När tilliten sviker: Varför webben behöver verifierbar kod

Modern webb säkerhet bygger på en skör grund. Du litar på appar som Signal eller ProtonMail för att dina meddelanden ska vara säkra med end-to-end-kryptering. Men krypteringen hänger på JavaScript-koden i din webbläsare. Och den koden kommer från en server du måste lita på blindt.

Om servern hackas, tvingas av myndigheter eller styrs av en illvillig anställd kan de skicka modifierad kod till just dig. Dina kryptografiska nycklar läcker ut – utan att du märker ett dugg.

Ett föråldrat förtroende i serverns händer

Webbens säkerhetsmodell ser servern som den enda auktoriteten. Webbläsaren tar emot kod från en domain, kör den i en sandbox och antar att allt är ärligt. Det funkar för vardagliga sajter. Men inte för känsliga grejer.

Tänk på:

• Bankappar som hanterar ditt konto
• Hälso-plattformar med journaler
• Krypterade chattar för journalister
• Lösenordshanterare med dina hemligheter

Alla dessa riskerar samma hot: en komprometterad server som serverar skräddarsydd skadlig kod till utvalda användare. Problemet är bristen på insyn. Modifieringar kan ske i det tysta. End-to-end-kryptering blir värdelös om koden själv är boven.

Lösningen: Kryptografiska åtaganden och öppen granskning

Tänk om vi kunde göra fusk omöjligt att dölja? Lösningen ligger i kodens integritet och transparens. En webapp binder sin klientkod kryptografiskt till ett publikt manifest. Det loggas i en oföränderlig, öppen logg. Webbläsaren verifierar allt – ogiltig kod stoppas direkt.

Effekten? Modifierad kod antingen:

• Blockeras av webbläsaren
• Lämnar spår i den publika loggen för utredning
• Pekar ut exakt server och tidpunkt

Det här är verklighet nu. WAICT-initiativet tar det till öppen webbläsare.

WAICT vänder upp och ner på spelet

WAICT ger två nyckelelement:

Integritet: Koden i din webbläsare matchar exakt developerns publika åtagande. Inga smygändringar eller riktade attacker.

Transparens: Åtagandena loggas publikt. Säkerhetsexperter, journalister och myndigheter kan granska fritt. Fusk syns direkt.

När en sajt aktiverar WAICT blir webbläsaren en vaktpost. Ologgad kod nekas. Angriparens osynlighet försvinner.

För känsliga appar är det revolutionerande. En krypterad chattapp kan lova: "Vår kod är öppen, granskbar och webbläsaren stoppar alla ändringar."

Samarbete och tidiga tester

WAICT kommer inte från en ensam jätte. Mozilla, Cloudflare, Meta, Freedom of the Press Foundation och andra bygger det tillsammans. Specifikationerna är öppna, utvecklingen transparent.

Prototypen finns i Firefox Nightly med demo av säker videchatt. Testa på waict.dev och experimentera fritt.

Vad det betyder för dina appar

Bygger du appar med känslig data? WAICT uppgraderar din säkerhet totalt. Sluta be användarna lita på din server. Ge kryptografiska bevis istället.

För utvecklare:

• Lägg till manifest i din pipeline
• Aktivera verifiering på kritiska delar
• Få gratis offentlig granskning
• Ge användarna äkta insyn

För användare: Verifierbar säkerhet blir standard, inte snack.

Större bilden: Förtroende via transparens

WAICT är mer än teknik. Det visar vad öppna webben kan bli. När dataläckor och serverattacker är oundvikliga gör det fusk dyrt och synligt.

Visionen: Stark säkerhet utan att lita på en enda part. Bygg på krypto och öppenhet.

Prototypen körs. Samarna är eniga. Specsen är öppna. Nu gäller det hur snabbt ekosystemet hakar på och gör verifierbar säkerhet till normen.

För appar med din privata data kan det inte gå fort nog.

Vill du dyka djupare i WAICT? Kolla öppna specifikationerna och testa prototypen i Firefox Nightly. Som domain-ägare eller hosting-leverantör är det viktigt att hänga med på nya säkerhetsstandarder för att skydda användarna.