Miten CAPTCHA:t toimivat? (2023)

CAPTCHA:t ovat ohjelmistoskriptejä, joita käytetään digitaalisten alustojen saapuvan liikenteen testaamiseen ihmisten ja ei-ihmisliikenteen välillä.

Yleiset CAPTCHA-testit edellyttävät, että käyttäjät joko valitsevat valintaruudun, kirjoittavat oikeat kirjaimet vääristyneestä tekstikuvasta tai tunnistavat tietyntyyppisen kuvan näytetyistä kuvista.

Viime aikoina digitaalisia alustoja – verkkosivustoja, sovelluksia, konsoleita ja mobiililaitteita – käyttävien käyttäjien määrä on kasvanut eksponentiaalisesti. Tämä suuri käyttäjien virta on hyvä uutinen digitaalisille yrityksille, jotka haluavat laajentaa kuluttajapohjaansa.

On kuitenkin huonoja toimijoita, jotka hyödyntävät tätä kasvua yrittämällä sulautua hyvien käyttäjien joukkoon ja päästäkseen yritysverkostoihin lukuisten rikollisten toimien vuoksi. Hyökkääjät käyttävät mittakaavan saavuttamiseksihuonoja robottejaja komentosarjat, jotka voivat suorittaa hyökkäyskomentoja hetkessä.

CAPTCHA, lyhenne sanoista "Completely Automated Public Turing Test to tell Computers and Humans Apart", tunnetaan myös eräänlaisena Human Interaction Proof (HIP) -testinä. CAPTCHA-testeissä määritetään helposti suoritettavia tehtäviä, jotka ihmiset voivat suorittaa helposti, mutta tietokoneilla on vaikeuksia. Nämä testit yrittävät tunnistaa bottien ohjaamaa liikennettä olettaen, että robotit eivät voi olla vuorovaikutuksessa testien kanssa kuin ihminen, varsinkin sellaisissa toimissa kuin verkkolomakkeiden täyttäminen, kommenttien kirjoittaminen, tuotteiden arvosteleminen tai kyselyihin osallistuminen.

Vuosien varrella CAPTCHA on käynyt läpi useita iteraatioita, mutta bottitekniikan edistyminen on tehnyt CAPTCHA:t lähestehotonta älykkäitä robotteja vastaanjotka voivat jäljitellä ihmisen käyttäytymistä.

CAPTCHA:n käyttötarkoitukset

Maailmanlaajuisesti organisaatiot menettävät miljoonia dollareita joka vuosi kyberhyökkäyksistä. Arvioidaan, että vuonna 2023 tietoverkkorikosten kustannusten¹ nousevat 8 biljoonaan dollariin ja 10,5 biljoonaan dollariin vuoteen 2025 mennessä. Organisaatiot ottavat käyttöön CAPTCHA:n suojellakseen yrityksiään ja kuluttajia digitaalisia alustojaan hyödyntäviltä roboteilta. CAPTCHA:t esittävät testejä saapuville käyttäjille varmistaakseen, onko käyttäjä ihminen vai robotti.

Jotkut CAPTCHA:iden yleisimmistä käyttötavoista ovat:

• Säilytä kyselyn tarkkuus:CAPTCHA:t estävät botteja äänestämästä toistuvasti kyselyssä, mikä voi johtaa kyselyn tulosten vääristymiseen.
• Suodata melu:Web-sivustot, joilla käyttäjät voivat lähettää kommentteja, käyttävät CAPTCHA:ta estämään robotteja pommittamasta kommenttiosiota roskapostilla ja melulla.
• Uuden tilipetoksen torjunta:Tilin luomisvaiheessa CAPTCHA:ita voidaan käyttää estämään botteja luomasta väärennettyjä tilejä.
• Taistelulipun skaalaus:CAPTCHA-testejä käytetään estämään scalper-botteja keräämästä lippuja suuriin tapahtumiin. Usein hyökkääjät käyttävät botteja ostaakseen useita lippuja suuriin tapahtumiin muutamassa sekunnissa ja myydäkseen ne korkealla hinnalla.

On olemassa useita CAPTCHA-tyyppejä, joita käytetään käyttäjien sitouttamiseen digitaalisilla alustoilla. Yleisimmässä CAPTCHA-muodossa on vääristynyt kuva aakkosista ja numeroista, jotka käyttäjän on tunnistettava ja kirjoitettava tekstiruutuun oikein.

Kuitenkin sen perusteella, miten käyttäjät ovat vuorovaikutuksessa CAPTCHA-testien kanssa, ne voidaan luokitella laajalti seuraavasti:

• Tekstipohjainen:Käyttäjien on tunnistettava aakkoset ja numerot vääristyneestä kuvasta ja mentävä oikein valintaikkunaan laitteensa näytöillä. Jos käyttäjä ei pysty tulkitsemaan kuvaa, hän voi pyytää vaihtoehtoista.
• Kuvapohjainen:Täällä käyttäjille esitetään ruudukko useista kuvista, jotka perustuvat tiettyyn teemaan, ja käyttäjien on tunnistettava liittyvät kuvat. Nämä visuaaliset haasteet ovat helpompia kuin tekstipohjaiset haasteet.
• Äänipohjainen:Koska näkövammaisten käyttäjien oli vaikea käyttää teksti- ja kuvapohjaisia ​​CAPTCHA-koodeja, kehitettiin äänipohjaisia ​​koodeja. Näitä CAPTCHA-koodeja käytetään yhdessä tekstipohjaisten koodien kanssa.
• Matematiikkaan perustuva:Käyttäjille esitellään matemaattisiin laskelmiin perustuvat perustestit – yhteen-, vähennys-, kerto- ja jakolasku. Heidän on laskettava nopeasti ja syötettävä oikea vastaus.

Miten CAPTCHA luodaan?

CAPTCHA-testissä on yleensä kaksi osaa: ensin teksti-, kuva-, ääni- tai matemaattinen kysymys ja toinen tekstiruutu, johon käyttäjä kirjoittaa vastauksen.

CAPTCHA-testiä rakentaessaan ohjelmoijat käyttävät vääristyneitä kirjainten ja numeroiden muotoja. Näitä merkkejä voidaan vääristää monin tavoin, kuten venyttämällä niitä, rikkomalla niiden muotoja, käyttämällä eri värejä tai käyttämällä pisteitä. Tämä tehdään, jotta robottien on vaikea ratkaista CAPTCHA:ta, koska botteja voidaan kouluttaa skannaamaan kuvia ja tunnistamaan säännöllisiä aakkosten ja numeroiden muotoja.

Jotkut CAPTCHA-haasteet luodaan sisällyttämällä satunnaisia ​​kirjain- ja numerojonoja. Tämä satunnaistaminen estää käyttäjiä saamasta samaa testisarjaa kahdesti ja tekee raakaa pakottamista vaikeaksi. Ohjelmoijat luovat myös CAPTCHA:ita, jotka sisältävät hahmontunnistuksen, esimerkiksi esittävät sarjan muotoja ja haastavat käyttäjän vastaamaan kuvion seuraavaan muotoon.

Tekniikat, joita käytetään tekstipohjaisten CAPTCHA:iden luomiseen

CAPTCHA-testejä luotaessa pyritään varmistamaan, että ihmiset löytävät nämä testit helposti ratkaistavissa – vähintään 80 prosentin onnistumisprosentilla. Toisaalta robottien onnistumisprosentin on oltava 0,01 % tai vähemmän. Lisäksi metatiedot (tiedot, joita koneet voivat lukea, mutta eivät ihmiset) jätetään CAPTCHA-testien ulkopuolelle, koska ne voivat johtaa siihen, että robotit rikkovat CAPTCHA:n melko helposti.

Tekstipohjaisten CAPTCHA:iden luomiseen käytetään useita tekniikoita. Joitakin yleisesti käytettyjä tekniikoita ovat:

• Gimpy:valitaan satunnainen määrä sanoja ja esitetään vääristyneellä tavalla
• EZ-Gimpy:käytetään vain yhtä sanaa
• Gimpy-r:taustakohina lisätään valittuihin satunnaisiin kirjaimiin, jotka ovat vääristyneet
• Simardin HIP:valitut kirjaimet ja numerot vääristyvät käyttämällä kaaria ja värejä

Alkeimmalla tasolla CAPTCHA:t vaativat käyttäjiä tunnistamaan merkit vääristyneestä kuvasta todistaakseen heidän olevan ihmisiä. Jos käyttäjä ratkaisee haasteen, hän voi olla vuorovaikutuksessa alustan kanssa, muuten hänet siepataan lisätutkimuksia varten.

CAPTCHA:t ovat yksinkertaisia ​​haasteita, joita käytetään estämään botteja vuorovaikutuksessa digitaalisen alustan kanssa. Nämä testit antavat tietoa, joka käyttäjän on käsiteltävä ja annettava oikea vastaus. Nämä tiedot voivat olla vääristyneen kuvan, tekstin, kuvan tai yksinkertaisen matemaattisen laskelman muodossa.

Peruslähtökohta, jonka ympärillä CAPTCHA:t toimivat, on ero siinä, millä tavallaihmiset ja botitkäsitellä heille esitettyjä tietoja. Esimerkiksi toisin kuin ihmiset, jotka voivat käsitellä ääretöntä tietoa, botit ovat ohjelmoituja skriptejä, jotka voivat käsitellä vain tietoja, joiden kanssa ne on koulutettu vuorovaikutukseen. Siksi, kun he kohtaavat tiedon, jota he eivät ole "nähneet" ennen, he epäonnistuvat.

Viime aikoina botteja on kuitenkin koulutettu käyttämällä kehittyneitä teknologioita, mikä tekee niistä riittävän kykeneviä ratkaisemaan perinteiset CAPTCHA:t helposti. Tämän seurauksena CAPTCHA:t kävivät läpi sarjan iteraatioita (reCAPTCHA-versiot), jotta robottien oli vaikeampi murtaa niitä. Bottiteknologian jatkuva kehitys on kuitenkin johtanut siihenälykkäät robotitjotka voivat jopa jäljitellä ihmisen käyttäytymistä ja olla vuorovaikutuksessa puolustusmekanismien kanssa samalla tavalla kuin ihmiset.

Useista iteraatioista huolimattaCAPTCHAt eivät ole pysyneet tahdissaälykkään bot-vallankumouksen kanssa. Tämän seurauksena botit pystyvät ohittamaan useimmat CAPTCHA:t melko helposti ja jatkamaan useiden bottien ohjaamien hyökkäysten tehoa, nimittäin:valtakirjatäyttö,tilin haltuunotto,väärennetty uuden tilin rekisteröinti,verkon kaavinta,merkin halkeilu,IRSF-petos, ja niin edelleen.

Mikä on reCAPTCHA?

Googlen CAPTCHA-haasteisiin tekemät eri iteraatiot tunnetaan versioistaan ​​nimeltä reCAPTCHA. Näitä tarkistettuja versioita ovat reCAPTCHA v1, reCAPTCHA v2 ja näkymätön reCAPTCHA. Näissä reCAPTCHA-versioissa on yleensä pidempiä ja toistuvia haasteita, ja ne käyttävät myös evästeitä varmistaakseen, onko käyttäjä ihminen vai robotti.

Joitakin tapoja, joilla nämä versiot arvioivat saapuvia käyttäjiä, ovat seuraavat:

• Kuvantunnistus:Nämä reCAPTCHA:t käyttävät kuvien hakemistoa, jotka on merkitty kategoriakohtaisesti. Käyttäjien tulee tunnistaa haasteen ohjeiden mukaisesti samankaltaisia ​​tai kuvaruudukosta poikkeavia kuvia
• Yksi valintaruutu:Käyttäjien on napsautettava verkkosivulla olevaa valintaruutua todistaakseen, etteivät he ole botteja. Riippuen käyttäjien vuorovaikutuksista, heidän voidaan antaa jatkaa ilman lisähaastetta (ei CAPTCHAa) muuten ratkaista haaste.
• Yleinen käyttäjän käyttäytyminen:Käyttäjillä ei ole haasteita, vaan heidän verkkovuorovaikutuksestaan ​​riippuen he voivat edetä tai heidän on ratkaistava todennushaaste.

Digitaaliset yritykset ovat velvollisia suojelemaan todellisia käyttäjiään huonoilta toimijoilta. Siksi monet digitaaliset alustat esittävät automaattisesti CAPTCHA:t ennakoivana toimenpiteenä digitaalisen omaisuutensa suojaamiseksi bot-vetoisilta hyökkäyksiltä.

Muissa tapauksissa CAPTCHA laukeaa, kun hakkerin aiemmin käyttämä IP-osoite havaitaan. CAPTCHA voi tulla kuvaan myös silloin, kun tavallisen internet-yhteyden lisäksi käyttäjä löydetään välityspalvelimen avulla tai kun käyttäjän laite saattaa olla saastunut ja sitä käytetään hyökkäyksiin verkkosivustoja vastaan. Yleisin laukaisu on kuitenkin, kun käyttäjä käyttäytyy epäilyttävällä tavalla, kuten botti, kuten napsauttaa liian monta hyperlinkkiä liian nopeasti. Muita laukaisimia voivat olla käyttäjän:

• selausmalli
• avaimen painalluksia
• hiiren napsautuksia
• verkkosivulla vietetty aika
• hiiren napsautusten välinen aika
• tehtävän suorittamiseen käytetty aika (esimerkiksi verkkosivustolla olevan lomakkeen täyttäminen)

Voivatko CAPTCHAt pysäyttää haitalliset robotit tehokkaasti?

On olemassa useita ilmaisia ​​ja lähes ilmaisia ​​automaattisia ratkaisijoita, jotka voivat voittaa CAPTCHA:t hetkessä. Optisen merkintunnistuksen avulla robotit voivat nopeasti tyhjentää vääristymättömät tekstin CAPTCHA:t.

Edelleen,älykkäiden robottien nousuon tehnyt perinteiset CAPTCHA:t tehottomiksi. CAPTCHA:t eivät vastaa nykypäivän edistyneitä botteja, jotka voivat jäljitellä ihmisen käyttäytymistä ja välittää hyökkäyssauman ihmishyökkääjille, kun he kohtaavat ylivoimaisenanti-botpuolustukset, kuten Arkose Labs. Hyökkääjät käyttävät yhdistelmää botteja jaihmisten petostiloillalisäämään hyökkäyksiään kiertämällä puolustusta.

Vaikka CAPTCHA:t luotiin tarkoituksena estää botteja käyttämästä väärin digitaalisia alustoja, ne ovat tulleet tehottomiksi tavoitteessaan, koska botit ovat hankkineet edistyneitä ominaisuuksia.
Nykyään CAPTCHA:t eivät ole enää idioottivarma puolustusmekanismi, koska ne eivät ole pysyneet bot-tekniikan kehityksen tahdissa. Ne voidaan ohittaa helposti ja ne voivat jopa lisätä yleisiä turvallisuuskustannuksia. Yritykset eivät voi enää luottaa niihin tarvittavan suojan tason saavuttamiseksi botteja vastaan.

Jotkut CAPTCHA:n suurimmista haitoista ovat:

• Rajoittaa roskapostia, mutta ei pysty estämään sitä kokonaan:Boteista tulee älykkäämpiä ja ne hankkivat ihmisen kaltaisia ​​taitoja, joten CAPTCHA:t voivat parhaimmillaan rajoittaa vain perusbotteja. Tämä tarkoittaa, että useimmat robotit voivat ohittaa nämä haasteet helposti.
• Huono käyttäjäkokemus:CAPTCHA:t aiheuttavat tarpeetonta kitkaa todellisille käyttäjille, mikä aiheuttaa turhautumista ja heikentää käyttökokemusta.
• Vaikea ihmisille; helppoa boteille:Bottien ratkaisunopeus kasvaa, kun taas yhä useammat ihmiset kokevat CAPTCHA:iden ratkaisemisen vaikeaksi, mikä voi saada heidät luopumaan vuorovaikutuksesta kokonaan.
• Useimmat CAPTCHA:t ovat visuaalisia:Tämän vuoksi näkövammaisten on vaikea yrittää niitä. Vaikka ääni-CAPTCHA:t otettiin käyttöön ratkaisuna, useimpia ääni-CAPTCHA:ita on vaikea ymmärtää.
• Estää hyvän liikenteen, yritykset menettävät rahaa:Koska robotit ratkaisevat helposti CAPTCHA:t, niille sallitaan lisäpääsy, kun taas hyvät käyttäjät estetään tai siepataan. Hyvän liikenteen estäminen voi johtaa siihen, että yritykset menettävät asiakkaita ja rahaa.
• Rajoitettu saatavuus:Kaikki CAPTCHA:t eivät ole kaikkien käyttäjien käytettävissä, etenkään näkövammaisten tai näytönlukuohjelmia käyttävien.

Jopa CAPTCHA:n päivitetyssä versiossa – reCAPTCHA 2 – kun saapuvaan käyttäjään liittyvä riski on arvioitu, turvallisuustiimien on valittava yksi seuraavista neljästä toiminnosta:

• Haasta käyttäjä testaamaan, ovatko he ihmisiä
• Kova käyttäjän esto
• Täytämonivaiheinen todennus(MFA)
• Salli pääsy pyydettyyn resurssiin

Käyttäjän haastaminen areCAPTCHAsta ei ole hyötyä, koska botit voivat helposti voittaa nämä samat vanhat haasteet. Käyttäjän kova estäminen tai MFA:n käyttö aiheuttaa tarpeetonta kitkaa, ja MFA on kallis ehdotus, kun taas käyttöoikeuden myöntäminen voi mahdollistaa hyökkääjien livahtaa sisään.

CAPTCHA:t eivät vastaa Arkose Labsia

Nykypäivän moderneilla yrityksillä ei ole varaa häiritä toimintaansa ja käyttökokemustaan ​​bottivetoisten hyökkäysten vuoksi. He tarvitsevat vankanbotin havaitseminenratkaisu, joka voi karkottaa botteja lopullisesti ja varmistaa pitkäaikaisen suojan.

Arkose Labs pelottaa kaikenbot-vetoiset hyökkäykset, vähentää vääriä positiivisia ja vääriä negatiivisia, vahingoittamatta käyttökokemusta. KäyttämälläArkose Matchkey, tuhansien kontekstipohjaisten 3D-haasteiden arkisto yhdistettynäSähköpostitiedonhallintabottien lieventämiseen, Arkose Labstunnistaa robotit tarkasti ja karkottaa ne pysyvästi.

Hyvien käyttäjien mielestä haasteet ovat helppoja ja hauskoja ratkaista, mutta robotit ja automaattiset komentosarjat epäonnistuvat välittömästi. Tämä johtuu siitä, että haasteet kestävät automatisoituja ratkaisijoita, ja koska ne ovat kontekstipohjaisia, mikään koulutus ei voi auttaa koneita selvittämään ne suuressa mittakaavassa. Jopa huijausfarmit, klikkausfarmit ja ihmisten hikipajat eivät pysty ratkaisemaan näitä haasteita mittakaavassa, koska riskinarvioinnin ja täytäntöönpanomekanismin välinen palautesilmukka estää niitä tekemästä niin.

Arkose Matchkey -haasteet ovat kaikkien käyttäjien käytettävissä, mukaan lukien, mutta ei rajoittuen: visuaaliset, kuulo-, motoriset ja kognitiiviset luokat. Ne ovat Web Content Accessibility Guidelines (WCAG) -ohjeiden mukaisia, mikä tekee niistä parhaan bottien pelotteen yrityksille eri puolilla maantieteellistä sijaintia.

Toisin kuin CAPTCHA:t tai sen tarkistetut versiot, jotka eivät tarjoa näkyvyyttä rajoitetuista signaaleista, Arkose Labs jakaa käyttökelpoisia oivalluksia, jotka yhdistettynä riskipisteisiin ja muuhun digitaaliseen älykkyyteen mahdollistavat tietoturvatiimien tehdä tietoon perustuvia riskiin perustuvia päätöksiä ja pysäyttää robottihyökkäykset pysyvästi samalla loistava käyttökokemus.