ si tohle. Sedm ráno, druhá káva, chceš rychle projet zpravodajství. Místo článku o regulaci AI se ale koukáš na pokřivené obrázky semaforů, motorek a přechodů. Znovu. Test projdeš — tak tak — a konečně se dostaneš k obsahu. Známý pocit?

Nejsi sám. A tenhle problém se jen zhoršuje.

Když válka proti botům začne střílet vedle

Co se děje na pozadí: provozovatelé webů mají z botů smrtelnou hrůzu. A docela oprávněně. Útoky typu credential stuffing, spam v komentářích, skupování vstupenek — to všechno stojí firmy miliony a kazí zážitek všem.

Problém je, jak proti tomu většina webů bojuje.

Když se zbavíš sledovacích signálů, které prohlížeče dlouho budovaly — třetích stran cookies, detailních otisků prohlížeče, stabilních IP adres — zároveň přijdeš o nástroje, které anti-abuse systémy používaly k odlišení lidí od botů. Takže weby musejí kompenzovat a vyžadovat víc důkazů, že návštěvník je skutečný člověk.

Výsledek? Více CAPTCHA testů. Více povinných registrací jen kvůli jednomu článku. Více hlášení „omlouváme se, nemůžeme ověřit, že jste člověk." Více webů, které rovnou blokují VPN provoz, protože se za ním schovává příliš mnoho podvodníků.

Jsme uvěznění v spirálách, kde soukromí a použitelnost válčí jedno proti druhému.

Řešení, která jsou horší než problém

Některé navrhované opravy zní rozumně — dokud se na ně nepodíváš zblízka.

Web Environment Integrity (WEI) třeba chce, abys pro přístup k určitému obsahu dokázal, že tvoje zařízení je „důvěryhodné." Na první pohled logické — chceš udržet pryč kompromitovaná zařízení běžící bot skripty. Ale tady je háček: rozhodování o tom, co je důvěryhodné, by bylo v rukou malého počtu výrobců operačních systémů a hardwaru. Ti by kontrolovali, která zařízení a software můžou na web.

Nezní ti to povědomě? V podstatě bys jen vyměnil jednu skupinu gatekeeperů (reklamní sítě, databrokeri) za jinou (výrobci čipů, vývojáři OS). A historie ukazuje, že kdykoli soustředíš kontrolu nad webovým přístupem, vytváříš slabá místa, potenciál pro zneužití a bariéry pro inovace.

U NameOcean věříme, že samotný domain name system je dokonalým příkladem, proč je decentralizace důležitá. Když ICANN spravuje kořenovou zónu přes distribuovaný, mezinárodní proces, žádný jednotlivec nemůže vytáhnout zástrčku z celého webu. Stejná filozofie by měla platit i pro dokazování, že jsi člověk.

Lepší cesta: Vouchování s ochranou soukromí

Co kdyby weby nemusely vědět, kdo jsi — jen že jsi legitimní člověk v rozumných limitech?

To je základní myšlenka, která pohání nový výzkum anonymních přihlašovacích údajů. Nápad je elegantní: místo aby uživatelé dokazovali svou identitu nebo důvěryhodnost zařízení každému webu zvlášť, co kdyby za ně mohly ručit strany, které už znají?

Zamysli se nad tím. Platíš za VPN službu, protože si ceníš soukromí. Ale IP rozsah té VPN je pravděpodobně na desítkách blocklistů, protože ostatní weby už měly problémy s bot provozem ze stejných IP. Takže místo úplného blokování VPN — což trestá legitimní uživatele — co kdyby tvůj VPN poskytovatel mohl kryptograficky potvrdit: „Toto je jeden z našich platících zákazníků. Je omezen na rozumné objemy provozu. Prosím, zacházejte s ním odpovídajícím způsobem."

Web dostane jistotu, že nejsi bot ve velkém měřítku. VPN poskytovatel neodhalí tvou identitu ani to, že jsi jeho službu použil. Ty máš míň překážek.

To není sci-fi. Apple už podobný koncept používá s Private Access Tokens, které nechají iOS zařízení dokázat, že nejsou boti, aniž by prozradily, jaké weby navštěvuješ. Systém funguje, protože Apple kontroluje hardware a vytváří tím důvěru.

Ale můžeme jít dál — bez nutnosti mít v procesu výrobce hardwaru.

Anonymní credentials: Technické základy

Kryptografické anonymní credentials umožňují jedné straně vydat ti credential, který pak můžeš předložit a ověřit něco o sobě — aniž bys prozradil identitu nebo umožnil sledování.

Představ si systém knihovních průkazek, kde knihovna řekne „tato osoba je ověřený člen" bez zaznamenávání, která karta byla použita ve které pobočce. Dostaneš přístup. Knihovna dostane důkaz legitimacy. Nikdo nestaví složku tvých čtenářských návyků.

Stejný princip platí pro rate limiting. Vydavatel credential může říct „tento uživatel je legitimní a nepřekročil svůj limit" bez odhalení identity, původu credential nebo umožnění korelace tvých návštěv napříč webem.

Toto je kryptografický základ, který dělá vouchování s ochranou soukromí možným. A na rozdíl od hardwarové atestace to nevyžaduje důvěřovat Qualcommu, Intelu nebo Applu, aby rozhodovali, jaký software může na web.

Co to znamená pro vývojáře a firmy

Když stavíš webové aplikace, pravděpodobně jsi se s tímto napětím potýkal. Chceš chránit infrastrukturu před zneužitím. Ale nechceš vytvářet bariéry, které odradí legitimní uživatele.

Současné možnosti jsou tupé nástroje. CAPTCHA mají 30–50% míru selhání u lidí. Blokování IP chytá VPN a Tor uživatele hromadně. Login walls zmenšují tvůj dosah a vytvářejí tření.

Systém anonymních credentials s ochranou soukromí by tento kompromis fundamentálně změnil. Dostal bys lepší signál o legitimitě provozu bez budování invazivní sledovací infrastruktury. Tví uživatelé by dostali plynulejší zážitek bez obětování soukromí.

U NameOcean tyto vývoje bedlivě sledujeme, protože stejné principy platí pro domain registraci a DNS. Viděli jsme, jak koncentrovaná kontrola nad kritickou infrastrukturou vytváří rizika. Web, kde může kterákoli strana vouchovat za uživatele — a weby se můžou rozhodnout, kterým vydavatelům důvěřovat — odpovídá naší víře, že otevřená, decentralizovaná architektura internetu by měla být zachována na každé vrstvě.

Cesta vpřed

Nebudeme to řešit přes noc. Implementace anonymních credentials ve webovém měřítku vyžaduje řešení tvrdých problémů v kryptografii, standardizaci a uživatelském zážitku. Návrhy diskutované v Mozille, Cloudflare a mezi výrobci prohlížečů jsou slibné, ale pořád jsou v rané fázi.

Co ale počítá je, že konverzace probíhá. Web nemusí volit mezi soukromím a použitelností. Můžeme budovat systémy, které ověřují lidi bez toho, abychom je surveillovali.

Do té doby budeme dál mhouřit oči nad těmi přechody. Ale možná ne navždy.