Зачем нужна капча и как она отличает человека от бота

Во время регистрации, отправки комментария или восстановления пароля сайт может попросить поставить галочку, ввести символы либо выбрать изображения с определёнными объектами. Так работает капча — автоматическая система, которая пытается определить, кто выполняет действие: человек или программа.

Чтобы понять, зачем нужна капча, достаточно представить бота, способного отправлять тысячи форм каждую минуту. Без дополнительных ограничений такие программы создавали бы поддельные аккаунты, публиковали спам, перебирали пароли и массово скупали ограниченные товары.

Капча увеличивает стоимость и сложность автоматической атаки. При этом она является лишь одним из уровней защиты и не способна самостоятельно остановить все виды злоупотреблений.

Название CAPTCHA является сокращением

Слово CAPTCHA образовано от английской фразы Completely Automated Public Turing Test to Tell Computers and Humans Apart. Её можно перевести как «полностью автоматизированный публичный тест Тьюринга для различения компьютеров и людей».

Термин появился в начале XXI века, хотя похожие проверки использовались и раньше.

Главная особенность такой системы заключается в автоматизации. Компьютер самостоятельно создаёт или выбирает задание, показывает его пользователю, проверяет ответ и решает, разрешать ли дальнейшее действие.

В классическом тесте Тьюринга человек пытается определить, общается он с машиной или другим человеком. В случае с капчей роли частично меняются: сайт проверяет, является ли посетитель человеком.

Боты выполняют действия намного быстрее людей

Автоматические программы могут приносить пользу. Поисковые роботы индексируют страницы, сервисы мониторинга проверяют доступность сайтов, а официальные интеграции передают данные между системами.

Проблему создают боты, которые работают без разрешения или используются для злоупотреблений.

Они способны автоматически:

• отправлять рекламные комментарии;
• регистрировать поддельные аккаунты;
• массово заполнять формы;
• подбирать пароли;
• проверять украденные логины;
• создавать искусственные голоса;
• размещать фальшивые отзывы;
• резервировать билеты и товары;
• собирать информацию со страниц;
• перегружать отдельные функции сайта.

Один человек физически не сможет нажать кнопку десятки тысяч раз за несколько минут. Программа выполняет такие операции автоматически и может одновременно использовать множество адресов.

Капча устанавливает дополнительное препятствие

Сайт обычно не показывает сложное задание каждому посетителю без исключения. Сначала защитная система анализирует запрос и пытается оценить степень риска.

Подозрение могут вызвать слишком высокая скорость действий, необычная последовательность переходов, множество попыток входа или технические признаки автоматизированного браузера.

Если риск невысокий, пользователь сразу продолжает работу. При сомнительном поведении система показывает дополнительное задание.

После успешной проверки браузер получает временный цифровой токен. Он передаётся сайту вместе с формой, а сервер проверяет его действительность.

Токен обычно имеет ограниченный срок действия и привязан к конкретной проверке. Простое копирование старого результата не должно позволять бесконечно обходить защиту.

Искажённые буквы были первым массовым вариантом

Классическая капча показывала изображение с цифрами и буквами. Символы поворачивали, растягивали, перечёркивали линиями и размещали на шумном фоне.

Человеку требовалось распознать текст и ввести его в поле. Ранним программам компьютерного зрения такая задача давалась с трудом.

Со временем распознавание изображений значительно улучшилось. Алгоритмы научились читать искажённые символы, иногда успешнее людей.

Чтобы сохранить эффективность, разработчики делали задания всё сложнее. В результате их становилось трудно выполнять пользователям с нарушениями зрения, пожилым людям и посетителям небольших мобильных экранов.

Сегодня текстовые проверки продолжают встречаться, но считаются неудобным и не самым надёжным вариантом.

Задания с картинками тоже обучают распознавание

Другой распространённый вид капчи просит выбрать изображения с автобусами, велосипедами, лестницами, мостами или пешеходными переходами.

Человек должен понять смысл задания и определить объект даже в сложном ракурсе. Для старых программ это было труднее, чем распознать отдельные символы.

Но современные системы компьютерного зрения уже хорошо анализируют фотографии. Нейросети способны находить автомобили, животных, дорожные знаки и другие объекты.

Поэтому само правильное нажатие на картинки не всегда является единственным сигналом. Система может дополнительно анализировать время выполнения, последовательность действий и другие технические характеристики сеанса.

Галочка проверяет не только щелчок

Фраза «Я не робот» создаёт впечатление, что достаточно поставить галочку. Если бы проверка состояла только из одного нажатия, бот легко выполнил бы её программно.

В действительности система оценивает совокупность сигналов. В зависимости от выбранного сервиса это могут быть особенности браузера, параметры соединения, история взаимодействия со страницей и характер выполнения задания.

Если поведение выглядит обычным, одной галочки бывает достаточно. При сомнениях появляются дополнительные картинки или другая проверка.

Точные алгоритмы намеренно не раскрываются полностью. Если злоумышленники будут знать все критерии, им станет проще имитировать поведение человека.

Невидимая проверка работает в фоне

Современные системы всё чаще обходятся без головоломок. Они проводят оценку риска незаметно и возвращают сайту результат или условный рейтинг доверия.

Посетитель просто отправляет форму, не замечая отдельной проверки. Задание появляется только тогда, когда автоматическая система не уверена в безопасности запроса.

Такой подход уменьшает раздражение пользователей и ускоряет оформление заказа, регистрацию или отправку сообщения.

Полностью невидимая проверка всё равно должна быть настроена внимательно. Ошибка алгоритма может принять реального посетителя за бота или пропустить автоматическую атаку.

Поэтому владелец сайта выбирает допустимый уровень риска и дополнительные действия для подозрительных запросов.

Проверка защищает разные участки сайта

Капчу чаще всего устанавливают возле функций, которыми легко злоупотреблять:

• формы регистрации;
• входа в аккаунт;
• восстановления пароля;
• публикации комментариев;
• отправки сообщений;
• оформления заказа;
• покупки билетов;
• голосования;
• загрузки файлов;
• запроса одноразового кода.

При атаке на вход злоумышленник может автоматически проверять пары логинов и паролей, похищенные с других сайтов. Капча замедляет такие попытки, но не заменяет сложный пароль и двухфакторную аутентификацию.

В интернет-магазине она способна препятствовать массовой покупке дефицитного товара. Однако слишком частые проверки мешают обычным покупателям, поэтому их показывают преимущественно при подозрительных действиях.

Капча не является абсолютной защитой

Современные боты умеют распознавать текст, анализировать изображения и имитировать работу браузера. Существуют и сервисы, где задания за небольшую плату решают реальные люди.

Злоумышленник также может попытаться украсть действующий токен, перенаправить задачу другому пользователю или атаковать функцию сайта, на которой капча отсутствует.

Поэтому надёжная система защиты дополнительно использует:

• ограничение количества запросов;
• блокировку подозрительных адресов;
• анализ поведения;
• защиту веб-приложения;
• подтверждение электронной почты;
• одноразовые коды;
• двухфакторную аутентификацию;
• фильтрацию спама;
• журналирование подозрительных событий.

Капча должна увеличивать сложность атаки, а не быть единственной преградой.

Слишком сложная проверка вредит сайту

Если посетитель несколько раз не может распознать символы или правильно выбрать картинки, он может закрыть страницу, отказаться от регистрации или не завершить покупку.

Особенно трудно выполнять визуальные задания людям с нарушениями зрения, цветового восприятия и моторики. Проблемы возникают и у пользователей экранных дикторов.

Аудиоверсия частично улучшает доступность, но тоже подходит не всем. Её усложняют фоновым шумом, из-за чего слова бывает трудно разобрать людям с нарушениями слуха или тем, кто плохо знает язык задания.

Хорошая система должна предоставлять доступную альтернативу и не заставлять человека повторять проверку без ясной причины.

Иногда капча не принимает правильный ответ

Постоянное появление заданий не обязательно означает, что устройство заражено или пользователь делает что-то запрещённое.

Дополнительные проверки могут вызываться:

• использованием VPN или прокси-сервера;
• общим IP-адресом большого количества людей;
• отключёнными cookie;
• блокировкой JavaScript;
• расширениями защиты приватности;
• устаревшим браузером;
• нестабильным соединением;
• слишком частыми запросами;
• ошибкой самой страницы.

Для решения проблемы можно обновить страницу, проверить работу JavaScript и cookie, временно сменить сеть или отключить VPN. Не следует отключать защитные расширения на незнакомом сайте без уверенности в его безопасности.

Если задание повторяется бесконечно, проблема может находиться на стороне владельца ресурса.

Капча может собирать технические сигналы

Для определения риска защитному сервису необходима информация о текущем сеансе. В зависимости от технологии могут обрабатываться IP-адрес, параметры браузера, характеристики устройства и данные взаимодействия со страницей.

Объём собираемой информации различается у разных поставщиков. Поэтому владельцу сайта необходимо изучить условия выбранного сервиса, отразить обработку данных в политике конфиденциальности и учитывать требования законодательства.

Некоторые современные решения стараются уменьшить зависимость от рекламных cookie и постоянного отслеживания пользователя. Но слово «невидимая» означает отсутствие задания на экране, а не обязательное отсутствие обработки технических данных.

Искусственный интеллект изменяет принцип защиты

Старые капчи строились на задачах, которые людям давались легко, а компьютерам — трудно. Развитие искусственного интеллекта постепенно уменьшает эту разницу.

Алгоритмы хорошо читают текст, узнают предметы и генерируют движения указателя. Поэтому защита смещается от одной головоломки к комплексной оценке риска.

Одновременно владельцам сайтов приходится отличать вредоносных ботов от полезных автоматизированных систем. Например, поисковому роботу может быть разрешён просмотр страниц, но запрещена массовая отправка форм.

Вероятно, будущие проверки будут всё реже просить человека искать светофоры и всё чаще использовать подтверждение подлинности браузера, устройства или сеанса.

Обычному посетителю не нужно бояться капчи

Сама проверка является нормальной частью защиты сайта. Следует внимательно прочитать задание, выполнить его и продолжить работу.

Но фальшивая капча может использоваться мошенниками. Опасно, если неизвестная страница под видом проверки просит:

• скачать программу;
• вставить команду в системное окно;
• установить расширение;
• отправить SMS;
• ввести пароль от другого сервиса;
• включить уведомления без понятной причины;
• сообщить банковские данные.

Настоящая капча обычно ограничивается действием внутри страницы. Она не требует запуска команд на компьютере или передачи секретных сведений.

Небольшая проверка защищает важные функции

Капча нужна для того, чтобы затруднить автоматическую регистрацию, отправку спама, подбор паролей, массовые покупки и другие действия ботов.

Старые варианты предлагали распознавать искажённые символы. Более современные системы используют картинки, галочку или незаметную оценку поведения и технических признаков.

При этом ни одна капча не обеспечивает полной безопасности. Эффективная защита сочетает её с ограничением запросов, фильтрацией трафика, подтверждением аккаунтов и другими механизмами.

Для пользователя хорошая капча должна оставаться почти незаметной, а для автоматической программы — создавать достаточно серьёзное препятствие.