Google chce, byś pomachał do kamerki. Boty już to przechytrzyły przedpremierowo
Walka z botami przybiera groteskową formę. Nowy pomysł Google’a każe użytkownikom gestykulować przed kamerką internetową, by udowodnić, że są ludźmi. Testy pokazują jednak, że statyczne zdjęcie machającej ręki wystarczyło, by oszukać system.
Ironia losu dopadła inżynierów z Mountain View. Zamiast raz na zawsze pokonać boty, dali internautom kolejny powód do frustracji — a automaty dostały bilet wstępu na salony, zanim jeszcze nowy system trafił do powszechnego użytku. Mowa o testowanej właśnie nowej odsłonie reCAPTCHA, która zamiast klikania w sygnalizatory świetlne każe nam… pomachać do kamerki internetowej.
Człowieku, pokaż dłoń
→ Czytaj też: Google wypuszcza tani model AI do cyberbezpieczeństwa. Konkurencja dla Mythos za ułamek ceny
Mechanizm opisano w dokumentacji Google Cloud dotyczącej reCAPTCHA. Jak zauważył serwis Android Authority, wybrani użytkownicy mogą zostać poproszeni o udostępnienie kamery, a następnie wykonanie prostego gestu — na przykład machnięcia ręką lub pokazania otwartej dłoni. System analizuje krótki materiał wideo, wyodrębnia z niego 21 charakterystycznych punktów odpowiadających stawom i elementom dłoni. Na tej podstawie ocenia, czy przed kamerą znajduje się żywy człowiek.
Google podkreśla, że nagrania nie są powiązane z tożsamością użytkownika, dźwięk nie jest rejestrowany, a materiały wideo mają być automatycznie usuwane po zakończeniu sprawdzania. Dokumentacja zawiera jednocześnie zapis, że informacje zbierane przez firmę są wykorzystywane i przechowywane zgodnie z Polityką prywatności Google. „Tak więc nie ma pewności, ile informacji Google zostawia sobie po pomachaniu do reCAPTCHA” — ocenia Malwina Kuśmierek z Spider’s Web.
21 punktów na dłoni, zero punktów dla bezpieczeństwa
→ Czytaj też: Ręce, które wkręcą żarówkę i zerwą winogrono. Robot wkroczy do domów jeszcze w tym roku
Problem w tym, że zabezpieczenie zostało złamane szybciej, niż ktokolwiek zdążył się nim zmęczyć. Serwis Tom’s Hardware poinformował, że testerom udało się zaliczyć weryfikację przy użyciu statycznego zdjęcia przedstawiającego osobę machającą ręką. Obraz wyświetlono przez narzędzie OBS Virtual Camera, które emuluje kamerę internetową. Po odpowiednim ustawieniu kadru system zaakceptował próbę jako poprawną.
Mamy więc sytuację kuriozalną. Użytkownik musi wykonać przed ekranem sekwencję gestów niczym uczestnik castingu do programu rozrywkowego, podczas gdy bot prześlizguje się obok zabezpieczeń z wydrukowaną fotografią. To nasuwa zasadnicze pytanie: czy ta technologia w ogóle ma sens?
Liczba zautomatyzowanych żądań w internecie stale rośnie, a obecnie dostępne metody odróżniania „człowieka od bota” coraz częściej zawodzą.
Więcej wykluczeń niż korzyści
Google uwzględniło w projekcie osoby, które nie mogą wykonać wymaganych gestów. W takich przypadkach reCAPTCHA automatycznie przełącza się na dotychczasowe metody weryfikacji — zagadki graficzne lub dźwiękowe. Firma zapowiada rozwój kolejnych rozwiązań poprawiających dostępność systemu. Mimo to mechanizm dodaje dodatkową warstwę czynności, które użytkownik musi wykonać podczas logowania lub zakładania konta.
Niepokój budzi również kwestia prywatności. Owszem, Google deklaruje, że dźwięk nie jest nagrywany, a wideo usuwane. Trudno jednak zapomnieć, że mówimy o firmie, której model biznesowy opiera się na gromadzeniu danych. Kamera internetowa staje się następnym czujnikiem, który — przynajmniej teoretycznie — może zostać wykorzystany w sposób wykraczający poza deklarowany cel.
Czy da się to zrobić lepiej?
To niejedyna próba unowocześnienia CAPTCHA. Cloudflare, Google, Mozilla i Microsoft zaprezentowały niedawno propozycję standardu Private Access Control Tokens (PACT). Rozwiązanie ma zastąpić tradycyjne testy kryptograficznym potwierdzeniem autentyczności użytkownika. W założeniu — bez irytujących zagadek i bez machania rękami przed kamerą. Autorzy projektu argumentują, że dotychczasowe metody nie nadążają za rosnącą skalą zautomatyzowanych żądań w sieci.
Tymczasem eksperymentalna reCAPTCHA pozostaje testem — i to najpewniej jeszcze długo. Google nie poinformował, czy test zakończy się wdrożeniem funkcji dla wszystkich użytkowników. Jedno jest pewne: jeśli mamy udowadniać swoje człowieczeństwo przed ekranem, technologia powinna dawać nam coś więcej niż fałszywe poczucie bezpieczeństwa.
