I GOTCHA sostituiranno i CAPTCHA?

La maggior parte delle persone che utilizzano Internet avrà familiarità con il test di Turing pubblico completamente automatizzato per distinguere i computer e gli esseri umani, altrimenti noto come CAPTCHA. Questi sono i pezzi di testo distorti che ti viene chiesto regolarmente di identificare per dimostrare che sei umano. Il loro obiettivo è impedire ai bot di accedere ai siti Web, ad esempio per impedire loro di lasciare spam.

I CAPTCHA hanno avuto un enorme successo da quando sono stati introdotti nel 2000 da Luis von Ahn e compagni della Carnegie Mellon University di Pittsburgh. Ma nel gioco del gatto e del topo della sicurezza informatica, era sempre inevitabile che i cattivi spendessero risorse significative nel tentativo di violare il sistema.

E in effetti è successo esattamente questo. Poiché può esserci solo un numero limitato di testi distorti archiviati su un determinato disco rigido, è possibile impiegare persone per decifrarli in condizioni di sfruttamento. Un'altra possibilità è quella di ripubblicare i CAPTCHA su un altro sito Web per i visitatori ignari che li completano pensando di accedere a un sito legittimo. Invece, le soluzioni vengono utilizzate in tempo reale per entrare illegittimamente in un altro sito.

Quindi gli scienziati informatici hanno riflettuto a lungo su come migliorare questo meccanismo per contrastare ancora una volta gli hacker. Oggi, Jeremiah Blocki e gli amici della Carnegie Mellon University affermano di aver trovato un modo per farlo basandosi sugli schemi delle macchie d'inchiostro.

Il nuovo approccio è semplice e si basa su un utente che risponde a una serie di domande quando si registra per la prima volta per accedere a un sito web. Inizia generando una serie di semplici immagini di macchie d'inchiostro posizionando casualmente diverse macchie di inchiostro colorato in una piccola area dello schermo.

Come parte del processo di registrazione, all'utente viene chiesto di scrivere una breve frase che descriva ciascuna di queste immagini.

Quando gli utenti tornano ad accedere al sito con una password, vengono mostrati anche gli schemi delle macchie d'inchiostro e le frasi impostate che li descrivono. Il loro compito è quindi assegnare la frase corretta a ciascun modello.

Chiamano il loro nuovo test GOTCHA (Generazione di panOptic Turing Tests to Tell Computers and Humans Apart).

Blocki e amici dicono che questo dovrebbe sventare un attacco automatico. Sosteniamo che l'avversario che desidera sferrare un attacco economico a basso costo deve ottenere un feedback costante da un essere umano, affermano.

Questo perché solo un essere umano può riconoscere in modo coerente gli schemi e il collegamento alle frasi in mostra - almeno questa è la loro ipotesi.

È un'idea interessante. La capacità umana di riconoscere i modelli supera di gran lunga tutto ciò che i computer possono fare e abbinare questo con l'interpretazione dell'utente dei modelli casuali è intelligente. Ci sono molte prove che il riconoscimento di modelli è più facile che ricordare le password.

Ma solleva la questione di quanto bene le persone ricorderanno la loro interpretazione originale di una macchia d'inchiostro. Questo potrebbe dipendere fortemente dal loro stato d'animo in quel momento, che a sua volta potrebbe essere influenzato da tutti i tipi di variabili locali e temporanee.

Per testare questo, Blocki e co hanno testato l'idea utilizzando Mechanical Turk di Amazon. Hanno invitato 70 turchi a visualizzare una serie di modelli di macchie d'inchiostro e scrivere frasi di identificazione, pagandoli $ 1 per completare l'attività. Quindi, 10 giorni dopo, hanno chiesto agli stessi turchi di riassociare le loro frasi ai motivi delle macchie d'inchiostro, sempre per un pagamento di $ 1.

I risultati non sono del tutto confortanti. Diciassette dei nostri partecipanti hanno abbinato correttamente tutte e dieci le loro etichette e il 69% dei partecipanti ha abbinato correttamente almeno 5 etichette su dieci, dicono.

Blocki e co affermano che i dati indicano che una frazione significativa della popolazione potrebbe utilizzare i GOTCHA. Significa anche che l'uso del nostro GOTCHA dovrebbe essere volontario in modo che gli utenti che hanno difficoltà non vengano bloccati dai loro account, aggiungono timidamente.

È possibile che i test con Turkers non fossero rappresentativi del modo in cui le persone comuni utilizzerebbero i GOTCHA. Ad esempio, i turchi potrebbero aver superato di corsa la prima fase dei test per apprendere i loro soldi più rapidamente.

E potrebbe anche essere possibile migliorare il tasso di riconoscimento, magari consentendo agli utenti di rifiutare le immagini che trovano confuse.

Questo sembra essere un miglioramento chiaro e necessario se i GOTCHA devono diventare una caratteristica comune della sicurezza in Internet.

Rif: arxiv.org/abs/1310.1137 : GOTCHA Password Hacker!

nascondere