טוקנים של מצב פרטי

סטטוס ההטמעה

מהם טוקנים של מצב פרטי?

   

אסימוני מצב פרטי מאפשרים להעביר את המהימנות של אותנטיות המשתמש מהקשר אחד להקשר אחר, כדי לעזור לאתרים להילחם בהונאות ולהבחין בין בוטים לבין בני אדם אמיתיים – בלי מעקב פסיבי.

  • אתר מנפיק יכול להנפיק טוקנים לדפדפן האינטרנט של משתמש שמוכיח שהוא מהימן, למשל באמצעות שימוש רציף בחשבון, השלמת עסקה או קבלת ציון reCAPTCHA מקובל.
  • אתר הפודה יכול לוודא שהמשתמש הוא לא מזויף על ידי בדיקה אם יש לו אסימונים מנפקן שהפודה סומך עליו, ואז לפדות את האסימונים לפי הצורך.

הטוקנים של מצב פרטי מוצפנים, ולכן אי אפשר לזהות אדם ספציפי או לקשר בין מקרים מהימנים לבין מקרים לא מהימנים כדי לגלות את זהות המשתמש.

למה אנחנו צריכים טוקנים של מצב פרטי?

צריך למצוא דרכים באינטרנט ליצור ולהעביר אותות אמון שיוכיחו שמשתמש הוא מי שהוא טוען שהוא, ולא בוט שמתחזה לאדם או צד שלישי זדוני שמרמה אדם או שירות אמיתיים. הגנה מפני הונאות חשובה במיוחד למפרסמים, לספקי מודעות ולרשתות CDN.

לצערנו, הרבה מנגנונים קיימים למדידה ולהפצה של מהימנות – למשל, כדי לבדוק אם אינטראקציה עם אתר מסוים היא של בן אדם אמיתי – מבוססים על טכניקות שאפשר להשתמש בהן גם לזיהוי ייחודי של מכשיר. מנגנונים להעברת אותות אמון צריכים לשמור על הפרטיות, כדי שאותות האמון יועברו בין אתרים בלי מעקב אחרי משתמשים ספציפיים.

באמצעות Private State Token API, אתר יכול להנפיק אסימונים קריפטוגרפיים למשתמש שהוא סומך עליו, ואפשר להשתמש באסימונים האלה בהמשך במקומות אחרים. הדפדפן של המשתמש מאחסן את הטוקנים בצורה מאובטחת, ואפשר להשתמש בהם בהקשרים אחרים כדי לאשר את האותנטיות של המשתמש. כך אפשר להעביר את האמון במשתמש באתר אחד (למשל אתר של רשת חברתית או שירות אימייל) לאתר אחר (למשל אתר של בעל תוכן דיגיטלי או חנות באינטרנט) בלי לזהות את המשתמש או לקשר בין הזהויות שלו באתרים שונים.

איך פועלים טוקנים של מצב פרטי?

בדוגמה הזו, אתר של בעל תוכן דיגיטלי רוצה לבדוק אם המשתמש הוא אדם אמיתי ולא בוט, לפני שהוא מציג מודעה.

  1. משתמש מבקר באתר (שנקרא מנפיק) ומבצע פעולות שגורמות לאתר להאמין שהמשתמש הוא אדם אמיתי, כמו ביצוע רכישות, שימוש בחשבון אימייל או השלמה מוצלחת של reCAPTCHA.
  2. האתר המנפיק משתמש ב-Private State Token JavaScript API כדי להפעיל בקשה לאסימוני מהימנות עבור הדפדפן של המשתמש.
  3. האתר של המנפיק מגיב עם נתוני האסימון.
  4. הדפדפן של המשתמש שומר בצורה מאובטחת את הנתונים של טוקן האמון.
  5. המשתמש נכנס לאתר אחר (למשל, אתר של מוציא לאור של חדשות) שרוצה לוודא שהמשתמש הוא אדם אמיתי, למשל כשמוצגות מודעות.
  6. האתר משתמש בממשק Private State Token API כדי לבדוק אם בדפדפן של המשתמש מאוחסנים טוקנים של אמון עבור מנפיקים שהאתר נותן בהם אמון.
  7. טוקנים של מצב פרטי נמצאים עבור המנפיק שהמשתמש ביקר בו בעבר.
  8. האתר של בעל התוכן הדיגיטלי שולח בקשה למנפיק כדי לממש את טוקני האמינות.
  9. האתר של המנפיק מגיב עם רשומת מימוש.
  10. האתר של בעל התוכן הדיגיטלי שולח בקשה לפלטפורמת פרסום, כולל רשומת המימוש, כדי להראות שהמשתמש מהימן על ידי הגורם שהנפיק את הכרטיס ושהוא אדם אמיתי.
  11. פלטפורמת הפרסום מספקת את הנתונים שנדרשים להצגת מודעה.
  12. המודעה מוצגת באתר של בעל התוכן הדיגיטלי.
  13. חשיפה של צפייה במודעה נספרת.

האם יש כלים לטוקנים של מצב פרטי?

כלי הפיתוח ל-Chrome מפעילים את הבדיקה מהכרטיסיות 'רשת' ו'אפליקציה'. מידע נוסף על השילוב הזה של כלי הפיתוח ועל Private State Tokens

איך אתרים מטפלים באסימונים מכמה מנפיקים מהימנים?

האתר יכול לבדוק בדפדפן של המשתמש אם יש טוקנים תקפים עם document.hasTrustToken() עבור מנפיק אחד בכל פעם. אם הפונקציה מחזירה true ויש טוקן זמין, האתר יכול לממש את הטוקן ולהפסיק לחפש טוקנים אחרים.

האתר צריך להחליט אילו מנפיקי אסימונים לבדוק ובאיזה סדר.

תרחישים לדוגמה

טוקנים של מצב פרטי (PST) תומכים במגוון תרחישי שימוש למניעת הונאות. בבסיסו, PST יכול לשמש כאות נוסף של מהימנות, כי ה-API יכול לקודד חלקי מידע שיכולים לעזור להעביר מהימנות מהקשר אחד להקשר אחר. אנחנו מבינים שעם ההוצאה משימוש של קובצי Cookie של צד שלישי, יהיה חשוב לוודא שתרחישי שימוש כמו אלה שמופיעים בהמשך יוכלו להמשיך לפעול לפי הצורך. בכל תרחישי השימוש ב-PST נדרש שיתוף פעולה בין המנפיקים לבין מי שמממשים את השוברים. כדאי לשקול להשתמש ב-PST אם יש לכם תרחישי שימוש שדומים לאחד מהתרחישים הבאים:

  • שירותים למניעת הונאות: מניעת הונאות היא תרחיש שימוש לגיטימי שצריך לתמוך בו באינטרנט, אבל לא צריך מזהה יציב, גלובלי וספציפי למשתמש. בהקשרים של צד שלישי, אפשר להשתמש ב-PST כדי לפלח משתמשים לקבוצות מהימנות ולא מהימנות.
  • ניתוח הונאות בפרסום: PST יכול להיות שימושי לניתוח קליקים, חשיפות ותוכניות בוטים שמקורם בתרמית בשירותי טכנולוגיות פרסום.
  • זיהוי בוטים: אחרי שמריצים ניתוח כדי לבדוק אם דפדפן הוא בוט או לא, אפשר להשתמש ב-PST כדי לקודד את המידע הזה ולשתף אותו מהקשר אחד להקשר אחר.
  • תשלומים מאובטחים: כדי לזהות איומים שקשה יותר לזהות בהקשר של צד שלישי עם מידע מוגבל (כמו שימוש לא מורשה בכרטיס אשראי), אפשר להשתמש ב-PST כאות נוסף לשיפור המהימנות.
  • שירותים למניעת ניצול לרעה במסחר אלקטרוני: זיהוי בוטים באינטראקציות במסחר אלקטרוני (קליקים, תשלום, רכישה, דירוגי מוצרים, צ'אטבוטים, החזרות) חשוב מאוד כדי למנוע גירוד דפים ואינטראקציות לא אנושיות. האות הזה יכול להיות חשוב מאוד לזיהוי סוכנים אוטומטיים עבור ספקי צד שלישי של פתרונות למניעת הונאות בפלטפורמות מסחר אלקטרוני.
  • שירותי CDN: PST מספק מנגנון שעוזר לדווח על טראפיק הונאה ולזהות אותו.

הרשימה הזו של תרחישי שימוש לא כוללת את כל היכולות למניעת הונאות שעשויות להפיק תועלת מטוקנים של מצב פרטי. בנוסף, הרשימה לא כוללת רק אפשרויות שונות, אלא גם אפשרויות שניתן להשתמש בהן יחד. יכול להיות ש-PST יועיל לכמה תהליכי עבודה למניעת הונאה.

תהליכים שעוברים משתמשים

הנפקה ומימוש הם הרכיבים העיקריים של טוקנים של מצב פרטי. תרחישי השימוש הקודמים הם התחומים העיקריים שבהם יהיה אפשר להשתמש ב-PST, אבל אפשר גם לחשוב על הרגעים הבאים בתהליכי משתמש מסוימים כדוגמאות למקרים שבהם כדאי להנפיק או לממש טוקנים:

  • הנפקת טוקנים במהלך תהליכי ניהול חשבון (כניסה, הרשמה, איפוס סיסמה וכו')
  • הנפקת טוקנים אחרי אישור אימות רב-שלבי (MFA)
  • הנפקת טוקנים אחרי פעולות בסיכון גבוה, כמו מחיקת היסטוריית התשלומים
  • מימוש טוקנים לאישור חוצה אתרים לפני ביצוע פעולות בסיכון בינוני
  • מימוש טוקנים לאימות חוצה אתרים לפני פעולות בסיכון גבוה

ציות לחוקים בנושא פרטיות אלקטרונית

הנפקת אסימוני מצב פרטי כוללת אחסון מידע בציוד הקצה של המשתמש, ולכן היא פעילות שחלים עליה חוקי הפרטיות האלקטרונית באזור הכלכלי האירופי (EEA) ובבריטניה, שבדרך כלל מחייבים קבלת הסכמת המשתמש. כמנפיקים, אתם אחראים לקבוע אם השימוש שלכם ב-Private State Tokens API הכרחי כדי לספק שירות אונליין שהמשתמש ביקש במפורש, ולכן פטור מדרישת ההסכמה. מידע נוסף זמין בשאלות נפוצות בנושא תאימות לדרישות בנוגע לפרטיות של ארגז החול לפרטיות.

השתתפות ושיתוף משוב

למידע נוסף