Je bent klaar om kaartjes te kopen. Winkelwagen is vol. Afrekenpagina wordt geladen. Dan verschijnt de poortwachter.
Het is een CAPTCHA.
De term staat voor Completely Automated Public Turing Test to Tell Computers and Humans Apart. Het is een acroniem dat klinkt als een mondvol, maar de functie is brutaal eenvoudig. Het is een digitale uitsmijter.
Voor jou, de mens, zou het triviaal moeten zijn. Een paar klikken. Een beetje turen naar vervormde tekst. Niets.
Voor een bot? Het is een onoverkomelijke muur.
Het hele doel van een CAPTCHA is om kwaadaardige automatisering te stoppen. Het is Human Interaction Proof (HIP). Als je het kunt oplossen, ben je waarschijnlijk een persoon. Als je dat niet kunt, ben je waarschijnlijk een script dat gegevens probeert te verzamelen, inboxen spamt of een server overspoelt.
De evolutie van de test
Je hebt ze allemaal gezien. De klassieke CAPTCHA is degene met de kromgetrokken, kleurrijke letters. Je typt wat je ziet in een vakje. Match de karakters, slaag voor de test.
Maar tekst wordt voor machines steeds gemakkelijker te lezen. De sector veranderde dus.
Nu krijg je vaak een raster met foto’s te zien. Een snelweg. Een stadsstraat. Een park. De prompt is specifiek: “Selecteer alle vierkanten met verkeerslichten.” Of ‘Fietsen’. Of ‘Brandkranen.’
Dit is de beeldherkenning CAPTCHA.
Het is voor bots aanzienlijk moeilijker om te ontcijferen dan eenvoudige tekst. Waarom? Omdat computer vision-modellen worstelen met context. Een wazig beeld van een brandkraan kan voor een algoritme op een rode paal lijken. Voor een mens is het duidelijk. De vervorming is niet alleen voor stijl; het is een opzettelijk wrijvingspunt.
Het doel is om een uitdaging te creëren die menselijke patroonherkenning exploiteert en tegelijkertijd de geautomatiseerde parsering doorbreekt.
Waarom moeite doen?
Waarom een test maken die menselijke inspanning vereist?
Omdat iemand het systeem probeert te bespelen.
Deze slechte acteurs vormen een minderheid. De meeste internetgebruikers proberen alleen maar het nieuws te lezen of concertkaartjes te kopen. Maar de minderheid is luidruchtig en destructief.
Overweeg een gratis e-mailprovider. Zonder CAPTCHA zou een bot binnen enkele seconden miljoenen accounts kunnen registreren. Die accounts worden de motor voor een enorme spamcampagne. De CAPTCHA vertraagt dat. Het dwingt de bot om te pauzeren, na te denken en te falen. Het identificeert de echte mensen van de geautomatiseerde parasieten.
Het onbedoelde voordeel
Hier is de ironie.
Als een CAPTCHA mislukt – als een bot het daadwerkelijk oplost – zijn de ontwerpers niet bepaald woedend.
Waarom?
Om een CAPTCHA op te lossen, moet je een computer leren hoe hij moet ‘zien’ en ‘denken’ als een mens. Elke keer dat een algoritme een CAPTCHA omzeilt, betekent dit een sprong in de kunstmatige intelligentie. De CAPTCHA fungeert als oefenterrein voor machinaal leren.
Het mechanisme dat is ontworpen om AI te blokkeren, leidt er uiteindelijk toe dat het wordt onderwezen.
De Turing-connectie
De naam verraadt het. Het is een verwijzing naar de Turing Test.
De oorspronkelijke Turingtest, voorgesteld door Alan Turing in 1950, vraagt zich af of een machine intelligent gedrag kan vertonen dat gelijkwaardig is aan dat van een mens. Als een menselijke beoordelaar het verschil tussen een machine en een persoon niet betrouwbaar kan zien, slaagt de machine.
CAPTCHA’s draaien dit om.
In plaats van te vragen of de machine menselijk is, wordt de gebruiker gevraagd te bewijzen dat dit zo is. Het is een defensieve Turing-test.
De toepassingsparadox
Er zit een vreemde lus in de manier waarop deze systemen werken.
Een CAPTCHA-toepassing genereert een uitdaging. Er wordt een specifiek antwoord verwacht. Maar als de applicatie het antwoord nog niet wist, hoe kon deze dan het jouwe verifiëren?
Het is een paradox. Het systeem moet de oplossing kennen om de gebruiker te valideren.
“Een van de ironieën van het CAPTCHA-programma is dat een CAPTCHA-applicatie een test kan genereren die zelfs deze niet kan oplossen zonder het antwoord al te weten.”
Deze afhankelijkheid creëert een kwetsbaar veiligheidsmodel. Als de logica gebrekkig is, of als de AI te goed wordt, stort de muur in.
We zitten in een wapenwedloop. De bots worden beter in beeldherkenning. De CAPTCHA’s worden complexer. Mensen raken meer gefrustreerd.
Is het het ongemak waard?
Voorlopig wel. Omdat het alternatief een web is dat wordt overspoeld met ruis, spam en geautomatiseerde chaos.
Maar als we dieper ingaan op de mechanismen, blijft er één vraag over: hoe lang kunnen we de mensen vóór de machines houden?
De wortels van het huidige digitale poortwachterssysteem liggen in een experiment genaamd de Turing Test. Alan Turing, algemeen beschouwd als de vader van de moderne computertechnologie, stelde dit raamwerk voor om te bepalen of een machine intelligent gedrag kan vertonen dat gelijkwaardig is aan dat van een mens.
Stel je een imitatiespel voor. Een ondervrager communiceert met twee verborgen deelnemers: een mens, een machine. De ondervrager kan ze niet zien of horen. Als de machine de ondervrager op basis van zijn antwoorden kan laten geloven dat hij een mens is, slaagt hij voor de test.
CAPTCHA draait dit script om. Het doel is om een uitdaging te creëren die mensen moeiteloos kunnen oplossen, maar geautomatiseerde bots niet. Het moet ook dynamisch zijn. Als je aan elke gebruiker hetzelfde statische beeld zou presenteren, zou een spammer uiteindelijk de code kraken en de invoer automatiseren.
Waarom visuele tests ingewikkeld zijn
De meeste, maar niet alle, CAPTCHA’s zijn afhankelijk van visuele vervorming. Computers worstelen nog steeds met de nuance van visuele gegevensverwerking. Mensen zijn van nature bedreven in het herkennen van patronen, zelfs als ze er niet zijn. Dit heet pareidolie. Je ziet een gezicht in de maan. Je ziet een vorm in de wolken. Je brein forceert orde in de chaos.
Computers hebben dat instinct niet. Ze hebben expliciete, gestructureerde gegevens nodig. Door tekst of afbeeldingen onleesbaar te maken, benutten ontwikkelaars deze leemte in de mogelijkheden van machine learning.
Alternatieven voor toegankelijkheid en veiligheid
Alleen vertrouwen op visuele tests creëert een barrière voor visueel gehandicapte gebruikers. Een webpaginabeheerder loopt het risico een deel van zijn publiek het kiesrecht te ontnemen als hij geen alternatieven aanbiedt.
Audio CAPTCHA’s lossen dit op. Het systeem speelt een reeks gesproken letters of cijfers af. Het geluid is vaak vervormd. Achtergrondgeluid is gelaagd. Dit maakt het moeilijk voor spraak-naar-tekstherkenningssoftware om de invoer te ontleden, terwijl een menselijke luisteraar de karakters nog steeds kan onderscheiden.
Er is ook een contextuele CAPTCHA. Hierbij wordt de gebruiker gevraagd een korte tekstpassage te interpreteren. Het test het begrip. Programma’s kunnen trefwoorden in een zin identificeren. Ze zijn slecht in het begrijpen van de werkelijke betekenis van die woorden. Een bot kan het woord ‘appel’ vinden, maar weet niet of je het over een fruit- of een technologiebedrijf hebt.
Als zelfs mensen vastlopen
Soms gaat de vervorming te ver. Een CAPTCHA kan een beeld of geluid zo onleesbaar weergeven dat niemand het kan ontcijferen. Dit is de reden waarom de meeste implementaties een “vernieuwings” -optie bieden. Je kunt een nieuwe uitdaging genereren en het opnieuw proberen.
Hopelijk is de tweede poging duidelijker dan de eerste.
Wie gebruikt CAPTCHA
De vraag is niet echt wie het gebruikt. De vraag is wie dit moet ondergaan. Elke site die gegevensintegriteit boven gebruikersgemak stelt, zal waarschijnlijk een of andere vorm van verificatie gebruiken.
Websites die gevoelige informatie verwerken, gebruiken deze om geautomatiseerde aanvallen te voorkomen. E-commerceplatforms gebruiken het om ticket-scalpers te stoppen. Forums gebruiken het om spamreacties te verminderen.
Het onderliggende principe blijft hetzelfde. Controleer of u een mens bent. Laat je dan doen waarvoor je gekomen bent.
Maar naarmate bots slimmer worden, worden de uitdagingen vreemder. Wat gebeurt er als de test dingen gaat testen die mensen niet zouden moeten leren? Dat is een vraag voor een andere keer.
CAPTCHA is niet alleen een wegversperring voor mensen. Het is het primaire filter dat geautomatiseerde scripts buiten online peilingen houdt. De risico’s van het overslaan van deze stap zijn reëel. Kijk eens naar een Slashdot-enquête uit 1999 waarin werd gevraagd welke graduate school het beste computerwetenschappenprogramma had. Het resultaat was een puinhoop.
Studenten van Carnegie Mellon en MIT bouwden bots om op hun scholen te stemmen. Deze geautomatiseerde programma’s leverden duizenden stemmen op voor hun respectieve instellingen. Ondertussen kwijnden andere scholen weg met elk slechts een paar honderd stemmen. Als een script een peiling kan manipuleren, wie kan dan de resultaten vertrouwen? Een CAPTCHA-formulier zorgt ervoor dat programmeurs het systeem niet kunnen exploiteren. Het dwingt een mens om te bewijzen dat hij geen bot is voordat zijn stem telt.
Gratis accounts beveiligen en spam voorkomen
Registratieformulieren gebruiken deze technologie om botfarms tegen te houden. Gratis webgebaseerde e-maildiensten zoals Hotmail, Yahoo! Met Mail en Gmail kan iedereen een account aanmaken. Ze verifiëren zelden de persoonlijke informatie die u verstrekt. Die vrijheid is een doelwit voor spammers. Zonder filter zou een bot binnen enkele minuten honderden spamaccounts kunnen genereren. Een CAPTCHA fungeert als poortwachter. Het zorgt ervoor dat de persoon die het account aanmaakt, daadwerkelijk aan het typen is en geen script uitvoert.
Scalping van vechttickets
Ticketmakelaars zoals TicketMaster worden geconfronteerd met een andere bedreiging. Ze moeten voorkomen dat scalpers binnen enkele seconden evenementen uitkopen. Zonder CAPTCHA-applicatie kan een scalper een bot gebruiken om duizenden bestellingen onmiddellijk te plaatsen. Legitieme fans staan met lege handen omdat evenementen uitverkocht zijn voordat ze op ‘kopen’ kunnen klikken. Scalpers verkopen die tickets vervolgens tegen een toeslag door.
Een CAPTCHA elimineert het scalperen niet volledig. Het verhoogt de barrière. Het maakt grootschalige geautomatiseerde aankopen al moeilijk genoeg om de meeste scriptkiddies af te schrikken. Het beschermt de gemiddelde gebruiker tegen de prijs van algoritmen.
Berichtenborden en contactformulieren filteren
Veel websites gebruiken CAPTCHA om hun messageboards of contactformulieren te beheren. Bezoekers kunnen berichten plaatsen of beheerders rechtstreeks e-mailen. Zonder filter worden deze kanalen overspoeld met spam. Een CAPTCHA-programma filtert de ruis weg. Het weerhoudt een vastberaden mens er niet van om een onbeschofte boodschap te sturen. Maar het zorgt er wel voor dat bots niet automatisch berichten kunnen plaatsen. Hierdoor blijft het gesprek gericht op daadwerkelijke gebruikers.
De dubbele plicht van reCAPTCHA
De meest voorkomende vorm vereist het typen van een vervormde woord- of cijferreeks. Maar sommige makers hebben een manier gevonden om deze taak buiten de beveiliging nuttig te maken. Ze digitaliseerden boeken. De applicatie die bekend staat als reCAPTCHA maakt gebruik van gebruikersreacties om de gescande papieren inhoud te verifiëren. Computers slagen er vaak niet in om woorden in een digitale scan te identificeren. Er zijn mensen nodig om de tekst te verifiëren. Hierdoor kunnen zoekmachines deze documenten indexeren en doorzoeken.
Hier zijn de mechanismen van dat proces. Een beheerder scant een boek. Het programma selecteert twee woorden uit de afbeelding. Op één ervan kent hij het antwoord al. Als u het bekende woord correct typt, gaat het systeem ervan uit dat uw invoer voor het tweede woord ook correct is. Dat tweede woord komt terecht in een pool voor andere gebruikers. Naarmate meer mensen het typen, vergelijkt de toepassing hun invoer met het oorspronkelijke antwoord. Uiteindelijk verifieert de consensus het woord. Het wordt verplaatst naar een geverifieerde pool.
Het klinkt vervelend. Maar de CAPTCHA heeft een dubbele taak. Het verifieert de inhoud van het gedigitaliseerde boek en bevestigt tegelijkertijd dat u een mens bent. U krijgt toegang tot de dienst die u wenst.
Bouwen aan de uitdaging
Het creëren van deze uitdagingen houdt meer in dan alleen tekst op een afbeelding plakken. De volgende stap omvat het begrijpen van het technische proces achter het genereren van deze vervormingen en ervoor zorgen dat ze oplosbaar blijven voor mensen, terwijl optische tekenherkenningssoftware wordt geblokkeerd.
CAPTCHA’s werken alleen als je de kloof begrijpt tussen hoe machines denken en hoe mensen de wereld waarnemen. Machines zijn stijf. Ze volgen instructies. Als een invoer niet in het script past, loopt het systeem vast. Mensen zijn rommelig, aanpasbaar en vaak intuïtief.
Het ontwerpen van een CAPTCHA betekent het benutten van die verbroken verbinding.
Als je een visuele CAPTCHA bouwt en het antwoord in de metagegevens van de afbeelding achterlaat, heb je al verloren. Machines kunnen lezen wat mensen niet kunnen. Een eenvoudig script kan die verborgen gegevens schrappen en uw beveiliging binnen enkele seconden omzeilen.
Vervorming is niet onderhandelbaar. Als uw karakters schoon en scherp zijn, leest moderne OCR-software ze onmiddellijk. Je moet de vormen breken. Rek ze uit. Buig ze. Overlay-ruis. Het doel is om de afbeelding onleesbaar te maken voor een computer en toch ontcijferbaar voor een vermoeid mens.
De databasevalst versus willekeurige generatie
Je zou kunnen denken dat het vooraf genereren van een bibliotheek met CAPTCHA’s de veiligste gok is. Dat is het niet.
Volgens Microsoft Research-onderzoekers Kumar Chellapilla en Patrice Simard zou een robuuste CAPTCHA een succespercentage van 80% voor mensen en een succespercentage van 0,01% voor machines moeten opleveren.
Als je elke mogelijke oplossing vooraf in een database opslaat, creëer je een single point of fail. Een spammer hoeft de puzzel niet op te lossen. Ze hoeven alleen maar de lijst te stelen. Met een database van 10.000 of meer vooraf gegenereerde afbeeldingen kan een bot een brute force-aanval uitvoeren, waarbij hij elk opgeslagen antwoord probeert totdat er één blijft hangen.
Randomisatie doorbreekt dit model.
Wanneer een CAPTCHA direct een unieke reeks letters en cijfers genereert, daalt de kans dat een bot correct raadt tot bijna nul. Hoe langer de snaar, hoe beter. Je elimineert de database volledig. Geen lijst om te stelen. Geen patroon om uit te buiten.
Visuele trucs die echt werken
Hoe vervorm je deze willekeurige strings?
Sommige CAPTCHA’s bootsen het uiterlijk na van tekst die door gesmolten glas wordt gezien. Letters rekken en vervormen op onmogelijke manieren. Anderen plaatsen de tekst achter een gearceerd raster van lijnen, waardoor de contouren worden doorbroken waar computer vision-algoritmen op vertrouwen. Sommigen gebruiken kleurinversie of verspreiden stippen over de achtergrond.
De specifieke methode doet er minder toe dan het resultaat: maak het moeilijk voor een computer.
Niet alle tests zijn echter visueel. Sommigen vertrouwen op logica. Mogelijk ziet u een reeks vormen en wordt u gevraagd de volgende in het patroon te kiezen. Dit test de menselijke intuïtie en patroonherkenning.
Het is een riskante zet. Niet iedereen is goed in het herkennen van abstracte patronen. Wanneer het succespercentage van mensen onder de 80% daalt, wordt de CAPTCHA een verplichting en geen schild. Je begint echte gebruikers buiten te sluiten om bots buiten te houden. Dat is een verliezende transactie.
Het audio-alternatief
Hoorbare CAPTCHA’s volgen een soortgelijke logica, maar dan met geluid.
In een vooraf opgenomen systeem spreekt een stem elke mogelijke combinatie uit. De server matcht het audiobestand met het verwachte antwoord. Het is kwetsbaar voor dezelfde brute force-aanvallen als visuele databases.
De gerandomiseerde aanpak is veiliger. Het systeem neemt individuele karakters vooraf op. Wanneer een CAPTCHA wordt gegenereerd, worden deze audiofragmenten in willekeurige volgorde aan elkaar gekoppeld. De gebruiker luistert en typt wat hij hoort.
“De kans dat een bot de juiste reeks willekeurige letters invoert, is erg klein.”
Deze methode elimineert de noodzaak van een enorme bibliotheek met volledige audiobestanden. Het is lichter, moeilijker te brute kracht en toegankelijk voor gebruikers met een visuele beperking.
Maar audio is geen wondermiddel. Achtergrondgeluid, slechte microfoonkwaliteit of accenten kunnen nog steeds fouten veroorzaken. En zoals we in het volgende gedeelte zullen zien, worden machines ook steeds beter in luisteren.
De echte hindernis bij het verslaan van een CAPTCHA is niet het leesgedeelte. Mensen zouden die nauwkeurigheidsmarkering van 80 procent met gemak moeten halen. De eigenlijke technische nachtmerrie is het leren van een machine om visuele gegevens te verwerken zoals een menselijk brein dat doet. Spoiler alert: de meeste aanvallers doen niet de moeite om slimmere AI te bouwen. Ze maken het probleem alleen maar gemakkelijker voor de domme bot om op te lossen.
Neem een standaard op tekst gebaseerde CAPTCHA. Je kent de oefening. Engelse woorden vervormden zich tot onderwerping. Uitgerekt. Gebogen. Vervormd tot onleesbaarheid. Voeg daar een chaotische, willekeurig gegenereerde achtergrond aan toe en je hebt een behoorlijke barrière voor een scriptkiddie. Maar een vastberaden programmeur verdeelt dit in fasen.
Verwijder eerst de kleur. Converteer de afbeelding naar grijswaarden. Die ene stap verwijdert een laag verduistering waar de ontwerpers hard aan hebben gewerkt om deze te implementeren. Vervolgens gaat het algoritme op zoek naar patronen in de zwart-witpixels. Het vergelijkt deze vormen met een bibliotheek van “normale” letters. Als de overeenkomst vaag is, verwijst de code naar die gedeeltelijke overeenkomsten met een woordenboek met daadwerkelijke Engelse woorden. Het vult de lege plekken in met statistische gissingen. Indienen. Herhalen. Het is ruw. Het is niet 100 procent effectief. Maar het is goed genoeg om spamfilters bezig te houden.
De Gimpy kraken
Het wordt lastiger met complexere implementaties zoals de Gimpy CAPTCHA. Deze versie toont tien Engelse woorden. De lettertypen zijn nog steeds kromgetrokken, maar de achtergrond is onregelmatig en de woorden overlappen elkaar in paren. Om verder te gaan, moet een mens drie specifieke woorden uit de wirwar correct typen.
Is dit kogelvrij? Niet echt.
Onderzoekers Greg Mori en Jitendra Malik publiceerden een artikel waarin precies werd beschreven hoe dit systeem kan worden ontmanteld. Hun doorbraak berustte op een fundamentele fout: Gimpy gebruikt echte woordenboekwoorden, geen willekeurige alfanumerieke reeksen. Deze structurele voorspelbaarheid is een geschenk voor een aanvaller. Het algoritme van Mori en Malik concentreerde zich op het identificeren van het begin en het einde van letterreeksen, waarbij Gimpy’s interne woordenboek van 500 woorden als referentiekaart werd gebruikt.
De resultaten waren verrassend. Hun algoritme identificeerde de woorden 33 procent van de tijd correct. Op papier lijkt dat op een mislukking. In de spamindustrie is het een goudmijn. Als een bot de code een derde van de tijd kan kraken en driehonderd pogingen per minuut kan uitvoeren, wordt het aantal succesvolle inbraken enorm. Je hebt geen perfectie nodig. Je hebt alleen volume nodig.
Je hebt geen perfecte bot nodig. Je hebt gewoon een snelle nodig die minder dan 70 procent van de tijd faalt.
Elektronische oren
Tekst is niet het enige doelwit. Audio-CAPTCHA’s beloofden de veilige haven te zijn voor degenen die geen visuele puzzels konden oplossen. Ze faalden.
In het voorjaar van 2008 kwamen er berichten naar boven dat hackers het audioverificatiesysteem van Google hadden gehackt. De methode ging niet over luisteren met menselijke oren. Het ging over het bouwen van een bibliotheek met geluiden. Omdat de audiotracks vervormd waren, zou een enkel teken als ‘A’ kunnen klinken als een tiental verschillende variaties. De aanvaller moest elke mogelijke sonische variant categoriseren.
Toen de bibliotheek eenmaal was gebouwd, was het proces eenvoudig. De spammer gebruikte een aangepaste versie van spraakherkenningssoftware om de binnenkomende audiostream te interpreteren. De bot “hoorde” de letters niet. Het matchte de audiogolfvormen met de vooraf gebouwde database. Het resultaat? Audio-CAPTCHA’s, ooit aangeprezen als de ultieme fallback, werden gereduceerd tot ruis.
CAPTCHA en kunstmatige intelligentie
De cyclus stopt eigenlijk nooit. Zodra één methode wordt gepatcht, leert de volgende generatie bots deze te omzeilen. We gaan voorbij de eenvoudige patroonmatching naar het domein van deep learning, waar neurale netwerken worden getraind op basis van miljoenen CAPTCHA-afbeeldingen. Ze zoeken niet alleen meer naar letters. Ze zoeken naar context. Ze zoeken naar de vormen van huizen, de gezichten van vreemden, de verkeerslichten van een digitaal kruispunt.
Maar hier gaat het om. Hoe geavanceerder de bot wordt, hoe vervelender de CAPTCHA wordt voor de daadwerkelijke mens. U wilt een sterke veiligheidsbarrière? Je krijgt een puzzel waarbij je naar een pixelachtig beeld van een zebrapad moet turen. Je krijgt audio die klinkt als een robot die stikt in statische elektriciteit.
De wapenwedloop tussen beveiligingsingenieurs en aanvallers gaat niet over het creëren van een onbreekbaar slot. Het gaat erom dat de kosten van de aanval hoger worden dan de potentiële winst van de spammer. Voorlopig zijn die kosten nog steeds slechts uw geduld. En dat is een valuta waar iedereen bijna geen geld meer van heeft.
De ongemakkelijke waarheid: jouw nederlaag is de overwinning van AI
Luis von Ahn, een computerwetenschapper aan de Carnegie Mellon Universiteit en een van de oorspronkelijke uitvinders van CAPTCHA, ziet het ecosysteem anders dan de gemiddelde internetgebruiker. In een lezing uit 2006 benadrukte hij een paradoxale relatie tussen spampreventie en kunstmatige intelligentie. CAPTCHA fungeert als poortwachter. Hackers en spammers worden gedwongen aanzienlijke tijd en rekenkracht te besteden aan het doorbreken van deze barrières. Als ze daarin slagen, bewijst dat dat machines steeds geavanceerder worden.
Elke keer dat een onderzoeker een machine leert een CAPTCHA te verslaan, komt de mensheid een stap dichter bij echte kunstmatige intelligentie. Voor Von Ahn is dit een overwinning. Een tegenslag voor de beveiligingstool is een mijlpaal voor AI. Het is een strategisch toevluchtsoord dat de vooruitgang van machine learning financiert.
De last van de beheerder
Webbeheerders delen dit filosofische optimisme niet. Hun prioriteit ligt niet bij het bevorderen van AI; het houdt hun sites schoon. Ze worden geconfronteerd met een hardnekkig, vermoeiend probleem: bots.
Websitebeheerders en makers van enquêtes moeten erkennen dat veel oudere CAPTCHA-systemen niet langer betrouwbaar zijn. De tools die vijf jaar geleden werkten, zijn nu triviaal voor moderne algoritmen. Als een beheerder vertrouwt op verouderde code, wordt zijn site een openlijke uitnodiging voor spam.
Onderzoek is verplicht. Je kunt geen beveiligingssysteem instellen en het vergeten. U moet weten welke CAPTCHA-toepassingen nog steeds effectief zijn. Wanneer een systeem faalt, moet u bereid zijn de code eruit te halen en te vervangen door een nieuwere versie. Dit is geen eenmalige instelling. Het is doorlopend onderhoud.
De bruikbaarheidsval
Ontwerpers van deze systemen lopen op een koord. Naarmate computers slimmer worden, moeten de tests evolueren. Maar als de test te zwaar wordt, faalt het systeem in zijn primaire doel: het verifiëren van de menselijkheid.
Als een mens de uitdaging niet met een behoorlijk succespercentage kan oplossen, stort de gebruikerservaring in. De oplossing zou kunnen afwijken van kromgetrokken tekst. Het kan gaan om het oplossen van een wiskundige vergelijking of het begrijpend lezen van een kort verhaal. Maar complexiteit heeft een prijs.
Hoeveel mensen zullen de moeite nemen om een antwoord op een prikbord te plaatsen als ze eerst een kwadratische vergelijking moeten oplossen? Het risico is reëel. Naarmate tests ingewikkelder worden, neemt de interesse van gebruikers af. Mensen vertrekken. Ze gaan ergens anders heen. De beveiliging is perfect, maar het terrein is leeg.
Van dozen tot onzichtbare tracking
De sector is sinds die begindagen aanzienlijk veranderd. Google, dat reCAPTCHA in 2009 overnam, begon in 2014 met het uitfaseren van de klassieke tekstgebaseerde service. Ze vervingen deze door No CAPTCHA reCAPTCHA. Dit was het simpele selectievakje: “Ik ben geen robot.” Het voelde als magie. Het was nauwelijks een test.
In 2017 was zelfs dat te simpel. Google heeft de verwijdering van No CAPTCHA aangekondigd. De nieuwe standaard is Onzichtbare reCAPTCHA. Er wordt niet van je gevraagd om puzzels op te lossen. In plaats daarvan analyseert het uw gedrag. Er wordt gekeken naar hoe u uw muis beweegt. Het controleert uw surfgedrag. Het bouwt op de achtergrond een risicoprofiel op.
Meestal zie je niets. Als het systeem er zeker van is dat u een mens bent, gaat u verder. Als je achterdochtig lijkt (als je eigenlijk een bot bent, of je zo gedraagt), kun je met de oude uitdagingen te maken krijgen. Het is een gelaagde aanpak. De gemakkelijke weg is voor mensen. Het moeilijke pad is voor iedereen die op een machine lijkt.
Snelle antwoorden op veelgestelde vragen
Is CAPTCHA eigendom van Google?
Nee. CAPTCHA is een algemene technologie. Het is een challenge-response-test die op internet wordt gebruikt om mensen te onderscheiden van geautomatiseerde software. Google bezit reCAPTCHA, een populaire implementatie, maar niet het concept zelf.
Waar staat de afkorting CAPTCHA voor?
Het staat voor ‘Completely Automated Public Turing test to tell Computers and Humans Apart’.
Waarom is CAPTCHA nog steeds nodig?
Het voorkomt dat geautomatiseerde programma’s valse gegevens indienen, valse accounts aanmaken of pagina’s overspoelen met spam en oplichting. Zonder dit zou het open web onbruikbaar zijn.
