Частные государственные токены

Статус реализации

Что такое частные токены состояния?

Токены закрытого состояния позволяют передавать доверие к подлинности пользователя из одного контекста в другой, помогая сайтам бороться с мошенничеством и отличать ботов от реальных людей — без пассивного отслеживания.

  • Веб-сайт- эмитент может выдавать токены веб-браузеру пользователя, который демонстрирует свою надежность, например, путем постоянного использования учетной записи, завершения транзакции или получения приемлемого результата reCAPTCHA .
  • Сайт, на котором осуществляется обмен токенов, может подтвердить, что пользователь не является поддельным, проверив, есть ли у него токены от эмитента, которому он доверяет, и затем обменять токены при необходимости.

Токены закрытого состояния зашифрованы, поэтому невозможно идентифицировать конкретного человека или связать доверенные и недоверенные экземпляры для установления личности пользователя.

Зачем нам нужны частные токены состояния?

Интернету необходимы способы установления и передачи сигналов доверия, подтверждающих, что пользователь является тем, за кого себя выдает, а не ботом, притворяющимся человеком, или злонамеренной третьей стороной, обманывающей реального человека или сервис. Защита от мошенничества особенно важна для рекламодателей, поставщиков рекламы и CDN .

К сожалению, многие существующие механизмы оценки и распространения доверия — например, для определения того, взаимодействует ли пользователь с сайтом реальный человек, — используют методы, которые также могут применяться для идентификации личности. Механизмы, обеспечивающие доверие, должны сохранять конфиденциальность, позволяя распространять доверие между сайтами без отслеживания отдельных пользователей.

С помощью API Private State Token веб-сайт может выпускать криптографические токены для пользователя, которому он доверяет, и которые впоследствии могут быть использованы в другом месте. Токены надежно хранятся в браузере пользователя, а затем могут быть использованы в других контекстах для подтверждения подлинности пользователя. Это позволяет передавать доверие пользователя к одному веб-сайту (например, социальной сети или почтовому сервису) на другой веб-сайт (например, издателя или интернет-магазин) без идентификации пользователя или связывания личностей между сайтами.

Ключевой термин: Идентификация по отпечаткам пальцев позволяет сайтам идентифицировать и отслеживать отдельных пользователей, получая данные об их устройстве, операционной системе и настройках браузера (например, языковые предпочтения, пользовательский агент и доступные шрифты) или об изменениях состояния устройства. Это может быть сделано на сервере путем проверки заголовков запросов или на стороне клиента с помощью JavaScript. Идентификация по отпечаткам пальцев использует механизмы, о которых пользователи не знают и которые не могут контролировать.

Как работают частные токены состояния?

В этом примере веб-сайт издателя хочет проверить, является ли пользователь реальным человеком, а не ботом, прежде чем показывать рекламу.

  1. Пользователь посещает веб-сайт (известный как эмитент ) и совершает действия, которые заставляют сайт считать, что пользователь является реальным человеком, например, совершает покупки, использует электронную почту или успешно проходит проверку reCAPTCHA.
  2. Сайт эмитента использует JavaScript API Private State Token для инициирования запроса на получение токенов доверия для браузера пользователя.
  3. Сайт эмитента отправляет в ответ данные токена.
  4. Браузер пользователя надежно хранит данные для токена доверия.
  5. Пользователь заходит на другой веб-сайт (например, новостной ресурс), который хочет проверить, является ли пользователь реальным человеком: например, при показе рекламы.
  6. Сайт использует API Private State Token для проверки наличия в браузере пользователя токенов доверия от эмитентов, которым сайт доверяет.
  7. Токены приватного состояния находятся для эмитента, которого пользователь посещал ранее.
  8. Сайт издателя отправляет запрос эмитенту на погашение токенов доверия.
  9. Сайт эмитента отправляет в ответ запись о погашении.
  10. Сайт издателя отправляет запрос на рекламную платформу, включая запись о погашении, чтобы подтвердить, что эмитент доверяет пользователю и считает его реальным человеком.
  11. Рекламная платформа предоставляет данные, необходимые для показа рекламы.
  12. На сайте издателя отображается реклама.
  13. Показ объявления засчитывается.

Доступны ли инструменты для работы с частными токенами состояния?

Инструменты разработчика Chrome позволяют включить проверку состояния на вкладках «Сеть» и «Приложения». Подробнее об этой интеграции с инструментами разработчика и о токенах закрытого состояния можно прочитать здесь.

Как веб-сайты обрабатывают токены от нескольких доверенных эмитентов?

Сайт может проверять наличие действительных токенов в браузере пользователя с помощью document.hasTrustToken() для одного эмитента за раз. Если этот метод возвращает true и токен доступен, сайт может его использовать и прекратить поиск других токенов.

Веб-сайт должен определить, каких эмитентов токенов проверять и в каком порядке.

Варианты использования

Токены частного состояния (PST) поддерживают широкий спектр сценариев борьбы с мошенничеством. По своей сути, PST могут выступать в качестве дополнительного сигнала доверия, поскольку API способен кодировать фрагменты информации, которые помогают передавать доверие из одного контекста в другой. Поскольку сторонние файлы cookie исчезают, мы понимаем, что крайне важно обеспечить функционирование сценариев использования, подобных следующим. Все сценарии использования PST требуют совместной работы как эмитентов, так и получателей. Возможно, вам стоит рассмотреть PST, если у вас есть сценарии использования, аналогичные любому из следующих:

  • Сервисы защиты от мошенничества : Предотвращение мошенничества — это законный сценарий использования, который должен поддерживать веб, но он не должен требовать стабильного, глобального идентификатора для каждого пользователя. В контексте сторонних сервисов PST можно использовать для сегментации пользователей на группы доверенных и недоверенных пользователей.
  • Анализ мошенничества в рекламе : PST может быть полезен для анализа мошеннических кликов, показов и бот-схем в рекламных технологических сервисах.
  • Обнаружение ботов : После проведения анализа на предмет того, является ли браузер ботом или нет, PST может помочь закодировать эту информацию для передачи из одного контекста в другой.
  • Безопасные платежи : Для выявления угроз, которые сложнее обнаружить в контексте взаимодействия с третьими лицами при наличии ограниченной информации (например, кардинг ), PST можно использовать в качестве дополнительного сигнала для повышения доверия.
  • Сервисы защиты от злоупотреблений в электронной коммерции : Выявление ботов во взаимодействиях с покупателями в электронной коммерции (клики, оформление заказа, покупка, оценки товаров, чат-боты, возвраты) очень важно для предотвращения сбора данных со страниц и нечеловеческих взаимодействий. Это может стать важным дополнительным сигналом для обнаружения автоматизированных агентов сторонними поставщиками услуг по борьбе с мошенничеством на платформах электронной коммерции.
  • Сервисы CDN : PST предоставляют механизм для содействия в сообщении о мошенническом трафике и его обнаружении.

Этот список вариантов использования не является исчерпывающим перечнем всех возможностей противодействия мошенничеству, которые могут получить выгоду от использования токенов частного состояния (PST). Список также не является взаимоисключающим, PST могут быть полезны в различных процессах противодействия мошенничеству.

Пользовательские сценарии

Выпуск и погашение являются ключевыми компонентами токенов частного состояния (Private State Tokens, PST). Хотя описанные выше сценарии использования являются ключевыми областями, где поддерживаются PST, вы можете рассматривать следующие моменты в определенных пользовательских сценариях как ситуации, когда вам действительно потребуется выпустить или погасить токены:

  • Выдача токенов в процессе управления учетной записью (вход в систему, регистрация, сброс пароля и т. д.)
  • Выдача токенов после подтверждения многофакторной аутентификации (МФА).
  • Выпуск токенов после действий с высоким риском, таких как удаление истории платежей.
  • Перед совершением действий с умеренным риском обменяйте токены на подтверждение транзакций между сайтами.
  • Перед совершением действий, сопряженных с высоким риском, используйте токены для подтверждения транзакций на разных сайтах.

Соблюдение законов о защите персональных данных в электронных коммуникациях.

Выпуск частных государственных токенов предполагает хранение информации на терминальном оборудовании пользователя и, следовательно, подпадает под действие законов о защите конфиденциальности в электронной среде (ePrivacy) в Европейской экономической зоне (ЕЭЗ) и Великобритании, которые, как правило, требуют согласия пользователя. Как эмитент, вы несете ответственность за определение того, является ли использование вами API частных государственных токенов строго необходимым для предоставления онлайн-услуги, явно запрошенной пользователем, и, следовательно, освобождает ли оно от требования получения согласия. Для получения дополнительной информации мы рекомендуем вам ознакомиться с нашими часто задаваемыми вопросами о соблюдении требований конфиденциальности в рамках «песочницы конфиденциальности».

Принимайте участие и делитесь отзывами.

Узнать больше