Você está pronto para comprar ingressos para aquele show local. O carrinho está cheio. Os detalhes de pagamento são inseridos. Então, o muro sobe.
É um CAPTCHA.
A sigla significa Teste de Turing Público Completamente Automatizado para Diferenciar Computadores e Humanos. Parece algo saído de um thriller de ficção científica, mas é apenas um segurança digital. O teste não é difícil para os humanos. Se você for uma pessoa real, você passará por isso facilmente. Para um computador? Deveria ser quase impossível.
O objetivo é simples: identificar bots maliciosos antes que eles possam mexer nos seus dados ou na sua compra.
Esses testes também são conhecidos como Prova de Interação Humana (HIP). Você os viu em todos os lugares. A versão clássica mostra uma série de letras distorcidas e borradas. Você os digita. Se você corresponder à imagem, você passa.
É tão simples. Ou costumava ser.
A evolução dos desafios baseados em imagens
CAPTCHAs baseados em texto estão envelhecendo. Os bots estão ficando mais inteligentes. Agora, os desafios de reconhecimento de imagem são o padrão.
Em vez de digitar letras, você obtém uma grade de fotos. Rodovias. Ruas da cidade. Parques. Você será solicitado a selecionar imagens contendo objetos específicos.
- Luzes de rua
- Hidrantes
- Bicicletas
- Faixas de pedestres
Selecione as fotos certas. Passe no teste.
CAPTCHAs baseados em imagens são significativamente mais difíceis de serem decifrados pelos bots do que os baseados em texto. Imagens distorcidas ou cenas borradas frustram as técnicas de reconhecimento de um bot. Elaborar um teste que apenas um ser humano possa resolver requer um design cuidadoso.
Por que lutar contra bots?
Por que criar um teste para separar humanos de máquinas?
Porque as pessoas tentam manipular o sistema. Eles exploram os pontos fracos dos computadores que administram o site.
Esses indivíduos são uma minoria de usuários da Internet. Mas as suas ações afetam milhões.
Considere um serviço de e-mail gratuito. Sem um CAPTCHA, ele pode ser bombardeado por solicitações automatizadas de conta. Um programa automatizado cria milhares de contas em segundos. Por que? Para enviar spam para milhões de pessoas posteriormente.
O CAPTCHA impede isso. Ele identifica quais usuários são seres humanos reais. E quais são apenas programas de computador.
Cada falha é um avanço na IA
Aqui está uma reviravolta interessante.
As pessoas que elaboram esses testes nem sempre ficam chateadas quando eles falham.
Para que um teste CAPTCHA falhe, alguém deve encontrar uma maneira de ensinar um computador a resolvê-lo.
Cada vez que um bot vence um CAPTCHA, representa um avanço na inteligência artificial.
A ironia é palpável. Uma aplicação CAPTCHA gera um teste que mesmo ele não consegue resolver sem já saber a resposta. Baseia-se na cognição humana como parâmetro de segurança.
Estamos numa corrida armamentista.
Os bots ficam mais inteligentes. Os testes ficam mais difíceis. Os usuários ficam irritados.
Mas até que a tecnologia alcance os humanos, continuaremos clicando nos semáforos.
Todo o sistema remonta ao Teste de Turing. Alan Turing, o cara que basicamente inventou a computação moderna, queria uma maneira de verificar se as máquinas poderiam imitar o pensamento humano. A configuração foi simples. Um interrogador fala com dois participantes ocultos. Um é uma pessoa. Um deles é um computador. Se o interrogador não conseguir dizer qual é qual, a máquina vence.
CAPTCHA inverte essa lógica. O objetivo é fazer um teste que os humanos superem facilmente enquanto os bots falham espetacularmente. Tem que ser dinâmico também. Se todos os usuários vissem exatamente a mesma imagem estática com as mesmas letras, os spammers a quebrariam em minutos. Eles apenas escreveriam um script para digitar a resposta automaticamente.
A maioria desses testes é visual. Os computadores ainda são desajeitados no processamento de imagens em comparação com nós. Os humanos detectam padrões instantaneamente. Às vezes até temos alucinações com eles. Isso é pareidolia. Você vê um rosto nas nuvens ou uma figura em Marte. Seu cérebro força o ruído aleatório a assumir uma forma reconhecível. As máquinas não têm esse salto intuitivo. Eles lutam com a ambiguidade.
Mas confiar apenas na visão é arriscado. Afasta usuários com deficiência visual. Portanto, temos alternativas. CAPTCHAs de áudio são comuns. Você ouve uma série de números ou letras. A voz pode estar distorcida. Muitas vezes há estática de fundo. Isso bloqueia o software de reconhecimento de voz.
Depois, há o CAPTCHA contextual. Apresenta um pequeno trecho de texto. O usuário deve interpretar o significado. Algoritmos podem capturar palavras-chave. Eles falham na compreensão real. Eles não entendem a nuance.
Às vezes, o teste simplesmente falha. A imagem está tão distorcida que nem mesmo os humanos conseguem lê-la. É por isso que você recebe um botão “atualizar”. Você tenta novamente. Felizmente, a segunda tentativa não é algo sem sentido.
Quem usa CAPTCHA
A próxima seção analisa quais sites realmente implementam essas verificações para verificar se você não é um bot.
Pesquisa de integridade e abuso de bots
A pesquisa Slashdot de 1999 sobre o melhor programa de pós-graduação em ciência da computação é um alerta. Ele mostrou exatamente o que acontece quando você deixa as pesquisas abertas para scripts automatizados. Estudantes da Carnegie Mellon e do MIT criaram bots para inundar suas respectivas escolas com milhares de votos. Enquanto isso, todas as outras universidades sobreviveram com algumas centenas.
Se o código puder ser votado, os resultados serão lixo.
É por isso que a verificação é importante. Sem filtro, as enquetes online são apenas concursos de popularidade para quem tiver o roteiro mais rápido. CAPTCHA impede que os programadores manipulem o sistema.
Bloqueio de spam bots no registro
Pense na última vez que você se inscreveu no Hotmail, Yahoo! Correio ou Gmail. Você digitou alguns dados pessoais. O serviço não verificou se eram reais. Ele não ligou para você nem verificou sua identidade.
Ele só queria ter certeza de que um bot não estava tentando criar centenas de contas de spam em segundos.
Provedores de e-mail gratuitos usam CAPTCHA para impedir spammers. Sem ele, sua caixa de entrada ficaria entupida com lixo de contas falsas antes mesmo de você terminar de configurar a sua.
Lutando contra cambistas de ingressos
Corretores de ingressos como a TicketMaster também contam com esses filtros. Por que? Para parar os cambistas.
Os cambistas usam bots para comprar milhares de ingressos para grandes eventos em segundos. Fãs legítimos ficam bloqueados. Os eventos esgotam instantaneamente. Os cambistas então revendem esses ingressos a preços inflacionados.
CAPTCHA não para completamente de escalpelar. Isso apenas torna muito mais difícil a compra automatizada em grande escala. Isso retarda os bots. Dá aos humanos reais uma chance de lutar.
Mantendo os quadros de mensagens limpos
As páginas da Web com formulários de contato ou painéis de mensagens enfrentam a mesma ameaça. Uma avalanche de spam pode abafar conversas reais.
Os programas CAPTCHA filtram o ruído. Eles impedem que os bots postem automaticamente mensagens rudes ou assediem os administradores. Não é um escudo perfeito contra um troll humano determinado. Mas isso interrompe a inundação automatizada.
O duplo dever do reCAPTCHA
O CAPTCHA padrão pede que você digite letras e números distorcidos. Mas os criadores encontraram uma maneira de agregar valor a essa tarefa. Eles o usaram para digitalizar livros.
Este é o reCAPTCHA. Ele aproveita suas respostas para verificar o papel digitalizado. Os computadores lutam para ler palavras em digitalizações. Os humanos são bons nisso.
Aqui está o processo:
- O administrador digitaliza um livro.
- O programa escolhe duas palavras da imagem.
- Uma palavra já foi reconhecida.
- Se você digitar corretamente, o sistema assumirá que sua segunda palavra também está correta.
- Essa segunda palavra vai para um pool para outros usuários.
- À medida que mais pessoas digitam, o sistema verifica a palavra com alta certeza.
Parece tedioso. Mas você está fazendo dois trabalhos ao mesmo tempo. Você está provando que é humano. Você também está ajudando os mecanismos de pesquisa a indexar documentos digitalizados.
Criando a verificação
A seguir, daremos uma olhada no processo de criação de um CAPTCHA.
Projetando para a lacuna entre o homem e a máquina
Toda a premissa de um CAPTCHA baseia-se em uma desconexão fundamental. Os humanos percebem o contexto. Instruções de processo de máquinas. Se os dados saírem de um caminho algorítmico rígido, um bot tropeça. Não improvisa. Ele falha.
Um designer deve explorar esta fraqueza. Considere os metadados. É invisível para você. É legível por um script. Se você construir um desafio visual onde a resposta está escondida nos metadados do arquivo de imagem, você já perdeu. Um script simples pode retirar esses dados e revelar a solução instantaneamente.
A distorção não é negociável. O texto simples é um convite aberto para software de reconhecimento óptico de caracteres (OCR). Esses programas examinam formas. Eles reconhecem linhas retas e curvas. Se seus personagens não estiverem distorcidos, distorcidos ou obscurecidos, um bot os lerá mais rápido do que um humano consegue piscar.
Os humanos deveriam ter uma taxa de sucesso de 80%. As máquinas devem ficar em 0,01 por cento.
Este benchmark vem dos especialistas da Microsoft Research, Kumar Chellapilla e Patrice Simard. Eles não apenas adivinharam. Eles calcularam o limite entre usabilidade e segurança.
Existem duas maneiras principais de gerar esses desafios. O primeiro é estático. Você pré-define as imagens e suas soluções. Você precisa de um banco de dados enorme para suportar isso. Por que? Porque um spammer que rouba esse banco de dados pode lançar um ataque de força bruta. Eles apenas percorrem todas as respostas possíveis até que uma delas funcione. Para se manter seguro, você precisaria de um banco de dados com mais de 10.000 CAPTCHAs exclusivos. Isso é pesado. É arriscado.
A segunda maneira é dinâmica. Randomização. O sistema sempre gera uma sequência exclusiva de letras e números. Você nunca verá a mesma sequência duas vezes. Isso mata a abordagem de força bruta. As chances de um bot adivinhar uma sequência longa e aleatória são astronomicamente baixas. Quanto mais longa a corda, mais seguro você estará.
O desafio visual
Como você distorce o texto? Existem alguns truques no kit de ferramentas.
Alguns sistemas esticam e dobram as letras até que pareçam ser vistas através de vidro derretido. É nauseante. Também é eficaz. Outros sobrepõem uma grade hachurada de barras para fraturar o formato das letras. Você pode ver campos de pontos aleatórios ou esquemas de cores conflitantes projetados para confundir o olho e o algoritmo. O objetivo é sempre o mesmo: criar ruído que os humanos possam filtrar, mas as máquinas não consigam analisar.
O reconhecimento de padrões é outro caminho. Em vez de apenas ler o texto, você pode ser solicitado a completar uma sequência. Uma série de formas aparece. Qual deles vem a seguir? Testa a lógica, não apenas a visão. Mas aqui está o problema. Nem todo mundo é bom em raciocínio abstrato. Se o seu quebra-cabeça for muito difícil, sua taxa de sucesso humano cairá abaixo dos críticos 80%. Você começa a bloquear usuários reais. Você troca segurança por acessibilidade. É uma caminhada na corda bamba.
A alternativa de áudio
Você pode me ouvir agora?
Os CAPTCHAs sonoros seguem uma lógica semelhante aos visuais, mas com um meio diferente. Você está ouvindo personagens falados por uma voz sintetizada ou por uma gravação humana real.
A abordagem estática requer pré-gravação de todas as combinações possíveis. Essa é uma enorme biblioteca de áudio. A abordagem dinâmica é mais inteligente. Ele grava fonemas ou caracteres individuais e os agrupa em tempo real. É mais rápido de gerar. É mais difícil indexar.
Mas o áudio não é perfeito. Ruído de fundo. Acentos. Artefatos de síntese. Ele introduz uma nova camada de atrito. Isso resolve o problema? Às vezes. Para alguns usuários, é um salva-vidas. Para outros, é um quebra-cabeça que não conseguem resolver.
A corrida armamentista continua
Vimos como eles são construídos. O próximo passo é vê-los cair. Os computadores estão cada vez melhores nisso. Eles estão aprendendo a ver através da distorção.
O verdadeiro obstáculo não é decifrar o texto. Os humanos deveriam atingir essa taxa de precisão de 80% com facilidade. O verdadeiro pesadelo é ensinar uma máquina a processar informações como o cérebro humano faz. A maioria dos invasores não se preocupa em tornar os computadores mais inteligentes. Eles simplesmente eliminam a complexidade do desafio.
Pense em um formulário web padrão protegido por um CAPTCHA mostrando palavras em inglês. A fonte fica distorcida. As letras se esticam e dobram em padrões caóticos. Um ruído de fundo aleatório fica atrás do texto. Parece algo sem sentido. Foi projetado para ser.
Um programador que quebra isso não começa com IA. Eles começam com um algoritmo. Este é apenas um conjunto de instruções. O primeiro passo pode ser converter a imagem em tons de cinza. A cor é uma camada de ofuscação. Remova-o. Agora você tem ruído preto e branco.
Em seguida, o código procura padrões. Ele compara formas com letras conhecidas. Se a correspondência for fraca, o algoritmo faz referência cruzada dessas letras parciais com um dicionário de palavras em inglês. Adivinha o resto. Essa lógica de força bruta funciona. Às vezes falha. Mas se tiver sucesso com frequência suficiente, os spammers vencem.
Vencendo o Desafio Gimpy
O que acontece quando o CAPTCHA fica mais difícil? Veja a versão Gimpy. Ele exibe dez palavras. Fontes distorcidas. Fundos irregulares. As palavras se sobrepõem. Você deve digitar três corretos para prosseguir.
Parece sólido. Até você olhar para a pesquisa. Greg Mori e Jitendra Malik publicaram um artigo sobre como quebrá-lo. O truque deles? O sistema usa palavras reais. Não são strings aleatórias. Esta é uma fraqueza enorme.
Mori e Malik construíram um algoritmo focado no início e no final de sequências de palavras. Eles usaram o conhecido dicionário de 500 palavras do sistema Gimpy. Eles fizeram testes. O algoritmo identificou palavras corretamente em 33% das vezes.
Esse número parece baixo. Não é. Os spammers não precisam de perfeição. Eles precisam de volume. Se seus bots forem executados centenas de vezes por minuto, uma taxa de sucesso de um em três será lucrativa. A matemática funciona.
Orelhas Eletrônicas
CAPTCHAs de áudio também não são seguros. A primavera de 2008 viu relatos de hackers violando o sistema de áudio do Google. O método era surpreendentemente simples.
Os hackers criaram uma biblioteca de sons. Cada personagem no banco de dados precisava de uma correspondência sonora. A distorção pode significar vários sons para uma letra. Uma vez categorizados, eles usaram variantes de software de reconhecimento de voz. O bot ouviu. Ele interpretou. Ele digitou.
CAPTCHA e Inteligência Artificial
O paradoxo da IA: por que quebrar a segurança ajuda as máquinas a aprender
Luis von Ahn, o professor da Carnegie Mellon que ajudou a inventar o CAPTCHA, vê as coisas de forma diferente do administrador de sistema médio. Numa palestra de 2006, ele enquadrou a batalha entre humanos e bots não como uma guerra, mas como um campo de treinamento para inteligência artificial. A lógica é fria, mas sólida. Spammers e hackers estão obcecados em quebrar CAPTCHAs porque esses testes se interpõem entre eles e seus objetivos. Eles investem tempo e energia para derrotá-los.
Quando conseguem, as máquinas ficam mais inteligentes.
Cada vez que um pesquisador descobre como ensinar um computador a resolver um quebra-cabeça de texto distorcido, damos um passo em direção à verdadeira IA. Para von Ahn, uma derrota para o sistema de segurança é uma vitória para o aprendizado de máquina.
Os administradores da Web, no entanto, consideram esta filosofia menos atraente. Eles ainda têm que lidar com as consequências. Os bots de spam e os scripts maliciosos não se importam com as implicações filosóficas de sua derrota. Eles apenas querem entrar. A realidade é que vários sistemas CAPTCHA já caíram em desuso. Os mantenedores de enquetes online ou sites simples precisam saber quais ferramentas ainda são confiáveis. Eles precisam se manter atualizados. Se um sistema falhar, o código terá que ser eliminado. Ele precisa ser substituído.
Os designers andam na corda bamba. À medida que os computadores se tornam mais sofisticados, os testes devem evoluir. Mas há um limite. Se o teste se tornar tão difícil que os humanos não consigam mais resolvê-lo com uma taxa de sucesso decente, o sistema falhará. Não se trata mais apenas de distorcer o texto. A resposta pode ser uma equação matemática. Ou respondendo a perguntas sobre um conto.
Quantas pessoas se darão ao trabalho de postar uma resposta em um quadro de mensagens se primeiro tiverem que resolver uma equação quadrática?
O interesse do usuário diminui quando o atrito fica muito alto. O equilíbrio é frágil.
A evolução da verificação invisível
O Google mudou o jogo em 2014. A empresa, que adquiriu o reCAPTCHA em 2009, começou a eliminar gradualmente os clássicos desafios de imagem ou texto. Eles introduziram “Sem CAPTCHA”. Foi simples. Uma única caixa com as palavras “Não sou um robô”.
Os usuários clicaram. O mundo seguiu em frente.
Mas em 2017, até isso era óbvio demais. O Google anunciou a remoção do No CAPTCHA. A nova abordagem baseou-se na análise comportamental. Ele observou como você moveu o ponteiro do mouse. Ele analisou seus hábitos de navegação. Isso ficou conhecido como reCAPTCHA invisível.
Se o sistema sinalizasse você como suspeito – talvez você fosse um robô – você seria forçado a resolver um dos desafios padrão mais antigos. Foi um retrocesso. Uma etapa de verificação. O objetivo era manter os bons usuários em movimento enquanto capturava os maus atores sem que eles percebessem.
Esclarecendo a terminologia e a necessidade
Muitas vezes há confusão sobre quem possui o quê e por que essas verificações existem.
O CAPTCHA é do Google?
Não. CAPTCHA é uma tecnologia geral usada em toda a web para garantir que humanos, e não bots automatizados, interajam com um site. O reCAPTCHA do Google é apenas uma implementação desse conceito mais amplo.
O que significa CAPTCHA?
Significa “Teste de Turing Público Completamente Automatizado para diferenciar computadores e humanos”. É um teste de desafio-resposta integrado à computação para verificar a identidade do usuário.
Por que o CAPTCHA é necessário?
Impede que programas automatizados enviem informações falsas. Ele impede que spammers de anúncios promovam golpes em páginas da web. Isso evita que a Internet seja inundada por ruído.
Para onde ir a partir daqui
A paisagem muda constantemente. O que funcionou ontem pode estar quebrado hoje.
Para aqueles que se aprofundam, os tópicos relacionados incluem como funcionam os decifradores de código, a mecânica do spam e a função do spyware. Compreender a criptografia e os vírus de computador fornece contexto sobre por que a segurança é importante. A lógica subjacente de como uma máquina lógica gera números aleatórios também está ligada à aleatoriedade necessária para desafios seguros.
Mais recursos sobre o assunto incluem Gwap e o site oficial do reCAPTCHA. As raízes acadêmicas deste campo estão bem documentadas. Uma pesquisa de Chellapilla e Simard da Microsoft Research destaca como o aprendizado de máquina pode quebrar as provas visuais. Filtragem colaborativa CAPTCHAs foram explorados nos primeiros workshops. A vulnerabilidade do CAPTCHA de áudio do Google foi documentada em 2008. Os spammers quebraram o CAPTCHA do Gmail no mesmo ano.
O Teste de Turing, conforme discutido na Enciclopédia de Filosofia de Stanford, continua sendo a base teórica. O córtex humano ainda vence a CPU em muitas tarefas, conforme observado pela Wired. Mas a lacuna está diminuindo. A visão original de Von Ahn está acontecendo em tempo real. Cada código quebrado é uma lição para a próxima geração de IA.
A questão não é mais se as máquinas passarão nesses testes. É o que acontece quando eles fazem isso. E o que acontece com os humanos que ainda precisam clicar nas caixas.
