У нового reCAPTCHA от Google есть темная сторона

Мы все пытались зайти на сайт или отправить форму только для того, чтобы застревать, щелкая ящики светофоров, витрин или мостов в отчаянной попытке окончательно убедить компьютер, что мы на самом деле не бот.

В течение многих лет это был один из преобладающих способов, с помощью которого reCaptcha - детектор интернет-ботов, разработанный Google, - определял, является ли пользователь ботом или нет. Но прошлой осенью Google запустил новую версию инструмента с целью полного устранения этого раздражающего пользовательского опыта. Теперь, когда вы вводите форму на веб-сайте, который использует reCaptcha V3, вы не увидите флажок «Я не робот», и вам не нужно будет доказывать, что вы знаете, как выглядит кошка. Вместо этого вы вообще ничего не увидите.

«Это лучший опыт для пользователей. Каждый провалил проверку Captcha », - говорит Сай Хормее, ведущий специалист по Google ReCaptcha. Вместо этого Google анализирует способы навигации пользователей по веб-сайту и присваивает им оценку риска на основе того, насколько вредоносным является их поведение. Хормаи не поделится тем, какие сигналы Google использует для определения этих показателей, потому что, по его словам, мошенникам будет проще имитировать доброкачественных пользователей, но он считает, что эта новая версия reCaptcha делает его невероятно трудным для ботов или капч-фермеров - людей, которым платят крошечные суммы, чтобы взломать Captchas онлайн - чтобы обмануть систему Google.

«Вы должны понимать, каким должно быть поведение на сайте, и имитировать это достаточно хорошо, чтобы обмануть нас», - говорит он. Затем администраторы сайта получают доступ к оценкам рисков своих посетителей и могут решать, как с ними обращаться: например, если пользователь с высокой оценкой риска пытается войти в систему, веб-сайт может установить правила, чтобы попросить их ввести дополнительную информацию проверки через двухфакторную аутентификацию. Как выразился Khormaee, «в худшем случае у нас есть небольшие неудобства для законных пользователей, но если есть злоумышленник, мы предотвращаем кражу вашей учетной записи».

По данным сайта технической статистики Built With, более 650 000 сайтов уже используют reCaptcha v3; в целом, по крайней мере 4,5 миллиона веб-сайтов используют reCaptcha, в том числе 25% из 10000 лучших сайтов. Google также сейчас тестирует корпоративную версию reCaptcha v3, где Google создает настраиваемую reCaptcha для предприятий, которые ищут более детальные данные об уровнях риска пользователей, чтобы защитить свои алгоритмы сайта от злоумышленников и ботов.

Но эта новая система, основанная на оценке риска, имеет серьезный компромисс: конфиденциальность пользователей.

По словам двух исследователей безопасности, которые изучали reCaptcha, один из способов, по которым Google определяет, являетесь ли вы злоумышленником, заключается в том, есть ли у вас уже установленный файл cookie Google в вашем браузере. Это тот же файл cookie, который позволяет открывать новые вкладки в вашем браузере и не требует повторного входа в свою учетную запись Google каждый раз. Но, по словам Мохамеда Акрута, аспиранта в области компьютерных наук в Университете Торонто, который изучал reCaptcha, похоже, что Google также использует свои cookie-файлы, чтобы определить, является ли кто-то человеком в тестах reCaptcha v3. Акрут написал в апрельской газете о том, как моделирование reCaptcha v3, которое выполнялось в браузере с подключенной учетной записью Google, получило более низкие оценки риска, чем браузеры без подключенной учетной записи Google. «Если у вас есть учетная запись Google, скорее всего, вы человек», - говорит он. Google не ответил на вопросы о роли, которую cookie-файлы играют в reCaptcha.

С reCaptcha v3, технический консультант Marcos Perona и тестировщик Akrout оба обнаружили, что их оценки reCaptcha всегда были низкими, когда они посещали тестовый веб-сайт в браузере, где они уже вошли в учетную запись Google. Кроме того, если они заходили на тестовый веб-сайт из частного браузера, такого как Tor или VPN, их оценки были высокими.

Для правильной работы этой системы оценки рисков администраторы веб-сайтов должны встраивать код reCaptcha v3 на все страницы своего веб-сайта, а не только в формы или страницы входа. Затем reCaptcha со временем узнает, как обычно действуют пользователи их веб-сайта, помогая алгоритму машинного обучения, лежащему в его основе, генерировать более точные оценки рисков. Поскольку reCaptcha v3, скорее всего, будет присутствовать на каждой странице веб-сайта, если вы вошли в свою учетную запись Google, существует вероятность того, что Google получает данные о каждой отдельной веб-странице, на которую вы переходите, которая встроена в reCaptcha v3 - и на сайте нет визуального указания на то, что это происходит, за небольшим логотипом reCaptcha, скрытым в углу.

Google рекомендует администраторам сайтов размещать reCaptcha на всех своих сайтах, а затем делиться полученными оценками рисков с этими администраторами, что очень важно для безопасности, считает Перона, потому что он говорит, что «дает владельцам сайтов больше контроля и видимости того, что происходит» с потенциальным мошенником и атаки ботов, и система даст администраторам более точные оценки, чем если бы reCaptcha использовал данные только с одной веб-страницы для анализа поведения пользователей.

Этот вид сбора данных на основе файлов cookie происходит в других местах в Интернете. Гигантские компании используют его как способ оценки того, куда их пользователи переходят при просмотре веб-страниц, что затем может быть связано с предоставлением более целенаправленной рекламы. Например, cookie Google reCaptcha следует той же логике, что и кнопка «Мне нравится» в Facebook, когда она встроена в другие веб-сайты - она ​​дает этому сайту некоторую функциональность в социальных сетях, но также позволяет Facebook знать, что вы там просматривали. Ранее Google заявлял, что данные, полученные с помощью reCaptcha, не используются для таргетинга объявлений или анализа интересов и предпочтений пользователей, хотя компания отказалась комментировать конкретно данные о поведении пользователей из reCaptcha v3.

Перона рассматривает использование Google reCaptcha как «захват онлайн пространства», который усиливает влияние Google на Интернет. Он считает, что reCaptcha похожа на другие продукты Google, такие как Accelerated Mobile Pages (AMP), программу, позволяющую быстрее загружать страницы новостных сайтов на мобильных устройствах.

«Это всегда обоюдоострый меч», - говорит Перона. «Вы получаете что-то, но вы также даете Google немного больше контроля над всем в Интернете». Выгода - это безопасность и улучшенный пользовательский интерфейс, но может пострадать конфиденциальность.

Google не решал никаких потенциальных проблем с конфиденциальностью и настаивал на том, что reCaptcha v3 является вопросом корпоративной ответственности. Он рассматривает reCaptcha v3 как способ обеспечения безопасного и беспроблемного онлайн-общения. «Google настолько глубоко интегрирован с интернетом», - говорит Хормее. «Мы хотим сделать все возможное, чтобы защитить его».

Перевод статьи: Google’s new reCAPTCHA has a dark side