Chrome ekibinin CHIPS'i uygulama sürecinde karşılaştığı iki zorluk ve topluluk geri bildiriminin teklif tasarımının geliştirilmesinde nasıl önemli bir rol oynadığı ele alınıyor.
Bağımsız Bölümlendirme Durumuna Sahip Çerezler (CHIPS), geliştiricilerin bir çerezi "bölünmüş" depolama alanına eklemesine olanak tanıyan bir Gizlilik Korumalı Alanı teknolojisidir. Bu teknolojide, üst düzey site başına ayrı çerez kapları bulunur.
CHIPS'in örnek kullanım alanları arasında, siteler arası alt kaynakların, kullanıcının tek bir üst düzey sitedeki etkinliğiyle kapsamlı olan bir oturum veya kalıcı durum kavramı gerektirdiği tüm senaryolar (ör. üçüncü taraf sohbet widget'ları, harita yerleşimleri, alt kaynak CDN yük dengelemesi, headless içerik yönetim sistemi sağlayıcıları ve daha fazlası) yer alır.
CHIPS, açık web standardı olma hedefiyle geliştirilmektedir. PrivacyCG'de tartışılan bu özellik, 7 ay boyunca kaynak denemesi olarak kullanıldı. Bu süreçte Chrome ekibi faydalı geri bildirimler aldı. Geliştirme sırasında ekip, bu geri bildirimleri incelemek için önemli paydaşlarla birlikte çalıştı. Bu sayede web ekosistemine daha iyi hizmet veren güncellenmiş bir tasarım elde edildi.
Chrome ekibinin CHIPS'i uygulama sürecinde karşılaştığı iki zorluğu ve teklif tasarımının geliştirilmesinde topluluk geri bildiriminin nasıl önemli bir rol oynadığını inceleyelim.
Ana makine ön ekini kaldırma ve Domain koşulu olmaması
CHIPS tasarımı, iyi güvenlik uygulamalarını teşvik etmek için çerezlerin yalnızca güvenli protokoller tarafından ayarlanmasını ve gönderilmesini ve bölümlenmiş çerezlerin Secure ile ayarlanmasını zorunlu kılar.
İlk teklifte, bu şartlara ek olarak, bölümlenmiş çerezlerde Domain özelliğine izin verilmemiştir. Çerezlerde Domain atlanması, bunların bir bölümdeki farklı üçüncü taraf alt alan adları arasında paylaşılmasını engelledi.
Chrome ekibi, kaynak denemesi sırasında iş ortaklarından ve diğer paydaşlardan alan adı zorunluluğunun, alt alan adı olan sitelerin CHIPS'i uygulamasını zorlaştırdığını öğrendi. Örneğin, shop.example.com ve pay.example.com'nin bölümlendirilmiş çerez kaplarını paylaşmasını zorlaştırır. Diğer durumlarda ise yerleşik bağlamlarda kimlik doğrulama akışlarını zorlaştırıyordu.
Chrome ekibi bu geri bildirimi değerlendirdi ve alan adı olmaması koşulunun kaldırılmasının gizlilikle ilgili sorunlar oluşturmayacağı ancak kullanılabilirliği artıracağı sonucuna vardı. CHIPS ürün ekibi, bu talep üzerine GitHub'da bir tartışma başlatarak bu şartın kaldırılmasıyla ilgili daha fazla geri bildirim istedi. CHIPS'i test eden birkaç şirket, bu değişikliğin kendi kullanım alanları için önemi hakkında yanıt verdi ve herkese açık yorumlar yaptı.
Chrome, geri bildirimi W3C'nin Gizlilik Topluluğu Grubu'na iletti ve güncellenmiş öneriyi sundu. Firefox ve Edge bu değişikliği onayladı, Safari ise herhangi bir endişe belirtmedi. Ertesi gün Chrome ekibi Blink-Dev'i güncelledi ve şartı kaldırma planını CHIPS GitHub veri havuzunda sundu.
CHIPS ekibi, sitelerin kötü amaçlı veya güvenliği ihlal edilmiş alt alan adlarından siteler arası çerez almasını önlemek ve alan çerezlerinin alt alan adları arasında veri sızıntısı için bir kanal olarak kullanılması olasılığını azaltmak amacıyla başlangıçta bu koşulu önermişti.
Bu durum ek güvenlik avantajları sağlasa da Tableau, mevcut bazı uygulama mimarilerinin çerezleri alt alan adları arasında paylaşmaya dayalı olması nedeniyle CHIPS'in benimsenmesi konusunda zorluklar yaşandığını vurguladı.
Chrome bu değişikliği yaptıktan sonra, artık Salesforce'ın sahip olduğu görsel analiz platformunun arkasındaki şirket olan Tableau şunları paylaştı:
Adlandırma değişikliğinin kaldırılması, "SameSite=None" özelliğinin eklenmesi için yapılan önceki değişikliklerle daha uyumlu bir şart ve dolayısıyla daha "bilinen" bir miktar sağlar. Google'ın geri bildirimi dikkate alması, olası etkileri incelemesi ve geçişlerin daha kolay yapılmasına yardımcı olmak için değişiklik yapması bizi mutlu etti. Lee Graber, Yazılım Mühendisliği Mimarı, Tableau
Bu süreç sayesinde CHIPS, kullanıcıların gizliliğini korurken paydaşlar için daha kolay uygulanabilir hale getirildi.
Statik çerez sınırından dinamik çerez sınırına geçme
CHIPS'i uygulamadaki diğer zorluk ise statik çerez sınırıydı.
Çerezler için büyük bir bellek kullanımının önüne geçmek amacıyla, ilk tasarımda site başına bölüm başına 10 çerezlik bir sayısal sınır önerilmiştir.
Akamai, bölünmüş çerezler için önerilen sınırın, müşterilerinin içeriğini barındırmak üzere üst düzey alan adları sunan CDN'ler (ör. customer.cdn.xyz) gibi hizmetler için yeterli olmayabileceğine dair herkese açık geri bildirim paylaştı. Örneğin, customer1.cdn.xyz ve customer2.cdn.xyz hem üçüncü taraf içeriği yayınlayabilir hem de her biri kendi çerezlerini ayarlayabilir. Bu tür birden fazla müşteri sitesi başka bir web sitesine yerleştirilirse bölüm başına 10 çerez sınırına ulaşılabilir.
Chrome ekibi, diğer forumlarda, iş ortağı toplantılarında ve W3C tartışmalarında benzer geri bildirimler aldı. Bu nedenle, çerez sınırının bu kullanım alanlarında sunduğu sorunu çözmenin en iyi yollarını değerlendirdi.
Chrome, topluluk geri bildirimlerini nasıl dahil edeceğini değerlendirdikten sonra TPAC 2022'de CHIPS'in statik 10 çerez sınırından belleğe dayalı _dinamik _10 kb sınırına geçmesini öneren güncellenmiş bir fikir sundu. Analiz, bu değişikliğin web'deki kullanım alanlarının% 99'unu kapsaması gerektiğini ve Chrome'un ulaşmaya çalıştığı gizlilik ilkelerini (kullanıcılarla ilgili siteler arasında paylaşılan çok fazla bilginin sınırlandırılması) temel kullanımları korurken sürdüreceğini gösterdi.
Diğer tarayıcı tedarikçileri de güncellenmiş çözümü kabul ettiklerini söyleyerek görüşlerini bildirdiler. Bu, CHIPS'in PrivacyCG'de tarayıcılar arası desteği sürdürmesi açısından önemliydi.
Sonuç olarak Chrome, yeni sınırı benimsedi ve çözümü CHIPS tasarımına dahil etti.
Sektörle çalışma
CHIPS'in geliştirilmesi sürecinde birçok iş ortağından geri bildirim aldık. Web'de gizliliği iyileştirme çabalarında birlikte çalışmanın çok önemli olduğunun farkındayız.
Akamai, Google gibi diğer sektör liderleriyle çeşitli alanlarda işbirliği yapmaktadır. CHIPS programı için verdiğimiz geri bildirim küçük bir ayrıntı gibi görünse de bu değişiklik, nihai hedefe ulaşırken iyi kullanım alanları üzerinde minimum düzeyde olumsuz etki sağlamak için çok faydalı olacaktır. Her birimiz, interneti daha hızlı ve daha güvenli hale getirmek için kendi yöntemlerimizle çalışıyoruz. Birlikte çalıştığımızda internetin tamamı daha iyi durumda olur. Martin Meyer, Kıdemli Mimar, Akamai Technologies
CHIPS, ekosistemden alınan geri bildirimlerin Özel Korumalı Alan'daki teknolojilerin iyileştirilmesi için gerekli olduğunu göstermiştir. GitHub'daki açık web görüşmeleri, W3C toplantıları ve Chrome ekibiyle devam eden etkileşim, artık Chrome kararlı sürümünde kullanıma sunulan değişikliklere doğrudan katkıda bulundu. Chrome ekibi, çeşitli önerilerle ilgili bu geri bildirimleri duymak için sabırsızlanıyor. Bu geri bildirimler, teknolojilerin nasıl geliştirildiği ve web'de kullanıma sunulduğu konusunda büyük bir fark yaratıyor.