匿名性的終結：Google 的 reCAPTCHA 如何將去 Google 化 Android 用戶拒之門外

互聯網正在從「證明你是人類」轉向「證明你正在使用經過核准的設備」。多年來，reCAPTCHA 一直是網絡的無處不在的守門人，從扭曲的文本演變到簡單的勾選框，現在則演變為隱形的背景檢查。然而，Google 最近在處理這些檢查方式上的轉變，為使用去 Google 化 Android 設備（例如運行 GrapheneOS 或其他 custom ROMs）的用戶造成了關鍵的失效點。

這不僅僅是隱私愛好者的分眾問題；它代表了網絡訪問媒介方式的根本性變化。當一項服務需要 Google 簽署的證明（attestation）來證明設備的完整性時，它實際上是在互聯網周圍建立了一道數字牆，將任何選擇修改自己硬件或軟件的人排除在外。

轉向遠程證明 (Remote Attestation)

這個問題的核心在於向遠程證明的轉變。與尋找類人行為（鼠標移動、cookies 或解謎）的傳統 CAPTCHAs 不同，遠程證明依賴於硬件層級的證明。

根據社區的技術分析，這個過程涉及一個信任鏈：

  1. EK (Endorsement Key): 一個燒錄在設備硬件（TPM/Secure Enclave）中的靜態私鑰。
  2. AIK (Attestation Identity Key): 一個由 Google 服務器簽署的臨時密鑰，用以證明設備是正品。
  3. Attestation: 一個簽署的證明，證明設備處於「已知良好」狀態（例如：未被 root，運行著官方 Google 簽署的 OS）。

如果 Google 服務器記錄了從 EK 到 AIK 的轉換，那麼證明就不再是匿名的。它會變成物理設備的永久指紋，允許 Google 將每一次 reCAPTCHA 會話——以及潛在上的每一次跨服務器的賬號——與特定的硬件綁定在一起。

超越去 Google 化手機：誰會受到影響？

雖然最初的抗議聲來自 GrapheneOS 用戶，但其影響範圍要廣泛得多。任何缺乏 Google Play Services 或無法通過 Google「Play Integrity」檢查的設備都面臨風險。這包括：

  • Huawei Devices: 在中國生產且默認缺乏 Google 服務的手機。
  • Custom ROMs: 那些為了奪回隱私而對手機進行了 root 或安裝了 Android 開源替代方案的用戶。
  • Alternative Hardware: 來自其他製造商（如 Amazon）的平板電腦或設備，可能不會集成 Google 的證明框架。
  • Non-Smartphone Users: 隨著一些網站轉向基於 QR-code 的驗證（通常由 Cloudflare 支持），沒有智能手機的用戶正有效地被拒之於基本的網絡服務之外。

「圍牆花園」策略

許多觀察者認為，這一舉動並非安全措施，而是一種戰略性的「踢開梯子」。通過使非核准設備無法訪問網絡，Google 確保了其在互聯網「信任層」的壟斷地位。

"互聯網正日益感覺像是在『證明你正在使用核准的電腦』，而不是『證明你是人類』。"

還有一個日益增長的理論認為，這是為了阻擋競爭對手的 AI agents。隨著自主代理開始執行在線任務，區分「好」機器人與「壞」機器人的唯一方法將是通過硬件證明。通過控制證明密鑰，Google 可以確保其自身的 AI agents 擁有「VIP 通行證」，而競爭對手則會被擋在 CAPTCHAs 的重重圍牆之外。

對隱私與法律的更廣泛影響

社區的反應是警覺的，許多人認為這違反了反壟斷法。Google 正利用其作為網絡基礎設施提供者（reCAPTCHA）的主導地位，強迫用戶進入其生態系統（Google Play Services），並懲罰那些選擇退出的人。

批評者認為，這正趨向於一個「KYC (Know Your Customer)」網絡，其中每一次交互都與經過驗證的身份和經過驗證的設備綁定在一起。這毀滅了互聯網的匿名性集合，使得在沒有與現實世界身份直接關聯的情況下瀏覽網絡幾乎變得不可能。

開發者的替代方案

隨著抵制聲浪增強，開發者正在質疑是否應該繼續使用 reCAPTCHA。

一些人已成功實施了替代方法，在不依賴硬件證明的情況下防止機器人垃圾信息：

  • Browser State Analysis: 使用像 creepjs 這樣的工具來分析瀏覽器指紋。
  • Proof of Work (PoW): 要求客戶端在提交表單之前解決一個計算密集型的謎題。
  • Basic IP Reputation: 使用濫用列表來標記高風險流量，而不要求設備層級的證明。

隨著網絡向著更具限制性的信任模型轉變，便利性與自主權之間的選擇變得異常尖銳。對於那些珍視互聯網的開源性質，向硬件強制訪問的轉轉變是一個警告信號，預示著「通往豬圈的門正在關閉」。

Sources