Alternativa pa CAPTCHA

Kiko ta CAPTCHA?

Kreá pa distingui kompiuter for di hende, un CAPTCHA hopi biaha ta pidi bo hasi algu ku un kompiuter no por hasi fásil. Pesei e sigla ta nifiká: Completely Automated Public Turing test to tell Computers and Humans Apart. Esnan ku ta traha website ta usa CAPTCHA pa protehá nan formularionan di web kontra spam outomátiko i abusu.

CAPTCHAnan típiko ku bo por topa riba internet (krédito di potrèt: Wikipedia i Google)

Dikon bo tin mester di protekshon pa bo formulario?

Un formulario di web típiko ta usa dos pasu:

yena informashon: Bo yena algun informashon i despues bo klik riba "SUBMIT" (of algu similar) pa sigui.
prosesá informashon: E informashon ku bo a yena ta wòrdu prosesá pa un server, i kisas e ta manda bo mensahe of petishon pa e email di alguien.

Un formulario di web típiko: e server ta prosesá informashon di un persona i ta manda esaki pa otro hende, manera bo mes. Hende malbado por fásil pretendé ta e persona ku ta manda, i asina nan ta pone abusu outomátiko posibel riba bo server di prosesamentu

E problema ku e manera típiko aki ta ku e promé pasu por wòrdu outomatisá fásil pa hende malbado. Nan ta usa un otro kompiuter pa manda informashon na e server over i over, i asina nan ta forsa e server pa prosesá un montón di informashon, hopi biaha ku mensahe di spam aden. Hacker ta partikular interesá pa haña formularionan di web kaminda nan por manipulá e adrès "TO", pasobra anto nan por usa bo server pa manda mensahe di spam na kualkier hende den mundu.

Un CAPTCHA ta protehá bo formulario pa impidi ku un kompiuter manda informashon outomátiko na bo server.

Problemanan ku CAPTCHA

Ku honestidat, mi ta pensa ku nan ta feo i difísil pa usa, i mi no ta so. Nan ta pone un drumpel pa hende: nan ta baha e tasa di konversion, e tasa di klik, etc. Aparte di esei, hopi biaha nan ta hopi inamigable pa hende ku bista no ta masha bon.

Kritikonan tambe ta keha ku Google ta unu di e proveedornan mas popular di tèst di CAPTCHA gratis. Un por puntra dikon nan ta ofresé e servisio aki debalde? Ta un manera ekselente pa nan drenta den hopi biahe di kliente (komersial), i alimentá nan algoritmonan ku mas dato pa traha profil di hende. Ta algu pa tene kuenta ku esaki si bo duna privasidat importansia i si bo ta tene kuenta ku lei di GDPR/cookie.

Alternativa

Pesei mi a disidí pa kreá un alternativa efektivo pa CAPTCHA, pa usa riba e formularionan di web ku mi ta traha pa mi klientenan. Mi manera ta tin dos parti:

skonde: mayoria di hende malbado ta buska blanko posibel dor di buska kualkier tag FORM, ku hopi biaha ta wòrdu usa pa traha formularionan di web. Mi formularionan no tin e tag FORM, ma nan ta usa otro elementonan komun manera DIV: un kamuflahe perfekto. Si nan no por mira e, nan no por kibr'e tampoko.
fortalesé: mi formularionan di web ta usa un pasu adishonal pa hasi e abusu mas difísil pa outomatisá. Mi ta yama esaki "haña un selo di korreo" promé ku manda.

Firma kriptográfiko promé ku manda: e selo di korreo

Bo mester komprendé ku hende malbado ta pensa ekonómiko: nan ta hasi esfuerso so si e gananshi potensial ta bal la pena. Si bo hasi e abusu di bo formulario sufisiente difísil pa nan, probabilidat ta ku nan lo sigui bai i laga e kos ta. Promé ku mi splika kiko mi a hasi, mi mester avisá bo:

Disclaimer: Bo mester konsiderá e meta di bo protekshon di formulario. Den mi kaso e ta redusí (hopi) e kantidat di mensahe di spam, miéntras ku mi ta konservá amabilidat pa usuario. Esaki ta laga mi pensa riba un sistema ku no ta duna protekshon "resistente na bòm" pa fuerza, ma si bo ta purba protehá sekretonan nuklear, e manera aki kisas no ta bon pa bo. Konsiderá bo modelo di amenasa semper!

Pa protehá formularionan di web mi ta introdusí un pasu ekstra ku mi a yama "haña un selo di korreo". E pasunan di e formulario di web protehá ta bira asina:

yena informashon: Bo yena algun informashon i despues bo klik riba "SUBMIT" (of algu similar) pa sigui.
haña selo di korreo: Djis promé ku e informashon real wòrdu mandá, bo aparato ta kontaktá e server pa pidi un token kriptográfiko ku ta bai ku e karakterístikanan di e informashon real i di e remitente. Esaki ta pasa den apénas algun milisegundo, hende no ta nota esaki. Pensa riba e token manera un selo di korreo, spesífiko pa e paketi ku bo ta manda, i pa wòrdu usa un biaha so.
prosesá informashon: E informashon ku bo a yena ta wòrdu kombiná ku e token kriptográfiko i mandá na e server. Si e token ta válido, e informashon ta wòrdu prosesá manera normal. Token inválido ta wòrdu ignorá simpel, ku ta importante pa hasi reverse engineering hopi difísil, pasobra e no ta duna ningun feedback (e server semper ta bisa "OK" :-) )!

Dor di introdusí un token úniko, pa usa un biaha so, pa kada mensahe, e ta bira hopi mas difísil pa hende malbado outomatisá e mandamentu di mensahe, i asina bo formulario ta keda protehá kontra spammer

Ta for di 2016 mi ta usa e manera aki, i e servernan ku ta prosesá e mensahenan a maneha literal miyones di mensahe, ku masha poko mensahe (<100) ta spam. Si bo wak mas di serka, mayoria di e spam ku ta pasa ta "trabou manual": kisas hende malbado ku ta investigá e mekanismo. Ya ku parse ta rekerí hopi esfuerso pa kibra e sistema, i esaki ta hasi e hopi efektivo pa logra mi meta di protehá e formularionan di web.

Konklushon

Ta komprendibel ku CAPTCHA ta hopi popular, ma, no ta semper nesesario pa tin nan riba bo formularionan di web si bo konsiderá alternativanan. Mi konseho ta: hasi e mas difísil pa hende malbado i mas fásil pa bo públiko!