Guillem Alsina Gonzàlez
Os administradores de sistemas e os responsáveis pelas tecnologias da informação enfrentam um desafio constante na proteção das suas infraestruturas web contra o abuso volumétrico, ou seja, aquele que se baseia num grande número de tentativas repetidas. Este tipo de atividade automatizada, que abrange práticas como a saturação de serviços através de ataques distribuídos, o envio massivo de spam ou a verificação sistemática de credenciais roubadas, obriga os operadores a implementar medidas de contenção. No entanto, os sistemas tradicionais de proteção contra a atividade automatizada estão a perder eficácia devido aos avanços na inteligência artificial e às novas políticas de privacidade dos navegadores. As ferramentas clássicas que dependiam da recolha de sinais dos visitantes estão a ser bloqueadas pelas medidas de privacidade dos navegadores modernos, enquanto os sistemas de reconhecimento visual e de resolução de problemas foram ultrapassados pelas capacidades da IA generativa, que agora os resolve mais rapidamente do que um ser humano.
Em resposta a esta perda de eficácia, muitos sites estão a optar por solicitar informações identificativas diretas, como endereços de e-mail ou inícios de sessão centralizados, chegando mesmo a bloquear o acesso a quem utiliza redes privadas virtuais. Esta tendência gera atrito na experiência de navegação e prejudica a privacidade, uma vez que facilita o rastreio cruzado entre diferentes plataformas. Além disso, a proliferação de agentes de inteligência artificial que navegam em nome dos utilizadores complica a situação, uma vez que os operadores não dispõem de ferramentas para distinguir entre um assistente legítimo e um programa concebido para abuso em massa, optando por bloquear ambos.
Ao longo dos últimos anos, algumas grandes multinacionais tecnológicas tentaram resolver este problema tirando partido do seu controlo sobre os sistemas operativos e da integração com o hardware de consumo, apresentando propostas baseadas na certificação do dispositivo, um mecanismo através do qual os componentes físicos certificam qual o software que está a ser executado. Um exemplo disso foi um projeto proposto em 2023 que pretendia verificar tanto o navegador como o sistema operativo, o que teria conferido um poder desmedido às entidades certificadoras e teria dificultado enormemente o desenvolvimento de novos navegadores.
Outra abordagem, implementada em 2022 num ecossistema fechado, utiliza tokens de acesso privado que protegem a identidade do utilizador, mas vinculam indissoluvelmente o acesso à Web à aquisição de equipamentos de fabricantes específicos. Ambas as vias têm sido criticadas por promoverem ecossistemas fechados e afastarem a Web dos seus princípios de abertura.
Face às propostas anteriores baseadas na verificação do hardware do dispositivo, um grupo de trabalho da Mozilla apresentou, em maio passado, uma nova iniciativa denominada PACT, com a qual propõe utilizar sinais de escassez para identificar os utilizadores legítimos. Isto significa que, para evitar o abuso volumétrico, os sites não precisam de conhecer a identidade do visitante, mas sim garantir que este está sujeito a um limite de pedidos.
Para que esse limite seja eficaz, deve estar associado a um recurso escasso que um atacante não consiga replicar em massa de forma económica, como, por exemplo, uma subscrição paga de uma rede privada virtual, um número de telefone verificado ou uma conta com um histórico consolidado.
Esta iniciativa, cuja sigla em inglês é PACT (Private Access Control Tokens), foi debatida numa reunião do consórcio W3C juntamente com vários intervenientes relevantes da indústria da Web, e a proposta divide as responsabilidades entre diferentes intervenientes; por um lado, estão as âncoras, que são as entidades que dispõem da prova de escassez e emitem validações iniciais aos utilizadores com base num protocolo de privacidade que torna impossível associar a emissão do token à sua utilização posterior; por outro lado, atuam os moderadores, responsáveis por gerir as políticas de limites de tráfego para os sítios web.
Quando um utilizador visita uma página, o seu navegador apresenta uma validação ao moderador. Através de técnicas de criptografia avançada e provas de conhecimento zero, o moderador pode verificar se o utilizador conta com o apoio de um «âncora» de confiança, mas não consegue descobrir de que entidade específica provém, o que evita a fuga de informação sobre os serviços que a pessoa utiliza. Uma vez verificada esta validação inicial, o moderador emite uma credencial com um estado interno para o utilizador. À medida que o visitante navega, o site pode atualizar dinamicamente este estado interno para aumentar o limite de acesso se o comportamento parecer legítimo, ou reduzi-lo se detetar atividade suspeita.
Este modelo criptográfico permite que os sites estabeleçam limites de acesso dinâmicos com base no comportamento do visitante, sem chegar a conhecer a sua identidade real nem rastrear a sua navegação. Uma vez que cada site está associado a um único moderador e as apresentações de credenciais não podem ser correlacionadas entre si, evita-se a criação de uma pegada digital que permita o rastreio através de várias páginas.
Os responsáveis pelo projeto estão agora a trabalhar na normalização destes protocolos através da IETF e do W3C, para garantir um ecossistema digital aberto. O objetivo é que os fundamentos criptográficos subjacentes e as interfaces de programação de aplicações necessárias se tornem padrões abertos que qualquer operador, desenvolvedor de navegadores ou fornecedor de segurança possa implementar, devolvendo à Internet o seu caráter universal, ao mesmo tempo que se protege eficazmente a infraestrutura empresarial.
