बॉट युग में भी खुलापन और प्राइवेसी बचाए रखने के लिए Mozilla की वेब क्रेडेंशियल्स परिकल्पना

• बॉट के दुरुपयोग बढ़ने के साथ वेबसाइटें CAPTCHA और लॉगिन की मांग को कड़ा कर रही हैं, और सामान्य उपयोगकर्ताओं को भी access friction तथा प्राइवेसी में गिरावट दोनों झेलनी पड़ रही हैं
• ब्राउज़र में tracking protection को मजबूत करना उपयोगकर्ता सुरक्षा के लिए ज़रूरी है, लेकिन इससे IP address और browser fingerprint जैसे वे संकेत भी कमजोर हो जाते हैं जिन्हें मौजूदा साइटें abuse prevention के लिए इस्तेमाल करती रही हैं
• Mozilla का मानना है कि Web Environment Integrity जैसी device trust attestation प्रणालियाँ वेब access control का अधिकार कुछ गिने-चुने OS और hardware कंपनियों को सौंपने का जोखिम पैदा करती हैं
• इसका विकल्प anonymous credentials का तरीका है, जो उपयोगकर्ता की पहचान या credential जारी करने वाले स्रोत को उजागर किए बिना यह सत्यापित कर सकता है कि उपयोग उचित सीमा के भीतर है
• Cloudflare और अन्य ब्राउज़र व वेब हितधारकों ने मिलकर इसका डिज़ाइन शुरू किया है, और लक्ष्य है CAPTCHA, अनावश्यक blocking, और स्वयं-पहचान की मांग को कम करना

---

जहां प्राइवेसी सुरक्षा और abuse prevention टकराते हैं

• वेब प्राइवेसी सुरक्षा लगातार मजबूत हो रही है
  • privacy-first ब्राउज़र third-party cookies हटा रहे हैं
  • वे browser fingerprint tracking को सीमित करके और IP address छिपाकर trackers का मुकाबला करते हैं
• इस बदलाव से user experience पर नई लागत आती है
  • उपयोगकर्ताओं को अधिक CAPTCHA, लॉगिन मांगें, और block pages का सामना करना पड़ता है
  • IP address और browser fingerprint का उपयोग user profiling में हुआ है, लेकिन साथ ही ये साइटों के abuse prevention संकेत भी रहे हैं
• बॉट ट्रैफिक में वृद्धि साइट संचालन पर भी सीधा बोझ डालती है
  • credential stuffing और spam जैसे बड़े पैमाने के दुरुपयोग से वास्तविक नुकसान हो सकता है
  • सामान्य आगंतुकों को अधिक friction और कम प्राइवेसी स्वीकार करनी पड़ती है, और साइटें उन्हीं उपयोगकर्ताओं को दूर कर सकती हैं जिन्हें वे मूल रूप से सेवा देना चाहती थीं
• अगर कोई बदलाव नहीं हुआ, तो उपयोगकर्ताओं पर प्राइवेसी और वेब access में से एक चुनने का दबाव बढ़ेगा
• Web Environment Integrity (WEI) जैसे प्रस्ताव उपयोगकर्ता के device और software को साइट के सामने “विश्वसनीय” साबित करने का तरीका अपनाते हैं
  • Mozilla के अनुसार यह तरीका device control को उपयोगकर्ता से हटाकर कुछ OS और hardware कंपनियों के हाथ में दे देता है
  • इससे वही कंपनियाँ तय कर सकती हैं कि कौन-से device और software वेब तक पहुंच सकते हैं, जो open web की दिशा के विपरीत है

anonymous credentials से rate limit साबित करने का तरीका

• बॉट से होने वाले नुकसान का मूल कारण उनका बड़े पैमाने पर चलना है
  • साइट को उपयोगकर्ता की पहचान जानने की ज़रूरत नहीं है
  • यह जांचने की भी ज़रूरत नहीं है कि उपयोगकर्ता का device केवल approved software ही चला रहा है
  • बस इतना जानना काफ़ी है कि वह एक उचित rate limit के भीतर है
• rate limit तभी प्रभावी होगी जब हमलावर के लिए नई पहचान बनाकर सीमा रीसेट करना आसान न हो
  • साइटें email address, federated login, या device fingerprint इसलिए मांगती हैं ताकि नई पहचान हासिल करने की एक लागत हो
  • समस्या यह है कि ऐसे identifiers tracking के लिए भी इस्तेमाल हो सकते हैं
• मौजूदा user relationships दूसरी साइटों पर एक शांत गारंटी की तरह काम कर सकती हैं
  • उदाहरण के लिए, subscription या पुराना account रखने वाली साइट किसी उपयोगकर्ता के लिए गारंटी दे सकती है
  • पहली बार देखी गई साइट यह भरोसा कर सकती है कि उपयोगकर्ता सीमा के भीतर एक वास्तविक user है, लेकिन उसे उपयोगकर्ता की पहचान या गारंटी देने वाले स्रोत का पता नहीं चलना चाहिए
• VPN का मामला दिखाता है कि यह तरीका क्यों ज़रूरी है
  • कई वेबसाइटें VPN traffic को पूरी तरह block कर देती हैं, क्योंकि उसमें सामान्य और abusive traffic मिला-जुला होता है
  • अगर VPN service प्रत्येक subscriber के लिए गारंटी दे सके, तो साइट subscriber-स्तर पर rate limit प्रबंधित कर सकती है
  • लेकिन यदि गारंटी प्रणाली VPN उपयोगकर्ताओं को track करने लगे, तो VPN इस्तेमाल करने का उद्देश्य ही खत्म हो जाएगा
• Apple का Private Access Tokens, Privacy Pass के आधार पर one-time tokens देता है, जिससे visits के बीच linking रोकी जा सकती है
  • Mozilla का मानना है कि इस तरीके में भी महत्वपूर्ण सीमाएँ हैं
  • WEI की तरह यह भी device attestation पर निर्भर रहता है, इसलिए hardware gatekeeping से पूरी तरह नहीं बचता
  • साथ ही, अधिक पक्षों को उपयोगकर्ताओं के लिए गारंटी देने की अनुमति देते हुए भी प्राइवेसी बनाए रखना कठिन है, और नियंत्रण कुछ गिने-चुने पक्षों में केंद्रित हो सकता है
• Mozilla जिस संरचना की ओर बढ़ना चाहता है, उसमें कोई भी उपयोगकर्ता के लिए गारंटी दे सकता है, और हर साइट खुद चुन सकती है कि वह किन guarantors पर भरोसा करेगी
• Anonymous credentials उपयोगकर्ता को किसी एक पक्ष द्वारा जारी credential बाद में सीमित संख्या में साइटों को दिखाने की सुविधा देते हैं, जबकि साइट और जारीकर्ता दोनों उसके उपयोग को track नहीं कर सकते
  • यह भी छिपाया जा सकता है कि credential किसने जारी किया, और केवल इतना सिद्ध किया जा सकता है कि वह विश्वसनीय जारीकर्ताओं के किसी समूह में से एक से आया है
• Mozilla ने Cloudflare और अन्य ब्राउज़र सहित वेब हितधारकों के साथ मिलकर ऐसी प्रणाली का डिज़ाइन शुरू किया है
  • अधिक विस्तृत दृष्टिकोण Mozilla Hacks के PACT: Anonymous Credentials for the Web में देखा जा सकता है
• अंतिम लक्ष्य CAPTCHA में कमी, अनावश्यक blocking में कमी, और स्वयं-पहचान की मांग में कमी लाना है, वह भी प्राइवेसी को नुकसान पहुंचाए बिना

[GN⁺]

Lobste.rs की राय

• “Cloudflare के साथ” = मैं तुरंत मना कर देता हूँ
  तकनीकी अवलोकन के technical overview को देखें तो उसमें कहा गया है कि Privacy Pass का उपयोग Apple, Chrome, और Kagi में होता है, लेकिन Kagi का इस्तेमाल करने का तरीका सार्थक रूप से private search उपलब्ध नहीं कराता
  मेरा मानना है कि Kagi, Origin, Attester, और Issuer तीनों को एक साथ चलाकर Privacy Pass architecture के मूल सिद्धांत का उल्लंघन करता है

  • यह सही नहीं है। Privacy Pass architecture एक ही entity द्वारा तीनों भूमिकाएँ निभाने का समर्थन करता है(RFC 9576 §4.6)
    हाँ, timing side channel को लेकर चिंता हो सकती है। multi-show anonymous credentials, Privacy Pass में अभी deploy किए गए one-time tokens की तुलना में ऐसे side channels को कम करने में काफ़ी मददगार हैं
• तकनीकी लेख अंत में लिंक किया गया है: https://hacks.mozilla.org/2026/06/…
• यहाँ प्रगति दिख रही है, यह देखकर अच्छा लगा। पिछली नौकरी में मैं पुराने प्रयासों को follow करते हुए थोड़ा-बहुत शामिल रहा था
  लेकिन यह हिस्सा सवाल खड़ा करता है कि “अगर किसी user के पास उपयुक्त Anchor से कोई Endorsement नहीं है, तो वह CAPTCHA, account creation, या federated login जैसे मौजूदा mechanisms से Credential को bootstrap कर सकता है”
  CAPTCHA उपयोगी तरीके से काम नहीं करता, सिवाय इसके कि वह user को इतने समय तक रोके रखे कि उसका fingerprinting किया जा सके, और account creation तथा federated login भी आख़िरकार किसी दूसरे mechanism से gate लगाते हैं, इसलिए वे बस समस्या को एक स्तर ऊपर धकेलते हैं
  ऊपर से, आप library computer से bank में login करने की कोशिश कर रहे किसी व्यक्ति से यह नहीं कह सकते कि वह किसी दूसरी website पर नया account बनाए। आज के “मौजूदा mechanisms” या तो browser fingerprinting पर बहुत ज़्यादा निर्भर हैं, या Apple की तरह hardware attestation पर, और अगर Mozilla वगैरह का लक्ष्य fingerprinting को असंभव बनाना है, तो मुझे समझ नहीं आता कि यह कैसे काम करेगा
• मुझे लगता है कि सामान्य browsers को web pages को ज़्यादा aggressively cache करने देना शायद अधिक फ़ायदेमंद होगा। मैं समझता हूँ कि इससे user fingerprinting आसान हो सकती है या bots को cache share करने का मौका मिल सकता है
  लेकिन इंटरनेट की मुख्य समस्या यह नहीं है कि Shopify fraud की वजह से पैसा खो रहा है, बल्कि यह है कि हमने जिन content को देखा था, वह गायब होता जा रहा है
• पक्का नहीं कह सकता। वेब को खुला बनाए रखने का कहीं अधिक प्रभावी तरीका शायद workaround ढूँढने के बजाय crawler नाम की जड़ समस्या से निपटना है
  उदाहरण के लिए, हर चीज़ में AI ठूँसना बंद करना, और उन कंपनियों को support या enable न करना जिन्होंने शुरू में यह अफ़रा-तफ़री पैदा की। अगर crawlers बस बंद हो जाएँ, तो ऐसे workarounds की ज़रूरत ही न पड़े
  • संबंधित कंपनियाँ किसी न किसी रूप में AI में गहराई से शामिल हैं। या तो वे इसे सीधे बेच रही हैं, या अपने business model और brand identity को पूरी तरह उसी दिशा में pivot कर चुकी हैं
  • एक कहावत है, “अगर किसी समस्या का हल इस पर निर्भर करता है कि ‘सब लोग बस ... कर लें’, तो वह हल नहीं है। सब लोग बस ऐसा नहीं करते। ब्रह्मांड के इतिहास में सब लोग बस ऐसा कभी नहीं करते थे, और अब भी शुरू नहीं करेंगे”(source)
    फिर भी, यह सच है कि AI ने traffic spike पैदा किया, लेकिन यह समस्या AI से बहुत पुरानी है, और crawler सबसे गंभीर समस्या भी नहीं हैं। उदाहरण के लिए, लीक हुए credential dumps को bank login पर आज़माना, या gift card और credit card पर brute-force चलाना, इससे भी बड़ी समस्या है
    AI गायब भी हो जाए तो हम बस 2021-स्तर की दुनिया में लौटेंगे, और तब भी यह समस्या बहुत पहले से बेहद गंभीर थी