與 Fastly 合作：FLEDGE's k-anonymity 伺服器採用罕見的 HTTP 轉發服務

Philip Lee

FLEDGE 是 Privacy Sandbox 提案，用於放送再行銷和自訂目標對像用途，旨在防止第三方追蹤使用者的跨網站瀏覽行為。瀏覽器只有在顯示相同顯示網址時，能夠向大量使用者顯示時，才顯示廣告來防範微型指定。每個廣告素材在過去 7 天內必須有 50 位使用者的參與時間後，廣告才能顯示。此外，這也能防止系統回報未達最低門檻的轉譯網址，避免使用者跨網站追蹤。

這類保護機制稱為 k-anonymity，是由 Google 營運的集中式伺服器啟用，可維持全球計數。廣告素材達到最低門檻後，系統就會向使用者顯示。如要進一步瞭解 k 門檻，以及 k-anonymity 服務在 FLEDGE 中的設計方式，請參閱我們的說明。

網站提出 FLEDGE 廣告請求時，Google 的 k-anonymity 伺服器會確保廣告只能在通過 k-anonymity 門檻時顯示。當廣告公司向廣告公司發出請求時，就會看到 IP 位址。

雖然 k-anonymity 服務提供重要的隱私保護，但也可能會將敏感的使用者資料提供給這個集中式伺服器，例如 IP 位址和瀏覽器的使用者代理程式字串。因此，我們與 Fastly 攜手合作，利用這個邊緣雲端平台 Fastly (提供內容傳遞、邊緣運算、安全性和觀測能力) 改善 Chrome 的隱私權防護措施，藉此在 FLEDGE 的 k-anonymity 伺服器中運作明確的 HTTP 轉送 (OHTTP 轉送)。

由於資料是透過 OHTTP 轉發，Google k-anonymity 伺服器不會收到使用者的 IP 位址。k-anonymity 伺服器是逐步導入 FLEDGE 的逐步流程。請注意，這不會影響透過一般瀏覽行為向發布商來源公開的 IP 位址。

注意：使用明顯的 HTTP (OHTTP) 時，用戶端可以向伺服器發出多個要求，而伺服器無法使用這些要求的屬性，判斷這些要求是否來自同一個用戶端。不僅可以隱藏伺服器上的用戶端 IP 位址，還能防止 TLS 工作階段用於連結同一用戶端的多個要求。

為了實作 OHTTP，我們與 Fastly 合作，代表我們營運轉發資源。使用者的 Chrome 瀏覽器會透過 k-anonymity 伺服器的 HTTP POST 訊息內文，將加密酬載傳送至這個轉發服務。瀏覽器會使用直接從 Google 網域 k-anonymity 伺服器上擷取的金鑰來加密郵件。轉發服務會將要求轉送至某個閘道，並在 Google 伺服器上執行。因此，轉發服務無法查看使用者的 IP 位址，並不會顯示要求的內容。反之，k-anonymity 伺服器 (和閘道) 無法得知使用者身分，但可以查看要求的內容。

注意：開發人員或使用者不必採取任何行動，但想分享我們推出的基礎架構，以進一步保障整個 FLEDGE 程序的使用者隱私。

Google 打算代表所有使用 FLEDGE 的 Chrome 使用者操作 k-anonymity 伺服器。k-anonymity 檢查適用於所有第三方廣告技術和 Google 自家的廣告服務。使用者是受益於 k-anonymity 的使用者，而瀏覽器則是可以選擇實作和強制執行的軟體。

網站提出 FLEDGE 廣告請求時，Google 的 k-anonymity 伺服器會確保廣告只能在通過 k-anonymity 門檻時顯示。Fastly 的轉發服務可執行 OHTTP 來隱藏 IP 位址，藉此保護使用者隱私。

FLEDGE 的隱私權保護屬性同樣適用於 Google 和廣大的生態系統。系統將從 Chrome 呼叫這個伺服器，預計 2023 年稍晚開始支援 Android。

相片來源：Ian Battaglia 於 Unsplash 網站上