Jeg er ikke en robot!

Et af de mest udbredte våben mod uønsket trafik på hjemmesider er en form for CAPTCHA.

Formålet er at holde automatiske, computerstyrede systemer ude, men lade mennesker komme igennem, og er en måde at bekæmpe bot-trafik, skrabere, automatiske kommentarsystemer, spammere og meget andet.

CAPTCHA står for ”Completely Automated Public Turing test to tell Computers and Humans Apart”, altså en fuldkommen automatiseret måde at kende forskel på mennesker og computere.

Ja, gid det var så vel!

For langt de fleste Captchas er slet ikke automatiske, men kræver ikke bare en indsats fra brugerens side, men faktisk nærmest en anstrengelse.

Find Holger <

De består nemlig for det meste af en opgave, som man antager kan løses af mennesker, men ikke løses af maskiner. Det skulle gerne medvirke til at holde maskinerne ude, men lade mennesker af kød og blod slippe igennem.

Et eksempel kan være at der vises en række billeder hvor brugeren skal vælge nogle ud, fx alle dem med katte i eller dem, der rummer cykler eller trafiklys.

Andre typer består at tekst eller tal, der er forvredet og overstreget på sådan en måde, at det er svært at læse hvad der står. Her skal man så skrive teksten i et felt.

En sidste type er bare en afkrydsningsboks, hvor man skal bekræfte at man ikke er en robot. I denne type Captcha er det brugerens adfærd, der afgør om man består testen. Ventetid, tøven, musebevægelser og andet overvåges, og bruges til at afgøre om der er et menneske bag tastaturet.

AI løser Captchas <

Men selvfølgelig er det et våbenkapløb, og især tilkomsten af kunstig intelligens har gjort Captchas til det rene barnemad for folk, der gerne vil bruge maskiner til at omgå dem.

For hvor rå maskinkraft eller menneskelige Umpalumpaer før var det eneste middel - og var ineffektive eller dyre - så kan AI nu let og elegant løse langt de fleste CAPTCHA’er. Og som det er med AI og trivielle opgaver, så gøres det ofte hurtigere og sikrere end noget menneske kan gøre det.

Der er masser af tjenester på nettet og diverse APIer og kodebiblioteker, der tilbyder at løse Captchaer. Led efter ”AI captcha solver” på nettet, og de myldrer frem.

 

Cloudflare <

Cloudflare er en af verdens største tjenester hvad angår digital infrastruktur. Og vi taler ikke om kabler og hardware her, men om adgangskontrol, sikkerhed, CDNer (Content Delivery Networks), DNS (navneservere), cloud-løsninger, DDOS-forsvar og meget andet.

Der er virkelig mange hjemmesider, der ligger bag Cloudflare i dag, og beror på den amerikanske virksomheds teknologi til at forsvare sig mod cyber-angreb, botter og meget andet.

Det betyder dog at vi mennesker, der med god ret og samvittighed vil tilgå en hjemmeside, i bedste fald støder på en tekst i stil med ”Performing security verification” efterfulgt af nogle sekunders ventetid før vi bliver lukket ind.

I lidt mere grelle tilfælde skal vi bekræfte at vi ikke er en maskine ved at krydse af i en boks.

Jeg er IKKE en robot ... tro, love og ære!

Men som det kan ses af illustrationen her, så tror ikke engang Folketinget på mig. Jeg taster folketinget.dk ind i min browser, og paces igennem to Cloudflare-udfritninger og en cookie-ditto. Nej, det er ikke nemt at komme i Folketinget!

Bekræftelseskoder <

En anden måde, som efterhånden er meget udbredt, er at sende bekræftelseskoder via mail eller SMS. De er ofte blot 4 eller 6 cifre, som skal tastes eller kopieres fra en besked og ind på hjemmesiden før man bliver lukket ind.

De ligger for det meste i forlængelse af en almindelig login-dialog, hvor man allerede har tastet brugernavn og adgangskode. Trods dette synes mange sites at man lige skal give ekstra til kende at man virkelig er sig selv, og bekræfte at man har adgang til sin mail eller telefon.

Jeg forstår til fulde ønsket om den ekstra bekræftelse når man tilgår fx personfølsomt indhold, men det ekstra trin er alligevel møgirriterende, og kræver igen min indsats og koncentration.

Pastejacking <

De mange forskellige tests, som vi brugere skal igennem for at komme ind på helt almindelige hjemmesider, gør desværre nogle af os blinde overfor snyd.

Vi er efterhånden så vant til de mange spørgsmål og opgaver, at vi udfylder og løser dem uden at tænke.

Det udnyttes selvfølgelig af folk med mindre pæne hensigter. På visse hjemmesider dukker der noget op, der til fulde ligner en test fra fx Cloudflare.

Den siger at man skal bekræfte med en kode ved at trykke Ctrl-R og Ctrl-V for at indsætte den i en bekræftelsesdialog.

Problemet er at dialogen er maskinens kommandolinje og koden er en kommando, der installerer malware på maskinen.

Når det er sket takker siden venligst og går videre, men brugeren har uvidende installeret en vidtåben bagdør på sin maskine.

Fænomenet kaldes generelt pastejacking, men kendes også som clicklock eller clickfix, og er et godt eksempel på at sikkerhed bliver til mangel på sikkerhed fordi brugerne overvældes og trættes af den.

Som cookie-dialoger, der i bund og grund ingen virkning har, fordi alle bare trykker OK, videre. Vi kan sortere og blokere uønskede cookies, men 99% af brugerne gør det ikke.

Umærkelig udelukkelse <

Den ideelle udelukkelse af uønsket trafik sker uden at brugerne mærker det.

Jeg skrev for nylig om hvordan jeg var plaget af crawlere på en stor og velbesøgt hjemmeside, og nogle få - men ret tekniske - sværdslag gjorde det af med størstedelen af den.

Brugerne mærker intet, men botter og crawlere vises hen hvor peberet gror før de overhovedet er kommet ind på siden.

Cloudflare er ved at lave noget lignende på deres tjeneste, som snart vil vise AI-crawlere ud ad bagdøren hvis de forsøger at crawle en side, der gemmer sig bag den amerikanske tjeneste.

Da virkelig mange hjemmesider bruger Cloudflare, vil det forhåbentlig frigøre en del trafik - og måske spare os brugere for at skulle bekræfte at vi er mennesker og vente på at maskinerne godtager vores påstand.