硬體認證：數位壟斷的新前線

數十年來，開放網路的承諾是互操作性——即任何裝置，無論製造商或作業系統為何，都能存取任何服務。然而，一場無聲的轉變正在發生。Apple 和 Google 正日益部署基於硬體的認證工具，例如 Google 的 Play Integrity API 和 Apple 的 App Attest API，以重新定義誰被允許進入數位世界。

雖然這些技術被包裝成旨在保護使用者與服務免受詐欺和機器人的安全功能，但它們正在創造一種系統性的障礙。透過要求硬體層級的證明，以確認裝置是「經過認證」或「核准」的，產業正朝向一個未來邁進：參與公民社會的能力——包括銀行、政府服務和身分驗證——將取決於是否擁有來自少數核准供應商的裝置。

硬體認證的機制

硬體認證是一個過程，裝置會向遠端伺服器提供加密證明，以證明其硬體和軟體狀態是真實且未經竄改的。理論上，這可以防止受損裝置存取敏感數據。但在實務上，它正被用來強制執行嚴格的雙頭壟斷。

Play Integrity 與 App Attest

Google 的 Play Integrity API 和 Apple 的 App Attest API 的運作方式相似。它們允許應用程式開發者驗證應用程式是否在真實、未經修改的裝置上執行。特別是 Google，正在逐步引入「裝置完整性」的要求，這實際上將任何不符合 Google 特定授權與認證規則的作業系統排除在外。

網頁擴展：reCAPTCHA 與 Privacy Pass

這種控制力正從行動應用程式擴展到瀏覽器。Apple 的 Privacy Pass 和 Google 不斷演進的 reCAPTCHA Mobile Verification 正將硬體認證帶入網頁。在某些情況下，通過 reCAPTCHA 可能很快就會需要透過認證過的智慧型手機進行 QR Code 掃描，這實際上使得經過認證的 iOS 或 Android 裝置成為使用大部分桌面網頁的前置條件。這創造了一種情境，即 Linux、OpenBSD 或未經認證的硬體使用者被系統性地排除在外。

安全性 vs. 控制權：GrapheneOS 的觀點

GrapheneOS（一個專注於隱私與安全的 Android 分支）強調了「安全性」敘事中的一個關鍵矛盾。GrapheneOS 通常比 Google 允許的標準 Android 版本更安全，但它卻被 Play Integrity API 禁用，因為它沒有授權 Google Mobile Services (GMS) 或遵守反競爭規則。

"Google 的安全藉口顯然是虛假的，因為他們允許那些十年都沒修補程式的裝置，卻不允許一個更安全的作業系統。這完全是為了透過 GMS 授權來強制執行他們的壟斷。"

此外，Android 本身也存在硬體認證 API——它支援替代性的信任根與驗證啟動金鑰指紋——這證明了該技術「可以」被用來允許替代作業系統。選擇排除它們是一種商業決策，而非技術上的必要性。

政府與法規的角色

或許最令人擔憂的是政府在這種鎖定效應中的積極參與。許多政府並非在規範反競爭行為，反而是在強制要求使用這些專有的認證系統來進行數位身分、年齡驗證和支付系統。

在歐盟，據報導 Digital Identity Wallet (EUDI) 要求使用 Google 或 Apple 的硬體認證。這實際上將歐盟公民的數位主權與美國企業緊密連結在一起。當政府強制要求公民必須使用「經過認證」的裝置來存取醫療或社會服務時，裝置就不再僅僅是一個工具，而變成了由第三方控制的強制性憑證。

對運算領域的更廣泛影響

這種趨勢代表了對「通用型電腦」概念的根本攻擊。如果硬體必須經過供應商核准才能執行特定軟體，而該軟體又是基本生活功能所需的，那麼使用者就不再擁有自己的裝置——供應商才擁有。

隱私風險

批評者指出，這些系統通常缺乏零知識證明或盲簽章。每當裝置進行身分認證時，它都可能留下痕跡，讓該認證可以被連結到特定的晶片，從而創造一個永久性的、硬體層級的追蹤 ID。

「雙裝置」的現實

隨著這些要求日益普及，這類使用者正面臨碎片化的現實。有些人已經開始採用「雙裝置」策略：一個用於日常使用的安全、隱私裝置，一個用於政府與銀行互動的「經過認證」的第二個裝置——大部分時間都保持關機狀態。

結論

向硬體認證轉向的趨勢不僅僅是技術演進；它也是政治與經濟上的演進。透過將壟斷執行包裝成「安全性」，Apple 和 Google 正建立一個一個圍牆花園，其範圍已超越了他們自己的應用程式，並延伸進入了網際網路的結構之中。如果沒有朝向開放、保護隱私的身分驗證與機器人檢測標準轉向，開放網路可能會被一系列由企業核准的閘道器所取代。