Como o Google ' s “ Sem Captcha reCaptcha ” funciona?

Esta não é realmente uma boa pergunta para o stackexchange, pois o Google está mantendo seus algoritmos em segredo, então tudo o que podemos realmente fazer é adivinhar como eles funciona, mas meu entendimento é que o novo sistema analisará sua atividade em todos os serviços do Google (e possivelmente em outros sites sobre os quais o Google tem algum controle, como sites que têm anúncios do Google).

Assim, , é provável que as verificações não se limitem apenas à página que contém a caixa de seleção. Por exemplo, se eles detectarem que seu computador / endereço IP que você está usando também foi usado no passado para fazer coisas que um ser humano normal faria – coisas como verificar o Gmail, pesquisar na pesquisa do Google, enviar arquivos para o Drive, compartilhar fotos, navegar a web etc. – então provavelmente pode haver uma certeza razoável de que você é um humano e permitir que você ignore a verificação da imagem. Por outro lado, se ele não puder associar seu computador a nenhuma atividade anterior semelhante à humana, será mais suspeito e fornecerá a verificação de imagem. Embora o comportamento do mouse ao clicar na caixa de seleção possa ser um fator que analisa, com certeza há muito mais do que isso.

Mais uma vez, não sabemos ao certo como funciona. Este é apenas meu melhor palpite com base no pouco que o Google disse:

Embora a nova API reCAPTCHA possa parecer simples, há um alto grau de sofisticação por trás aquela caixa de seleção modesta. CAPTCHAs há muito confiam na incapacidade dos robôs de resolver textos distorcidos. No entanto, nossa pesquisa mostrou recentemente que a tecnologia de Inteligência Artificial de hoje pode resolver até mesmo a variante mais difícil de texto distorcido com precisão de 99,8%. Assim, o texto distorcido, por si só, não é mais um teste confiável.

Para contrariar isso, no ano passado, desenvolvemos um back-end de análise de risco avançada para o reCAPTCHA que considera ativamente o envolvimento total de um usuário com o CAPTCHA – antes, durante e depois – para determinar se esse usuário é humano. Isso nos permite confiar menos na digitação de texto distorcido e, por sua vez, oferece uma melhor experiência para os usuários. Falamos sobre isso em nossa postagem do Dia dos Namorados no início deste ano.

Para mim, o ponto sobre “antes, durante e depois do uso” é uma dica forte que analisam o comportamento de navegação anterior, mas minha interpretação pode estar errada.

Aqui está uma citação de WIRED:

Em vez de depender no teste de palavra distorcida tradicional, o “reCaptcha” do Google examina pistas que todo usuário fornece involuntariamente: endereços IP e cookies fornecem evidências de que o usuário é o mesmo humano amigável que o Google lembra de qualquer lugar na Web. E Shet diz que até mesmo os pequenos movimentos do mouse do usuário faz com que paire e se aproxime de uma caixa de seleção pode ajudar a revelar um bot automatizado.

Há outro tópico no stackoverflow discutindo isso também: https://stackoverflow.com/questions/27286232/how-does-new-google-recaptcha-work

Quanto à verificação de imagem, você não conseguirá encontrar essas imagens com imagem reversa pesquisar ou compilar um banco de dados deles. Geralmente são placas de rua ou números de casas aleatórios capturados pelos carros do Street View do Google, ou palavras de livros que foram digitalizados para o projeto do Google Livros. Há um bom propósito por trás disso – o Google realmente usa o que as pessoas digitam no reCaptcha para melhorar seus próprios bancos de dados e treinar algoritmos de OCR. O reCaptcha dá a mesma imagem a vários usuários e, se todos concordarem com o que está escrito, a imagem se torna um dado de treinamento para a IA do Google.

Da wikipedia:

O serviço reCAPTCHA fornece sites assinantes com imagens de palavras que o software de reconhecimento óptico de caracteres (OCR) não foi capaz ler. Os sites assinantes (cujos objetivos geralmente não estão relacionados ao projeto de digitalização do livro) apresentam essas imagens para serem decifradas por humanos como palavras CAPTCHA, como parte de seus procedimentos normais de validação. Eles então retornam os resultados ao serviço reCAPTCHA, que os envia aos projetos de digitalização.

O reCAPTCHA trabalhou na digitalização dos arquivos do The New York Times e de livros do Google Books. [3] Em 2012, trinta anos do The New York Times foram digitalizados e o projeto planejado para completar os anos restantes até o final de 2013. O arquivo agora concluído do The New York Times pode ser pesquisado no Arquivo de artigos do New York Times, onde mais de 13 milhões de artigos no total foram arquivados, datando de 1851 até os dias atuais.

Comentários

• Você pode fornecer alguma fonte para sua resposta?
• Você pode estar certo. Eu me perguntei sobre um possível conflito com sua Política de Privacidade , mas lendo a forma ampla como ela é formulada, especialmente sua Como usamos as informações que coletamos , parece compatível: « Usamos as informações que coletamos de todos os nossos serviços para fornecer, manter, protegê-los e aprimorá-los para desenvolver novos e proteger o Google e nossos usuários. Também usamos essas informações para oferecer a você conteúdo personalizado ».
• No entanto, isso nunca bloqueia você se você limpar o teste de imagem. (independentemente da história anterior)
• Olá! Achei essa resposta muito interessante. Mas se o Google já tem certeza de que você ‘ é um humano, por que se incomoda em exibir um CAPTCHA?
• @EliRose Uma parte significativa do reCaptcha a implementação é uma verificação do lado do servidor do widget ‘ s token de segurança . O site precisa verificar se ‘ não está sendo falsificado. Isso acontece na interação do usuário com o widget.

Eu também costumava me surpreender com isso. Então, o que eu fiz, no Chrome, abra o modo incógnito, navegue em um site que tenha o novo Google CAPTCHA e marque a caixa. Bem, isso não me ajudou, em vez disso, ele mostra uma série de imagens e me pede para selecionar imagens relacionadas a uma imagem.

Isso mostra que o Google está constantemente rastreando nosso comportamento para determinar se somos humanos ou não.

Comentários

• Você poderia explicar como isso responde à pergunta? Talvez eu ‘ esteja perdendo algo, mas não ‘ não veja como isso aborda os possíveis ataques que o OP menciona.
• @SLBarth: parece fornecer suporte (usando uma formatação que não ‘ cabem em um comentário) para a explicação dada por tlng05 ‘ s resposta.
• @BenVoigt sim, eu estava apenas tentando me comportar como uma máquina e ver como o Google reage. Excluir cookies, histórico e cache também aciona a mesma coisa.
• Eu ‘ suponho que você está no Reino Unido.

  Caminhão comercial ” não significa nada para nós aqui nos EUA. Então, ainda mais interessante é que o Google está tornando-o geograficamente contextual.

• E uma observação, o Chrome é também um produto do Google.

Quando você clica em Não sou um robô ele envia uma solicitação HTTP para o Google com um monte de informações úteis, como

• Seu endereço IP
• Seu país
• Timestamp

Informações do seu navegador, como a maneira como você move o cursor antes de entrar na caixa de seleção. Como você está rolando a página antes do clique. O intervalo de tempo entre diferentes eventos do navegador e muitas outras variáveis que o Google mantém em segredo.

Todos esses critérios são processados pela análise de risco do aprendizado de máquina no Google e, na maioria das vezes, as informações podem dizer a diferença entre um ser humano e um bot, mas se o mecanismo de análise de risco ainda não tiver certeza, a pequena porcentagem de usuários muitas vezes conclui um desafio adicional.

É aí que entra Reconhecimento de imagem CAPTCHA . Se você provar que é humano dessa forma então, é provável que o mecanismo do Google se lembre e da próxima vez, depois de clicar nessa caixa de seleção, você poderá passar direto por eles.

Pelo que vi, a lógica é a seguinte:

• Se o usuário não estiver conectado na Conta do Google (no navegador), ele receberá um captcha visível.
• Se o usuário estiver conectado , dependendo de seu histórico de atividades anteriores (provavelmente no Google) ( nessa página ou antes de navegar até lá), há dois cenários possíveis:
  1. Você não receberá nenhum captcha
  2. Você obterá captcha mais fácil (ou seja, 1 labirinto em vez de 4 labirintos)

O que não consigo entender bem, é qual é o uso de checkbox captchas quando o algoritmo tem já detectou que você é um humano.

Comentários

• A caixa de seleção garante que os dados de movimento do mouse sejam registrados para enviar o captcha, entre outras coisas

Ele faz várias coisas. Ele verifica seu endereço IP e cookies. Observa como você clica e como o mouse se move antes de clicar. Usar uma ferramenta de clique automático geralmente faz com que o Google pareça uma imagem.