Vous êtes prêt à acheter des billets pour ce spectacle local. Le panier est plein. Les détails du paiement sont saisis. Ensuite, le mur s’élève.
C’est un CAPTCHA.
L’acronyme signifie Test de Turing public entièrement automatisé pour distinguer les ordinateurs des humains. Cela ressemble à un thriller de science-fiction, mais ce n’est qu’un videur numérique. Le test n’est pas difficile pour les humains. Si vous êtes une vraie personne, vous vous en sortirez facilement. Pour un ordinateur ? Cela devrait être presque impossible.
L’objectif est simple : identifier les robots malveillants avant qu’ils ne puissent perturber vos données ou votre achat.
Ces tests sont également connus sous le nom de Human Interaction Proof (HIP). Vous les avez vus partout. La version classique montre une chaîne de lettres déformées et floues. Vous les saisissez. Si vous correspondez à l’image, vous réussissez.
C’est aussi simple que cela. Ou du moins, c’était le cas.
L’évolution des défis basés sur l’image
Les CAPTCHA textuels vieillissent. Les robots deviennent plus intelligents. Désormais, les défis de reconnaissance d’images sont la norme.
Au lieu de taper des lettres, vous obtenez une grille de photos. Autoroutes. Rues de la ville. Parcs. Il vous est demandé de sélectionner des images contenant des objets spécifiques.
- Lampadaires
- Bouches d’incendie
- Vélos
- Passages pour piétons
Sélectionnez les bonnes photos. Passez le test.
Les CAPTCHA basés sur des images sont beaucoup plus difficiles à déchiffrer pour les robots que ceux basés sur du texte. Les images déformées ou les scènes floues contrecarrent les techniques de reconnaissance d’un robot. La création d’un test que seul un humain peut résoudre nécessite une conception minutieuse.
Pourquoi combattre les robots ?
Pourquoi créer un test pour séparer les humains des machines ?
Parce que les gens essaient de jouer avec le système. Ils exploitent les faiblesses des ordinateurs qui exécutent le site.
Ces individus constituent une minorité des internautes. Mais leurs actions affectent des millions de personnes.
Envisagez un service de messagerie gratuit. Sans CAPTCHA, il pourrait être bombardé de demandes de compte automatisées. Un programme automatisé crée des milliers de comptes en quelques secondes. Pourquoi? Pour envoyer du spam à des millions de personnes plus tard.
Le CAPTCHA arrête cela. Il identifie quels utilisateurs sont de véritables êtres humains. Et lesquels ne sont que des programmes informatiques.
Chaque échec est une percée de l’IA
Voici une tournure intéressante.
Les personnes qui conçoivent ces tests ne sont pas toujours contrariées lorsqu’ils échouent.
Pour qu’un test CAPTCHA échoue, quelqu’un doit trouver un moyen d’apprendre à un ordinateur comment le résoudre.
Chaque fois qu’un robot bat un CAPTCHA, cela représente une avancée en matière d’intelligence artificielle.
L’ironie est palpable. Une application CAPTCHA génère un test que même elle ne peut pas résoudre sans déjà connaître la réponse. Elle s’appuie sur la cognition humaine comme paramètre de sécurité.
Nous sommes dans une course aux armements.
Les robots deviennent plus intelligents. Les épreuves deviennent plus difficiles. Les utilisateurs s’énervent.
Mais jusqu’à ce que la technologie rattrape les humains, nous continuerons à cliquer sur les feux de circulation.
L’ensemble du système remonte au test de Turing. Alan Turing, l’inventeur de l’informatique moderne, cherchait un moyen de vérifier si les machines pouvaient imiter la pensée humaine. La configuration était simple. Un interrogateur parle à deux participants cachés. L’un est une personne. L’un est un ordinateur. Si l’interrogateur ne peut pas dire lequel est lequel, la machine gagne.
CAPTCHA inverse cette logique. L’objectif est de réaliser un test que les humains réussissent alors que les robots échouent de façon spectaculaire. Il faut aussi qu’il soit dynamique. Si chaque utilisateur voyait exactement la même image statique avec les mêmes lettres, les spammeurs la pirateraient en quelques minutes. Ils écriraient simplement un script pour taper automatiquement la réponse.
La plupart de ces tests sont visuels. Les ordinateurs sont encore plus maladroits que nous dans le traitement des images. Les humains repèrent instantanément les modèles. On les hallucine même parfois. C’est la paréidolie. Vous voyez un visage dans les nuages ou une silhouette sur Mars. Votre cerveau force le bruit aléatoire à prendre une forme reconnaissable. Les machines n’ont pas ce saut intuitif. Ils luttent contre l’ambiguïté.
Mais se fier uniquement à la vue est risqué. Cela aliène les utilisateurs malvoyants. Nous avons donc des alternatives. Les CAPTCHA audio sont courants. Vous écoutez une chaîne de chiffres ou de lettres. La voix pourrait être déformée. Il y a souvent de la statique en arrière-plan. Cela bloque le logiciel de reconnaissance vocale.
Ensuite, il y a le CAPTCHA contextuel. Il présente un court passage de texte. L’utilisateur doit interpréter le sens. Les algorithmes peuvent saisir des mots-clés. Ils échouent dans la compréhension réelle. Ils ne comprennent pas la nuance.
Parfois, le test est tout simplement défectueux. L’image est tellement déformée que même les humains ne peuvent pas la lire. C’est pourquoi vous disposez d’un bouton « Actualiser ». Vous réessayez. Espérons que la deuxième tentative ne soit pas du charabia.
Qui utilise CAPTCHA
La section suivante examine quels sites déploient réellement ces vérifications pour vérifier que vous n’êtes pas un robot.
Intégrité des sondages et abus de robots
Le sondage Slashdot de 1999 sur le meilleur programme d’études supérieures en informatique est un avertissement. Cela montre exactement ce qui se passe lorsque vous laissez des enquêtes ouvertes à des scripts automatisés. Les étudiants de Carnegie Mellon et du MIT ont construit des robots pour inonder leurs écoles respectives de milliers de votes. Pendant ce temps, toutes les autres universités s’en sortaient avec quelques centaines.
Si le code peut voter, les résultats sont des ordures.
C’est pourquoi la vérification est importante. Sans filtre, les sondages en ligne ne sont que des concours de popularité pour celui qui possède le scénario le plus rapide. CAPTCHA empêche les programmeurs de jouer avec le système.
Blocage des robots spammeurs lors de l’inscription
Pensez à la dernière fois que vous vous êtes inscrit à Hotmail, Yahoo! Mail ou Gmail. Vous avez saisi quelques informations personnelles. Le service n’a pas vérifié s’ils étaient réels. Il ne vous a pas appelé ni vérifié votre identité.
Il voulait simplement s’assurer qu’un robot n’essayait pas de créer des centaines de comptes de spam en quelques secondes.
Les fournisseurs de messagerie gratuits utilisent CAPTCHA pour arrêter les spammeurs. Sans cela, votre boîte de réception serait obstruée par des courriers indésirables provenant de faux comptes avant même que vous ayez fini de configurer la vôtre.
Combattre les scalpers de tickets
Les courtiers en billets comme TicketMaster s’appuient également sur ces filtres. Pourquoi? Pour arrêter les scalpers.
Les scalpers utilisent des robots pour acheter des milliers de billets pour de grands événements en quelques secondes. Les fans légitimes sont exclus. Les événements se vendent instantanément. Les scalpers revendent ensuite ces billets à des prix gonflés.
CAPTCHA n’arrête pas complètement le scalping. Cela rend simplement les achats automatisés à grande échelle beaucoup plus difficiles. Cela ralentit les robots. Cela donne aux vrais humains une chance de se battre.
Garder les forums de discussion propres
Les pages Web contenant des formulaires de contact ou des forums de discussion sont confrontées à la même menace. Une avalanche de spam peut étouffer les vraies conversations.
Les programmes CAPTCHA filtrent le bruit. Ils empêchent les robots de publier automatiquement des messages grossiers ou de harceler les administrateurs. Ce n’est pas un bouclier parfait contre un troll humain déterminé. Mais cela arrête le flot automatisé.
Le double devoir de reCAPTCHA
Le CAPTCHA standard vous demande de saisir des lettres et des chiffres déformés. Mais les créateurs ont trouvé un moyen d’ajouter de la valeur à cette tâche. Ils l’utilisaient pour numériser des livres.
C’est reCAPTCHA. Il exploite vos réponses pour vérifier le papier numérisé. Les ordinateurs ont du mal à lire les mots issus des numérisations numériques. Les humains sont bons dans ce domaine.
Voici le processus :
- L’administrateur scanne un livre.
- Le programme sélectionne deux mots de l’image.
- Un mot est déjà reconnu.
- Si vous le tapez correctement, le système suppose que votre deuxième mot est également correct.
- Ce deuxième mot va dans un pool pour les autres utilisateurs.
- Au fur et à mesure que de plus en plus de personnes le tapent, le système vérifie le mot avec une grande certitude.
Cela semble fastidieux. Mais vous faites deux tâches à la fois. Vous prouvez que vous êtes humain. Vous aidez également les moteurs de recherche à indexer les documents numérisés.
Création de la vérification
Ensuite, nous examinerons le processus de création d’un CAPTCHA.
Concevoir pour combler l’écart entre l’humain et la machine
La prémisse entière d’un CAPTCHA repose sur une déconnexion fondamentale. Les humains perçoivent le contexte. Instructions de traitement des machines. Si les données sortent d’un chemin algorithmique rigide, un robot trébuche. Cela ne s’improvise pas. Cela échoue.
Un concepteur doit exploiter cette faiblesse. Pensez aux métadonnées. C’est invisible pour vous. C’est lisible par un script. Si vous créez un défi visuel dont la réponse est cachée dans les métadonnées du fichier image, vous avez déjà perdu. Un simple script peut supprimer ces données et révéler la solution instantanément.
La distorsion n’est pas négociable. Le texte brut est une invitation ouverte aux logiciels de reconnaissance optique de caractères (OCR). Ces programmes scannent les formes. Ils reconnaissent les lignes droites et les courbes. Si vos personnages ne sont pas déformés, asymétriques ou obscurcis, un robot les lira plus vite qu’un humain ne peut cligner des yeux.
Les humains devraient avoir un taux de réussite de 80 pour cent. Les machines devraient se situer à 0,01 pour cent.
Ce benchmark provient des experts Microsoft Research Kumar Chellapilla et Patrice Simard. Ils n’ont pas seulement deviné. Ils ont calculé le seuil entre convivialité et sécurité.
Il existe deux manières principales de générer ces défis. Le premier est statique. Vous prédéfinissez les images et leurs solutions. Vous avez besoin d’une base de données massive pour prendre en charge cela. Pourquoi? Parce qu’un spammeur qui vole cette base de données peut lancer une attaque par force brute. Ils parcourent simplement toutes les réponses possibles jusqu’à ce qu’une d’entre elles tienne. Pour rester en sécurité, vous auriez besoin d’une base de données contenant plus de 10 000 CAPTCHA uniques. C’est lourd. C’est risqué.
La deuxième voie est dynamique. Randomisation. Le système génère à chaque fois une chaîne unique de lettres et de chiffres. Vous ne verrez jamais deux fois la même séquence. Cela tue l’approche par force brute. Les chances qu’un robot devine une longue chaîne aléatoire sont astronomiquement faibles. Plus la corde est longue, plus vous êtes en sécurité.
Le gant visuel
Comment déformer le texte ? Il y a quelques astuces dans la boîte à outils.
Certains systèmes étirent et plient les lettres jusqu’à ce qu’elles semblent être vues à travers du verre fondu. C’est nauséabond. C’est aussi efficace. D’autres superposent une grille de barres hachurées pour fracturer les formes des lettres. Vous pourriez voir des champs de points aléatoires ou des schémas de couleurs contradictoires conçus pour confondre l’œil et l’algorithme. L’objectif est toujours le même : créer un bruit que les humains peuvent filtrer mais que les machines ne peuvent pas analyser.
La reconnaissance de formes est une autre voie. Au lieu de simplement lire du texte, on vous demandera peut-être de compléter une séquence. Une série de formes apparaît. Lequel vient ensuite ? Cela teste la logique, pas seulement la vision. Mais voici le piège. Tout le monde n’est pas doué pour le raisonnement abstrait. Si votre puzzle est trop difficile, votre taux de réussite humaine tombe en dessous de ce seuil critique de 80 pour cent. Vous commencez à verrouiller les vrais utilisateurs. Vous échangez la sécurité contre l’accessibilité. C’est un parcours sur la corde raide.
L’alternative audio
Pouvez-vous m’entendre maintenant ?
Les CAPTCHA sonores suivent une logique similaire aux visuels, mais avec un support différent. Vous écoutez des personnages prononcés par une voix synthétisée ou un véritable enregistrement humain.
L’approche statique nécessite de pré-enregistrer toutes les combinaisons possibles. C’est une énorme bibliothèque audio. L’approche dynamique est plus intelligente. Il enregistre des phonèmes ou des caractères individuels et les relie en temps réel. C’est plus rapide à générer. C’est plus difficile à indexer.
Mais le son n’est pas parfait. Bruit de fond. Accentués. Artefacts de synthèse. Cela introduit une nouvelle couche de friction. Est-ce que cela résout le problème ? Parfois. Pour certains utilisateurs, c’est une bouée de sauvetage. Pour d’autres, c’est une énigme qu’ils ne peuvent pas résoudre.
La course aux armements continue
Nous avons vu comment ils sont construits. La prochaine étape consiste à les regarder tomber. Les ordinateurs s’améliorent dans ce domaine. Ils apprennent à voir au-delà de la distorsion.
Le véritable obstacle n’est pas de déchiffrer le texte. Les humains devraient facilement atteindre ce taux de précision de 80 %. Le véritable cauchemar consiste à apprendre à une machine à traiter les informations comme le fait un cerveau humain. La plupart des attaquants ne cherchent pas à rendre les ordinateurs plus intelligents. Ils suppriment simplement la complexité du défi.
Pensez à un formulaire Web standard protégé par un CAPTCHA affichant des mots anglais. La police est déformée. Les lettres s’étirent et se plient selon des motifs chaotiques. Un bruit de fond aléatoire se trouve derrière le texte. Cela ressemble à du charabia. Il est conçu pour l’être.
Un programmeur qui brise cela ne commence pas par l’IA. Ils commencent par un algorithme. Ceci est juste un ensemble d’instructions. La première étape pourrait consister à convertir l’image en niveaux de gris. La couleur est une couche d’obscurcissement. Retirez-le. Vous avez maintenant du bruit noir et blanc.
Ensuite, le code recherche des modèles. Il compare les formes aux lettres connues. Si la correspondance est faible, l’algorithme croise ces lettres partielles avec un dictionnaire de mots anglais. Il devine le reste. Cette logique de force brute fonctionne. Cela échoue parfois. Mais si cela réussit assez souvent, les spammeurs gagnent.
Relever le défi Gimpy
Que se passe-t-il lorsque le CAPTCHA devient plus difficile ? Prenez la version Gimpy. Il affiche dix mots. Polices déformées. Milieux irréguliers. Les mots se chevauchent. Vous devez en saisir trois correctement pour continuer.
Cela semble solide. Jusqu’à ce que vous regardiez la recherche. Greg Mori et Jitendra Malik ont publié un article expliquant comment le résoudre. Leur astuce ? Le système utilise de vrais mots. Pas de chaînes aléatoires. C’est une énorme faiblesse.
Mori et Malik ont construit un algorithme axé sur le début et la fin des chaînes de mots. Ils ont utilisé le célèbre dictionnaire de 500 mots du système Gimpy. Ils ont fait des tests. L’algorithme a correctement identifié les mots dans 33 % des cas.
Ce chiffre semble faible. Ce n’est pas le cas. Les spammeurs n’ont pas besoin de perfection. Ils ont besoin de volume. Si leurs robots s’exécutent des centaines de fois par minute, un taux de réussite d’un sur trois est rentable. Le calcul fonctionne.
Oreilles électroniques
Les CAPTCHA audio ne sont pas non plus sûrs. Au printemps 2008, des rapports ont fait état de pirates informatiques attaquant le système audio de Google. La méthode était étonnamment simple.
Les pirates ont créé une bibliothèque de sons. Chaque personnage de la base de données avait besoin d’une correspondance sonore. La distorsion peut signifier plusieurs sons pour une lettre. Une fois catégorisés, ils ont utilisé des variantes de logiciels de reconnaissance vocale. Le robot a écouté. Il a interprété. Il a tapé.
CAPTCHA et Intelligence Artificielle
Le paradoxe de l’IA : pourquoi briser la sécurité aide les machines à apprendre
Luis von Ahn, le professeur de Carnegie Mellon qui a aidé à inventer le CAPTCHA, voit les choses différemment de l’administrateur système moyen. Dans une conférence de 2006, il a présenté la bataille entre les humains et les robots non pas comme une guerre, mais comme un terrain d’entraînement pour l’intelligence artificielle. La logique est froide mais solide. Les spammeurs et les pirates informatiques sont obsédés par l’idée de briser les CAPTCHA, car ces tests les empêchent d’atteindre leurs objectifs. Ils investissent du temps et de l’énergie pour les vaincre.
Lorsqu’elles réussissent, les machines deviennent plus intelligentes.
Chaque fois qu’un chercheur découvre comment apprendre à un ordinateur à résoudre un puzzle de texte déformé, nous faisons un pas vers une véritable IA. Pour von Ahn, une défaite du système de sécurité est une victoire pour l’apprentissage automatique.
Les administrateurs Web trouvent cependant cette philosophie moins attrayante. Ils doivent encore faire face aux conséquences. Les robots spammeurs et les scripts malveillants ne se soucient pas des implications philosophiques de leur défaite. Ils veulent juste entrer. La réalité est que plusieurs systèmes CAPTCHA ne sont déjà plus utilisés efficacement. Les responsables de sondages en ligne ou de simples sites Web doivent savoir quels outils sont encore fiables. Ils doivent rester à jour. Si un système tombe en panne, le code doit disparaître. Il doit être remplacé.
Les designers marchent sur la corde raide. À mesure que les ordinateurs deviennent plus sophistiqués, les tests doivent évoluer. Mais il y a une limite. Si le test devient si difficile que les humains ne peuvent plus le résoudre avec un taux de réussite décent, le système échoue. Il ne s’agit plus seulement de déformer le texte. La réponse pourrait être une équation mathématique. Ou répondre à des questions sur une nouvelle.
Combien de personnes prendront la peine de publier une réponse sur un forum s’ils doivent d’abord résoudre une équation quadratique ?
L’intérêt des utilisateurs diminue lorsque la friction devient trop élevée. L’équilibre est fragile.
L’évolution de la vérification invisible
Google a changé la donne en 2014. La société, qui avait acquis reCAPTCHA en 2009, a commencé à supprimer progressivement les défis classiques d’image ou de texte. Ils ont introduit « Pas de CAPTCHA ». C’était simple. Une seule boîte avec la mention « Je ne suis pas un robot ».
Les utilisateurs ont cliqué. Le monde a évolué.
Mais en 2017, même cela était trop évident. Google a annoncé la suppression de No CAPTCHA. La nouvelle approche reposait sur l’analyse comportementale. Il a examiné la façon dont vous avez déplacé le pointeur de votre souris. Il a analysé vos habitudes de navigation. Ceci est devenu connu sous le nom de Invisible reCAPTCHA.
Si le système vous signalait comme suspect (peut-être que vous étiez un robot), vous étiez obligé de résoudre l’un des défis standards les plus anciens. C’était une solution de repli. Une étape de vérification. L’objectif était de maintenir les bons utilisateurs en mouvement tout en attrapant les mauvais acteurs sans même qu’ils s’en aperçoivent.
Clarifier la terminologie et la nécessité
Il existe souvent une confusion quant à savoir qui possède quoi et pourquoi ces contrôles existent.
Le CAPTCHA est-il produit par Google ?
Non. CAPTCHA est une technologie générale utilisée sur le Web pour garantir que des humains, et non des robots automatisés, interagissent avec un site. Le reCAPTCHA de Google n’est qu’une implémentation de ce concept plus large.
Que signifie CAPTCHA ?
Cela signifie « Test de Turing public entièrement automatisé pour distinguer les ordinateurs des humains ». Il s’agit d’un test défi-réponse intégré à l’informatique pour vérifier l’identité de l’utilisateur.
Pourquoi CAPTCHA est-il nécessaire ?
Il empêche les programmes automatisés de soumettre de fausses informations. Il empêche les spammeurs publicitaires de promouvoir des escroqueries sur les pages Web. Cela empêche Internet d’être inondé de bruit.
Où aller à partir d’ici
Le paysage change constamment. Ce qui a fonctionné hier pourrait être défectueux aujourd’hui.
Pour ceux qui creusent plus profondément, les sujets connexes incluent le fonctionnement des pirates de code, les mécanismes du spam et la fonction des logiciels espions. Comprendre le chiffrement et les virus informatiques permet de comprendre pourquoi la sécurité est importante. La logique sous-jacente à la manière dont une machine logique génère des nombres aléatoires est également liée au caractère aléatoire requis pour les défis sécurisés.
D’autres ressources sur le sujet incluent Gwap et le site officiel reCAPTCHA. Les racines académiques de ce domaine sont bien documentées. Les recherches menées par Chellapilla et Simard chez Microsoft Research mettent en évidence comment l’apprentissage automatique peut briser les preuves visuelles. Les CAPTCHA de filtrage collaboratif ont été explorés dans les premiers ateliers. La vulnérabilité du CAPTCHA audio de Google a été documentée en 2008. La même année, des spammeurs ont piraté le CAPTCHA de Gmail.
Le test de Turing, tel que discuté dans la Stanford Encyclopedia of Philosophy, reste la base théorique. Le cortex humain bat toujours le processeur dans de nombreuses tâches, comme le note Wired. Mais l’écart se réduit. La vision originale de Von Ahn se joue en temps réel. Chaque code cassé est une leçon pour la prochaine génération d’IA.
La question n’est plus de savoir si les machines réussiront ces tests. C’est ce qui arrive quand ils le font. Et qu’arrive-t-il aux humains qui doivent encore cliquer sur les cases.
