Il nuovo piano di Google per l'attestazione remota è pessimo tanto quanto quello vecchio - EFF

Originale (ENG)

di Cory Doctorow - 9 luglio 2026

Google deve la propria esistenza all'open web ("Internet aperto"; NdT), ma oggi le sue "innovazioni" tecnologiche hanno molto a che vedere con il rinchiudere gli utenti all'interno di un "giardino recintato (da mura)". L'ultima di queste è "reCAPTCHA Mobile Verification"[↗] (Verifica mobile, ovvero da cellulare, reCAPTCHA; NdT), un'iniziativa sperimentale che permetterà alle società di bloccare gli utenti che stiano usando versioni indipendenti e "de-Google" di Android. Queste versioni Android "indie" (indipendenti) sono preferite dalle persone che vogliono proteggere la propria privacy e la propria attenzione bloccando elementi traccianti e pubblicità. Peggio ancora, questa è l'ultima di una serie di misure similmente avverse agli utenti.

Ben prima degli "agenti IA"¹, esisteva l'idea che un programma agisse come tuo rappresentante in Internet. Ecco perché il termine tecnico vecchio stile per browser è "user agent" (agente dell'utente; NdT). Il vostro browser agisce per vostro conto per recuperare informazioni e poi mostrarvele nel formato di vostra scelta. E' il vostro agente[↗].

Questa è un'idea profonda e potente. E' proprio perché i browser sono i nostri "agenti" che ci aspettiamo che accettino i nostri comandi, per esempio bloccando i pop-up, o mettendo in muto una riproduzione automatica, o bloccando gli elementi traccianti di sorveglianza pubblicitaria[↗].

Il vostro browser fa tutto ciò perché il vostro browser lavora per voi. La ragione per cui il vostro browser può lavorare per voi è che la rete è una tecnologia standardizzata e aperta. In teoria, chiunque segua gli standard pubblicati dal World Wide Web Consortium (W3C) può creare un browser e quel browser web può connettersi a qualsiasi server web. Browser e server sono interoperabili. E' lo stesso principio che fa sì che possiate mettere il carburante di chiunque nel vostro serbatoio, o qualunque laccio nelle vostre scarpe o qualsiasi marca di latte nella vostra tazza di cereali.

E se invece i produttori potessero dettare le alternative di queste vostre scelte? E se il vostro connettore si rifiutasse di usare una lampadina a meno che non sia ufficialmente riconosciuta dal produttore del connettore stesso? E se la vostra lavastoviglie si rifiutasse di lavarvi i piatti a meno che non li abbiate comprati da uno dei "partner di piatti" del produttore? E se il vostro tostapane si rifiutasse di tostare "pane non autorizzato"?[↗]

E' difficile immaginare come un'azienda possa conquistare il proprio mercato con una strategia del genere. Dopotutto, se i piatti fossero davvero migliori di quelli della concorrenza, li comprereste volontariamente, senza che sia necessaria una legge o della tecnologia per obbligarvi. L'unica ragione per creare una lavastoviglie che rifiuti i piatti della concorrenza è che i piatti del produttore stesso siano brutti, costosi e/o fatti male.

Ma una volta che un'azienda possiede il mercato, una volta che ha ottenuto il predominio acquisendo gli avversari, corrompendo potenziali concorrenti perché stiano fuori dal settore e tenendo un comportamento ingannevole per intrappolare fornitori e clienti essenziali, l'azienda può consolidare il proprio dominio bloccando l'interoperabilità, escludendo piatti, latte, carburante, lampadine, lacci e pane rivali, ingabbiando e spremendo l'intero mercato.

Questo è ciò che Google ha fatto, ed è ciò che vuole fare ulteriormente. Il comportamento commerciale di Google è stato così disonesto, ingannevole e prevaricatore che la società ha di recente perso tre cause contro l'antitrust (anti-concorrenza; NdT) federale[↗]. Questo monopolista tre volte colpevole pagava Apple[↗] più di 20 miliardi di $ all'anno per rimanere fuori dal mercato delle ricerche. Ha ingannato i fornitori di applicazioni[↗], spennandoli con salatissime commissioni inutili e condizioni onerose che facevano alzare i prezzi, riducendo al contempo la quota che andava alle aziende il cui prodotto stavate pagando. Ha ingannato gli inserzionisti[↗], manipolando il mercato delle pubblicità per dissanguare le imprese con i prezzi delle pubblicità e non investendo a sufficienza per contrastare l'imbroglio pubblicitario dilagante, risucchiando centinaia di miliardi dall'economia produttiva per pubblicità strapagate che nessuno vedeva.

Google non è sempre stato così. La società dal motto "don't be evil" ("non essere malvagio"; NdT) deve la sua stessa esistenza all'ecosistema dell'open web. Quando la società iniziò ad indicizzare la rete nel 1998, agiva in un campo "aperto", dove qualsiasi server web poteva dialogare con qualsiasi "user agent", anche uno il cui utente era una nuova impresa come Google che stava facendo una copia di ogni pagina su quel server.

Per anni Google ha prosperato sull'open web e ha creato tecnologie "aperte". Android, il sistema operativo per cellulari che Google comprò nel 2005, fu presentato come un'alternativa "aperta" alle offerte esistenti sui cellulari, e sin da quando il mercato si è ridotto a due società (Google ed Apple), Google ha sempre pubblicizzato Android come l'alternativa "aperta" al "giardino recintato" di Apple. Ma ci sono sempre stati degli aspetti per cui l'Android "aperto" di Google non era esattamente aperto. La società ha stipulato accordi illegali limitanti[↗] che obbligavano fornitori di hardware e operatori a bloccare l'accesso a versioni di Android create da concorrenti di Google.

In altre parole, anche se Google offriva una piattaforma telefonica tecnicamente "aperta" (per la maggior parte), ha trovato altri modi per soffocare commercialmente versioni Android alternative che cercavano di sfruttare quella stessa apertura tecnica.

Ma la vita vince sempre. L'esistenza di un sistema operativo telefonico "aperto", modificabile e fatto per chi ama armeggiare, ha fatto sì che dei programmatori Android potessero creare alternative al giardino recintato (de facto) di Google, che hanno prosperato nelle crepe del muro di quel giardino. Sistemi operativi come CalyxOS[↗], PureOS[↗] e Graphene[↗] offrono un'esperienza Android più privata e più sicura, prevalentemente "senza Google", bloccando l'inesorabile acquisizione dei vostri dati privati da parte di Google.

E la brama di dati di Google è inesorabile. Android invia di nascosto un blocco di vostri dati personali e comportamentali ogni cinque minuti. Il "battito a riposo" della sorveglianza Android pulsa ancora e ancora[↗], indipendentemente dal fatto che stiate usando il vostro dispositivo, e nel momento in cui sbloccate lo schermo, il battito accelera, inviando ancora più dati alla società. Tutti quei dati si sono rivelati irresistibili per i governi autoritari. Le forze dell'ordine sotto Donald Trump hanno sfruttato i dati forniti da Google come una fonte vitale di informazioni sull'identità dei manifestanti e sulla posizione degli immigrati ricercati dall'ICE[↗].

Perciò ci sono parecchie ragioni per cui gli utenti cercano queste alternative Android "de-Google", trovandole a dispetto dei tentativi di Google di bloccare l'accesso a tecnologie concorrenti. Più le cose peggiorano, migliori quelle alternative appaiono.

Forse questo spiega gli sforzi fatti da Google nel corso degli anni per incrementare le barriere tecniche per usare versioni modificate di Android, pompandole fino al livello delle restrizioni commerciali che ostacolano un'esistenza "de-Google".

Nel 2023 Google propose l'idea del "Web Environment Integrity (WEI)"[↗], una serie di modifiche agli standard web che avrebbero obbligato il vostro computer a rivelare il suo ambiente operativo ai server web a cui si fosse connesso, anche se vi foste opposti a questa rivelazione.

WEI era una forma di "attestazione remota". Con questo termine si intende quando il vostro dispositivo usa un sotto-processore (talvolta chiamato "Modulo di Protezione Tecnica" o "TPM") o una parte separata del suo processore principale (talvolta definita un'"enclave sicura") per produrre una descrizione, con firma cifrata, del vostro dispositivo e della sua configurazione: quali hardware, software, plug-in ed impostazioni state utilizzando.
Quando vi connettete ad un server, questi richiede che il vostro dispositivo invii questa "attestazione" prima di gestire la vostra richiesta. Se il vostro dispositivo non fornisce questi dati o se al server non piace (o non riconosce) il vostro dispositivo e i suoi dettagli, può rifiutarsi di avere a che fare con voi. E dal momento che l'attestazione è preparata da un TPM o un'enclave sicura che non potete modificare o aggirare, non potete decidere quali fatti riguardanti il vostro dispositivo gli sia permesso vedere.

In termini pratici, questo significa che l'attestazione remota permette ad un server di rifiutarsi di avere a che fare con voi finché non spegnete il vostro ad-blocker (estensione del browser per bloccare le pubblicità; NdT) e il vostro tracker-blocker (stessa cosa, ma per elementi traccianti come alcuni cookie; NdT). Significa che il server può discriminare gli utenti che bloccano la riproduzione automatica di audio e video, che bloccano i pop-up, che vanno su un'altra scheda del browser o si spostano su un altro programma quando un inserto pubblicitario obbligatorio è in corso di riproduzione.

WEI era soprattutto inquietante alla luce del piano di Google di eliminare gli ad-blocker e altri "bloccanti" per la privacy, con un aggiornamento di Chrome (il browser di Google; NdT), un tentativo che continua ancora oggi[↗].

Questi "bloccanti" sono una parte importante della dinamica tra fabbricanti di siti web e loro utenti. Nel mondo reale, quando vi fanno un'offerta, potete fare una contro-offerta. Ecco cos'è un ad-blocker: un modo per gli utenti di rispondere al server, la cui offerta di apertura è "Che ne dici di darmi tutti i tuoi dati e lasciarmi prendere il controllo del tuo computer in cambio del mostrarti questa pagina?", con "Che ne dici di <Ma anche no>?"[↗].

Non ci siamo sbarazzati delle pubblicità pop-up rendendole illegali o boicottando gli inserzionisti che le usavano. Ci siamo sbarazzati delle pubblicità pop-up quando gli utenti del web hanno installato dei blocchi contro i pop-up, che hanno reso inutili le pubblicità pop-up. Toglieteci la possibilità di bloccare contenuti digitali odiosi e garantirete che ne saremo inondati.

Questo genere di modifiche non sono usate soltanto per bloccare le pubblicità, ma sono anche fondamentali per l'accessibilità. Le persone che soffrono di epilessia fotosensibile o di disturbi visivi di scarsa sensiblità al contrasto usano queste estensioni per riformattare le pagine così che possano accedervi in maniera sicura e leggibile.

I creatori di WEI dissero che stavano soltanto cercando di portare Internet sullo stesso piano delle applicazioni, le quali rivelano regolarmente fatti sul vostro dispositivo alle società a cui appartengono i server a cui vi connettete, senza chiedervelo e anche se non volete. Le applicazioni sono una fonte di infinita "immerdificazione", non ultimo perché (a differenza di Internet) godono di speciali e pericolose protezioni legali che rendono molto rischioso dal punto di vista legale modificarle. WEI non era un tentativo di pareggiare le applicazioni e Internet, era una gara al ribasso, un tentativo di rendere Internet prono all'immerdificazione tanto quanto le applicazioni.

L'indignazione pubblica verso WEI ne ha soffocato il progetto, ma l'impegno di Google nell'aumentare con blocchi tecnici il suo lavoro di blocco commerciale illegale non è mai cessato. Ora Google ha presentato una "reCAPTCHA Mobile Verification" sperimentale[↗] che usa un'applicazione, la vostra fotocamera e il TPM o l'enclave sicuro del vostro dispositivo per produrre un'attestazione sul vostro dispositivo Android.

Questo renderà molto più facile[↗], alle applicazioni e ad altri servizi con cui interagite, bloccare il vostro dispositivo se avete un'alternativa Android o se installate una modifica che disabilita le azioni della versione Google predefinita di Android.

Questa è una pessima idea, tanto quanto lo era WEI. In un'epoca in cui le Big Tech e la loro tecnologia sono sempre più legati ai governi autoritari, ridisegnare i nostri dispositivi per raccontare a degli sconosciuti cose che non vogliamo sappiano, non è semplicemente miope, è imperdonabile.