Private Access Tokens (PATs) sind kryptografische Nachweise, mit denen ein Gerät belegen kann, dass ein echter Mensch an einem echten Gerät sitzt, ohne seine Identität preiszugeben.
Sie beruhen auf dem offenen Standard Privacy Pass.
Private Access Tokens (PATs) verstehen
PATs sollen klassische CAPTCHAs ersetzen oder seltener nötig machen.
Statt einer Aufgabe legt der Browser ein Token vor, das eine vertrauenswürdige Stelle ausgestellt hat.
Generierung von PATs
Ein Prüfdienst, etwa der Hersteller des Betriebssystems, bestätigt, dass Gerät und Konto echt sind.
Ein Aussteller erzeugt daraufhin ein Token mit einer blinden Signatur, sodass er später nicht nachvollziehen kann, wo es eingesetzt wird.
Verwendung von PATs
Fordert eine Website einen Nachweis an, legt der Browser das Token vor.
Die Website prüft die Signatur und lässt die Anfrage ohne Rätsel durch.
Vorteile der Verwendung von PATs
PATs verbinden Schutz vor Bots mit Datenschutz und Komfort.
Sicherheit von PATs
Tokens sind signiert, gelten nur einmal und lassen sich nicht fälschen.
Die Website erfährt nichts über die Person, und der Aussteller erfährt nichts über die besuchte Website.
Flexibilität von PATs
PATs funktionieren im Hintergrund und lassen sich mit anderen Prüfungen kombinieren.
Websites können sie als zusätzliches Signal nutzen, ohne Besucher zu stören.
Nachteile der Verwendung von PATs
PATs haben auch Grenzen, die Betreiber kennen sollten.
Verwaltung von PATs
Betreiber müssen Aussteller auswählen, Schlüssel prüfen und auf Änderungen der Standards reagieren.
Ohne passende Infrastruktur bleibt ein weiterer Schutz nötig.
Benutzerfreundlichkeit von PATs
Nicht alle Geräte und Browser unterstützen PATs, und sie setzen meist ein Konto beim Gerätehersteller voraus.
Für alle anderen Besucher braucht es eine barrierefreie Alternative, etwa die Rechenprüfung von CDPCaptcha, die ohne Konto und ohne Cookies auskommt.
Fazit
Private Access Tokens sind ein datenschutzfreundlicher Weg, Bots zu erkennen.
Sie ergänzen andere Verfahren, ersetzen sie aber noch nicht für alle Nutzer.