U bent klaar om kaartjes te kopen voor die lokale show. De winkelwagen is vol. De betalingsgegevens zijn ingevoerd. Dan gaat de muur omhoog.
Het is een CAPTCHA.
De afkorting staat voor Completely Automated Public Turing Test to Tell Computers and Humans Apart. Het klinkt als iets uit een sciencefictionthriller, maar het is slechts een digitale uitsmijter. De test is niet moeilijk voor mensen. Als je een echt persoon bent, zul je er doorheen waaien. Voor een computer? Het zou bijna onmogelijk moeten zijn.
Het doel is simpel: kwaadaardige bots identificeren voordat ze met uw gegevens of uw aankoop kunnen knoeien.
Deze tests worden ook wel Human Interaction Proof (HIP) genoemd. Je hebt ze overal gezien. De klassieke versie toont een reeks vervormde, wazige letters. Je typt ze in. Als je de afbeelding matcht, ben je geslaagd.
Zo simpel is het. Of dat was het vroeger.
De evolutie van op afbeeldingen gebaseerde uitdagingen
Op tekst gebaseerde CAPTCHA’s worden oud. Bots worden steeds slimmer. Nu zijn uitdagingen op het gebied van beeldherkenning de standaard.
In plaats van letters te typen, krijg je een raster met foto’s. Snelwegen. Stadsstraten. Parken. U wordt gevraagd afbeeldingen te selecteren die specifieke objecten bevatten.
- Straatverlichting
- Brandkranen
- Fietsen
- Oversteekplaatsen
Selecteer de juiste foto’s. Slaag voor de test.
Op afbeeldingen gebaseerde CAPTCHA’s zijn voor bots aanzienlijk moeilijker te ontcijferen dan op tekst gebaseerde CAPTCHA’s. Vervormde beelden of wazige scènes frustreren de herkenningstechnieken van een bot. Het maken van een test die alleen een mens kan oplossen, vereist een zorgvuldig ontwerp.
Waarom überhaupt tegen bots vechten?
Waarom een test maken om mensen van machines te scheiden?
Omdat mensen het systeem proberen te bespelen. Ze maken misbruik van zwakke punten in de computers waarop de site draait.
Deze personen vormen een minderheid van de internetgebruikers. Maar hun daden hebben gevolgen voor miljoenen.
Overweeg een gratis e-mailservice. Zonder CAPTCHA zou het kunnen worden gebombardeerd door geautomatiseerde accountverzoeken. Een geautomatiseerd programma maakt binnen enkele seconden duizenden accounts aan. Waarom? Om later spammail naar miljoenen mensen te sturen.
De CAPTCHA stopt dit. Het identificeert welke gebruikers echte mensen zijn. En welke zijn slechts computerprogramma’s.
Elke mislukking is een AI-doorbraak
Hier is een interessante wending.
De mensen die deze tests ontwerpen, zijn niet altijd boos als ze falen.
Om een CAPTCHA-test te laten mislukken, moet iemand een manier vinden om een computer te leren hoe deze op te lossen.
Elke keer dat een bot een CAPTCHA verslaat, vertegenwoordigt dit een vooruitgang in kunstmatige intelligentie.
De ironie is voelbaar. Een CAPTCHA-applicatie genereert een test die zelfs deze niet kan oplossen zonder het antwoord al te kennen. Het vertrouwt op menselijke cognitie als veiligheidsparameter.
We zitten in een wapenwedloop.
Bots worden slimmer. De tests worden moeilijker. De gebruikers raken geïrriteerd.
Maar totdat de technologie de mens inhaalt, zullen we op verkeerslichten blijven klikken.
Het hele systeem is terug te voeren op de Turingtest. Alan Turing, de man die feitelijk de moderne computer heeft uitgevonden, wilde een manier om te controleren of machines het menselijk denken konden nabootsen. De installatie was eenvoudig. Een ondervrager praat met twee verborgen deelnemers. Eén is een persoon. Eén is een computer. Als de ondervrager niet kan zeggen welke welke is, wint de machine.
CAPTCHA draait deze logica om. Het doel is om een test te maken waar mensen doorheen vliegen terwijl bots spectaculair falen. Het moet ook dynamisch zijn. Als elke gebruiker exact dezelfde statische afbeelding met dezelfde letters zou zien, zouden spammers deze binnen enkele minuten kraken. Ze schreven gewoon een script om het antwoord automatisch te typen.
De meeste van deze tests zijn visueel. Computers zijn nog steeds onhandig in het verwerken van afbeeldingen vergeleken met ons. Mensen herkennen patronen onmiddellijk. Soms hallucineren we ze zelfs. Dat is pareidolie. Je ziet een gezicht in de wolken of een figuur op Mars. Je brein forceert willekeurige ruis in een herkenbare vorm. Machines hebben die intuïtieve sprong niet. Ze worstelen met onduidelijkheid.
Maar uitsluitend vertrouwen op zicht is riskant. Het vervreemdt visueel gehandicapte gebruikers. Wij hebben dus alternatieven. Audio-CAPTCHA’s zijn gebruikelijk. Je luistert naar een reeks cijfers of letters. De stem is mogelijk vervormd. Er is vaak achtergrondruis. Dit blokkeert stemherkenningssoftware.
Dan is er contextuele CAPTCHA. Het presenteert een korte tekstpassage. De gebruiker moet de betekenis interpreteren. Algoritmen kunnen trefwoorden verzamelen. Ze schieten tekort in het daadwerkelijk begrijpen ervan. Ze snappen de nuance niet.
Soms is de test gewoon kapot. Het beeld is zo vervormd dat zelfs mensen het niet kunnen lezen. Daarom krijg je een knop ‘vernieuwen’. Probeer het nog eens. Hopelijk is de tweede poging geen onzin.
Wie gebruikt CAPTCHA
In het volgende gedeelte wordt dieper ingegaan op welke sites deze controles daadwerkelijk inzetten om te verifiëren dat u geen bot bent.
Pollingintegriteit en botmisbruik
De Slashdot-enquête uit 1999 over het beste afstudeerprogramma voor computerwetenschappen is een waarschuwend verhaal. Het liet precies zien wat er gebeurt als je enquêtes openlaat voor geautomatiseerde scripts. Studenten van Carnegie Mellon en MIT bouwden bots om hun respectievelijke scholen met duizenden stemmen te overspoelen. Ondertussen kwam elke andere universiteit er met een paar honderd rond.
Als code een stem kan uitbrengen, zijn de resultaten waardeloos.
Daarom is verificatie belangrijk. Zonder filter zijn online peilingen slechts een populariteitswedstrijd voor degene die het snelste script heeft. CAPTCHA zorgt ervoor dat programmeurs het systeem niet kunnen gamen.
Spambots blokkeren bij registratie
Denk eens aan de laatste keer dat u zich aanmeldde voor Hotmail, Yahoo! E-mail of Gmail. Je hebt een aantal persoonlijke gegevens ingevoerd. De dienst controleerde niet of ze echt waren. Het heeft u niet gebeld en uw identiteit niet geverifieerd.
Het wilde er alleen voor zorgen dat een bot niet binnen enkele seconden honderden spamaccounts probeerde aan te maken.
Gratis e-mailproviders gebruiken CAPTCHA om spammers tegen te houden. Zonder dit zou uw inbox verstopt zijn met rommel van nepaccounts voordat u de uwe zelfs maar had ingesteld.
Vechtende ticket-scalpers
Ook ticketmakelaars als TicketMaster vertrouwen op deze filters. Waarom? Om scalpers te stoppen.
Scalpers gebruiken bots om binnen enkele seconden duizenden kaartjes voor grote evenementen te kopen. Legitieme fans worden buitengesloten. Evenementen zijn direct uitverkocht. Scalpers verkopen die kaartjes vervolgens tegen hoge prijzen.
CAPTCHA stopt niet helemaal met scalperen. Het maakt grootschalig geautomatiseerd inkopen alleen maar veel moeilijker. Het vertraagt de bots. Het geeft echte mensen een vechtkans.
Berichtenborden schoon houden
Webpagina’s met contactformulieren of prikborden worden met dezelfde bedreiging geconfronteerd. Een lawine van spam kan echte gesprekken overstemmen.
CAPTCHA-programma’s filteren de ruis weg. Ze voorkomen dat bots automatisch onbeleefde berichten plaatsen of beheerders lastigvallen. Het is geen perfect schild tegen een vastberaden menselijke trol. Maar het stopt de geautomatiseerde overstroming.
De dubbele plicht van reCAPTCHA
De standaard CAPTCHA vraagt u om vervormde letters en cijfers te typen. Maar makers hebben een manier gevonden om waarde aan die taak toe te voegen. Ze gebruikten het om boeken te digitaliseren.
Dit is reCAPTCHA. Het gebruikt uw antwoorden om gescand papier te verifiëren. Computers hebben moeite om woorden van digitale scans te lezen. Mensen zijn er goed in.
Hier is het proces:
- De beheerder scant een boek.
- Het programma kiest twee woorden uit de afbeelding.
- Eén woord wordt al herkend.
- Als u het correct typt, gaat het systeem ervan uit dat uw tweede woord ook correct is.
- Dat tweede woord gaat in een pool voor andere gebruikers.
- Naarmate meer mensen het typen, verifieert het systeem het woord met grote zekerheid.
Het klinkt vervelend. Maar je doet twee banen tegelijk. Je bewijst dat je een mens bent. U helpt zoekmachines ook bij het indexeren van gescande documenten.
De verificatie aanmaken
Vervolgens bekijken we het proces dat gepaard gaat met het maken van een CAPTCHA.
Ontwerpen voor de kloof tussen mens en machine
Het hele uitgangspunt van een CAPTCHA berust op een fundamentele ontkoppeling. Mensen nemen context waar. Machines verwerken instructies. Als gegevens buiten een rigide algoritmisch pad vallen, struikelt een bot. Het improviseert niet. Het mislukt.
Een ontwerper moet deze zwakte uitbuiten. Denk aan metagegevens. Het is onzichtbaar voor jou. Het is leesbaar door een script. Als je een visuele uitdaging bouwt waarbij het antwoord verborgen is in de metagegevens van het afbeeldingsbestand, heb je al verloren. Een eenvoudig script kan die gegevens verwijderen en de oplossing onmiddellijk onthullen.
Vervorming is niet onderhandelbaar. Platte tekst is een open uitnodiging voor software voor optische tekenherkenning (OCR). Deze programma’s scannen vormen. Ze herkennen rechte lijnen en rondingen. Als je karakters niet kromgetrokken, scheef of onduidelijk zijn, zal een bot ze sneller lezen dan een mens kan knipperen.
Mensen zouden een succespercentage van 80 procent moeten hebben. Machines zouden op 0,01 procent moeten zitten.
Deze benchmark is afkomstig van Microsoft Research-experts Kumar Chellapilla en Patrice Simard. Ze raadden het niet alleen. Ze berekenden de drempel tussen bruikbaarheid en veiligheid.
Er zijn twee belangrijke manieren om deze uitdagingen te genereren. De eerste is statisch. Je definieert vooraf de afbeeldingen en hun oplossingen. Om dit te ondersteunen heb je een enorme database nodig. Waarom? Omdat een spammer die die database steelt, een brute force-aanval kan lanceren. Ze doorlopen gewoon elk mogelijk antwoord totdat er één blijft hangen. Om veilig te blijven, heb je een database nodig met meer dan 10.000 unieke CAPTCHA’s. Dat is zwaar. Het is riskant.
De tweede manier is dynamisch. Randomisatie. Het systeem genereert elke keer een unieke reeks letters en cijfers. Je zult nooit twee keer dezelfde reeks zien. Dit doodt de brute force-aanpak. De kans dat een bot een lange, willekeurige reeks raadt, is astronomisch laag. Hoe langer het touwtje, hoe veiliger je bent.
De visuele handschoen
Hoe vervorm je tekst? Er zitten een paar trucjes in de toolkit.
Sommige systemen rekken en buigen letters totdat het lijkt alsof ze door gesmolten glas worden bekeken. Het is misselijkmakend. Het is ook effectief. Anderen leggen een gearceerd raster van staven over elkaar heen om de lettervormen te breken. Mogelijk ziet u velden met willekeurige stippen of botsende kleurenschema’s die zijn ontworpen om het oog en het algoritme te verwarren. Het doel is altijd hetzelfde: ruis creëren die mensen kunnen wegfilteren, maar machines niet kunnen ontleden.
Patroonherkenning is een andere weg. In plaats van alleen tekst te lezen, wordt u mogelijk gevraagd een reeks te voltooien. Er verschijnt een reeks vormen. Welke komt hierna? Het test logica, niet alleen visie. Maar hier is het addertje onder het gras. Niet iedereen is goed in abstract redeneren. Als je puzzel te moeilijk is, zakt je menselijke succespercentage onder die kritieke 80 procent. Je begint echte gebruikers buiten te sluiten. Je ruilt veiligheid in voor toegankelijkheid. Het is een koorddansen.
Het audio-alternatief
Kun je mij nu horen?
Hoorbare CAPTCHA’s volgen een soortgelijke logica als visuele CAPTCHA’s, maar met een ander medium. Je luistert naar personages die worden gesproken door een gesynthetiseerde stem of een echte menselijke opname.
De statische benadering vereist het vooraf opnemen van elke mogelijke combinatie. Dat is een enorme audiobibliotheek. De dynamische aanpak is slimmer. Het neemt individuele fonemen of karakters op en koppelt ze in realtime aan elkaar. Het is sneller te genereren. Het is moeilijker te indexeren.
Maar audio is niet perfect. Achtergrondgeluid. Accenten. Synthese artefacten. Het introduceert een nieuwe laag van wrijving. Lost het het probleem op? Soms. Voor sommige gebruikers is het een redder in nood. Voor anderen is het een puzzel die ze niet kunnen oplossen.
De wapenwedloop gaat door
We hebben gezien hoe ze worden gebouwd. De volgende stap is ze zien vallen. Computers worden hier steeds beter in. Ze leren de vervorming te doorzien.
Het echte obstakel is niet het ontcijferen van de tekst. Mensen zouden die nauwkeurigheidsgraad van 80 procent met gemak moeten halen. De werkelijke nachtmerrie is een machine leren informatie te verwerken zoals het menselijk brein dat doet. De meeste aanvallers doen geen moeite om computers slimmer te maken. Ze halen gewoon de complexiteit van de uitdaging weg.
Denk aan een standaard webformulier beveiligd door een CAPTCHA met Engelse woorden. Het lettertype wordt kromgetrokken. Letters rekken en buigen in chaotische patronen. Achter de tekst zit een willekeurig achtergrondgeluid. Het lijkt op wartaal. Het is zo ontworpen.
Een programmeur die dit verbreekt, begint niet met AI. Ze beginnen met een algoritme. Dit is slechts een reeks instructies. Stap één kan het converteren van de afbeelding naar grijstinten zijn. Kleur is een laag van verduistering. Verwijder het. Nu heb je zwart-witte ruis.
Vervolgens scant de code op patronen. Het vergelijkt vormen met bekende letters. Als de overeenkomst zwak is, vergelijkt het algoritme die gedeeltelijke letters met een woordenboek met Engelse woorden. Het raadt de rest. Deze brute-force-logica werkt. Het mislukt soms. Maar als het vaak genoeg lukt, winnen spammers.
De Gimpy-uitdaging verslaan
Wat gebeurt er als de CAPTCHA strenger wordt? Neem de Gimpy-versie. Er worden tien woorden weergegeven. Vervormde lettertypen. Onregelmatige achtergronden. De woorden overlappen elkaar. U moet drie juiste typen om door te gaan.
Het klinkt solide. Totdat je naar het onderzoek kijkt. Greg Mori en Jitendra Malik publiceerden een artikel over hoe je het kunt kraken. Hun truc? Het systeem gebruikt echte woorden. Geen willekeurige strings. Dit is een enorme zwakte.
Mori en Malik bouwden een algoritme dat zich richtte op het begin en einde van woordreeksen. Ze gebruikten het bekende 500-woordenwoordenboek van het Gimpy-systeem. Ze voerden tests uit. Het algoritme identificeerde woorden 33 procent van de tijd correct.
Dat aantal lijkt laag. Dat is het niet. Spammers hebben geen perfectie nodig. Ze hebben volume nodig. Als hun bots honderden keren per minuut draaien, is een succespercentage van één op drie winstgevend. De wiskunde werkt.
Elektronische oren
Audio-CAPTCHA’s zijn ook niet veilig. In het voorjaar van 2008 waren er berichten dat hackers het audiosysteem van Google hadden gehackt. De methode was verrassend eenvoudig.
Hackers creëerden een bibliotheek met geluiden. Elk personage in de database had een sonische match nodig. Vervorming kan meerdere klanken voor één letter betekenen. Eenmaal gecategoriseerd, gebruikten ze softwarevarianten voor stemherkenning. De bot luisterde. Het interpreteerde. Het typte.
CAPTCHA en kunstmatige intelligentie
De AI-paradox: waarom het doorbreken van de beveiliging machines helpt leren
Luis von Ahn, de Carnegie Mellon-professor die CAPTCHA heeft helpen uitvinden, ziet de zaken anders dan de gemiddelde systeembeheerder. In een lezing uit 2006 omschreef hij de strijd tussen mensen en bots niet als een oorlog, maar als een oefenterrein voor kunstmatige intelligentie. De logica is koud maar gezond. Spammers en hackers zijn geobsedeerd door het breken van CAPTCHA’s, omdat deze tests tussen hen en hun doelen staan. Ze investeren tijd en energie in het verslaan ervan.
Als ze daarin slagen, worden machines slimmer.
Elke keer dat een onderzoeker ontdekt hoe hij een computer kan leren een vervormde tekstpuzzel op te lossen, zetten we een stap in de richting van echte AI. Voor Von Ahn is een nederlaag voor het beveiligingssysteem een overwinning voor machine learning.
Webbeheerders vinden deze filosofie echter minder aantrekkelijk. Ze hebben nog steeds te maken met de gevolgen. Spambots en kwaadaardige scripts trekken zich niets aan van de filosofische implicaties van hun nederlaag. Ze willen gewoon meedoen. De realiteit is dat verschillende CAPTCHA-systemen al niet meer effectief worden gebruikt. Beheerders van online peilingen of eenvoudige websites moeten weten welke tools nog betrouwbaar zijn. Ze moeten op de hoogte blijven. Als één systeem faalt, moet de code verdwijnen. Het moet worden vervangen.
Ontwerpers lopen op een koord. Naarmate computers geavanceerder worden, moeten de tests evolueren. Maar er is een grens. Als de test zo moeilijk wordt dat mensen hem niet langer met een behoorlijk succespercentage kunnen oplossen, faalt het systeem. Het gaat niet alleen meer om het kromtrekken van tekst. Het antwoord zou een wiskundige vergelijking kunnen zijn. Of het beantwoorden van vragen over een kort verhaal.
Hoeveel mensen zullen de moeite nemen om een antwoord op een prikbord te plaatsen als ze eerst een kwadratische vergelijking moeten oplossen?
De interesse van gebruikers neemt af als de wrijving te hoog wordt. Het evenwicht is kwetsbaar.
De evolutie van onzichtbare verificatie
Google veranderde het spel in 2014. Het bedrijf, dat reCAPTCHA in 2009 had overgenomen, begon de klassieke beeld- of tekstuitdagingen geleidelijk af te schaffen. Ze introduceerden “Geen CAPTCHA.” Het was eenvoudig. Een enkele doos met de woorden “Ik ben geen robot.”
Gebruikers hebben geklikt. De wereld ging verder.
Maar in 2017 was zelfs dat al te voor de hand liggend. Google heeft de verwijdering van No CAPTCHA aangekondigd. De nieuwe aanpak was gebaseerd op gedragsanalyse. Er werd gekeken naar hoe u uw muisaanwijzer verplaatste. Het analyseerde uw surfgedrag. Dit werd bekend als Invisible reCAPTCHA.
Als het systeem je als verdacht bestempelde (misschien was je een robot), werd je gedwongen een van de oudere, standaarduitdagingen op te lossen. Het was een terugval. Een verificatiestap. Het doel was om de goede gebruikers in beweging te houden en tegelijkertijd de slechte acteurs te vangen zonder dat ze het merkten.
Verduidelijking van de terminologie en noodzaak
Er bestaat vaak verwarring over wie wat bezit en waarom deze controles bestaan.
Is CAPTCHA van Google?
Nee. CAPTCHA is een algemene technologie die op internet wordt gebruikt om ervoor te zorgen dat mensen, en niet geautomatiseerde bots, interactie hebben met een site. Google’s reCAPTCHA is slechts één implementatie van dit bredere concept.
Waar staat CAPTCHA voor?
Het staat voor ‘Completely Automated Public Turing test to tell Computers and Humans Apart’. Het is een challenge-response-test die in computers is ingebouwd om de identiteit van de gebruiker te verifiëren.
Waarom is CAPTCHA nodig?
Het voorkomt dat geautomatiseerde programma’s valse informatie verstrekken. Het voorkomt dat advertentiespammers oplichting op webpagina’s promoten. Het zorgt ervoor dat het internet niet wordt overspoeld door ruis.
Waar te gaan vanaf hier
Het landschap verandert voortdurend. Wat gisteren werkte, kan vandaag kapot zijn.
Voor degenen die dieper graven: aanverwante onderwerpen zijn onder meer de werking van codebrekers, de werking van spam en de functie van spyware. Het begrijpen van encryptie en computervirussen biedt context waarom beveiliging belangrijk is. De onderliggende logica van hoe een logische machine willekeurige getallen genereert, houdt ook verband met de willekeur die nodig is voor veilige uitdagingen.
Meer bronnen over dit onderwerp zijn onder meer Gwap en de officiële reCAPTCHA-site. De academische wortels van dit vakgebied zijn goed gedocumenteerd. Onderzoek door Chellapilla en Simard bij Microsoft Research benadrukt hoe machinaal leren visuele bewijzen kan doorbreken. CAPTCHA’s voor collaboratieve filtering werden in de eerste workshops onderzocht. De kwetsbaarheid van de audio-CAPTCHA van Google werd in 2008 gedocumenteerd. Spammers kraakten datzelfde jaar de CAPTCHA van Gmail.
De Turingtest, zoals besproken in de Stanford Encyclopedia of Philosophy, blijft de theoretische basislijn. De menselijke cortex verslaat nog steeds de CPU bij veel taken, zoals opgemerkt door Wired. Maar de kloof wordt kleiner. De oorspronkelijke visie van Von Ahn speelt zich in realtime af. Elke gebroken code is een les voor de volgende generatie AI.
De vraag is niet langer of machines deze tests zullen doorstaan. Het is wat er gebeurt als ze dat doen. En wat gebeurt er met de mensen die nog op de vakjes moeten klikken.
