کالبدشکافی کپچای نامرئی: سایت‌ها چگونه بدون هیچ تستی می‌فهمند شما ربات نیستید؟

برای مهندسان امنیت سایبری، سیستم‌های جدید «کپچای نامرئی» یک سپر دفاعی بی‌نقص هستند که انسان‌ها را از ربات‌ها بدون ایجاد هیچ‌گونه مزاحمتی جدا می‌کنند. اما برای مدافعان حریم خصوصی، همین سیستم‌ها ابزارهای نظارت جمعی محسوب می‌شوند که حرکات ناخودآگاه، ریتم تایپ کردن و تاریخچه مرورگر ما را برای تغذیه اکوسیستم‌های تبلیغاتی جمع‌آوری می‌کنند. حقیقت این است که هر دو گروه در حال توصیف یک مکانیزم واحد هستند. ما دیگر نیازی به اثبات انسان بودن خود نداریم، زیرا رفتار فیزیکی ما در فضای دیجیتال در هر ثانیه در حال تحلیل است.

روزگاری نه چندان دور، اثبات انسانیت در اینترنت نیازمند رمزگشایی از حروف درهم‌ریخته یا کلیک کردن روی تصاویر چراغ راهنمایی و خط عابر پیاده بود. این فرآیند که طبق داده‌های صنعت امنیت بین ۱۰ تا ۳۵ ثانیه از وقت کاربر را می‌گرفت، با معرفی نسخه سوم ریکپچای گوگل (reCAPTCHA v3) در سال ۲۰۱۸ برای همیشه تغییر کرد. این سیستم جدید، کادر معروف «من ربات نیستم» را به طور کامل حذف کرد و به جای آن، یک سیستم ارزیابی ریسک خاموش را جایگزین نمود.[1]

در این معماری جدید، هیچ چالشی به کاربر نمایش داده نمی‌شود. در عوض، یک رابط برنامه‌نویسی در پس‌زمینه سایت اجرا شده و برای هر درخواستی که به سرور ارسال می‌شود، امتیازی بین ۰.۰ تا ۱.۰ برمی‌گرداند. نمره ۰.۰ به معنای اطمینان از ربات بودن کاربر و نمره ۱.۰ به معنای تایید انسانیت اوست. مدیران سایت‌ها بر اساس این عدد تصمیم می‌گیرند که آیا کاربر می‌تواند وارد حساب خود شود یا باید با موانع امنیتی بیشتری روبرو گردد. اما این سیستم چگونه بدون پرسیدن هیچ سوالی، به این عدد دست می‌یابد؟[1]

پاسخ در مفهومی به نام «بیومتریک رفتاری» نهفته است. سیستم‌های ضد ربات مدرن، به جای تمرکز بر پاسخ نهایی شما، مسیر رسیدن به آن پاسخ را بررسی می‌کنند. آن‌ها ریزترین حرکات نشانگر موس، سرعت اسکرول کردن صفحات، مکث‌های کوتاه قبل از کلیک و حتی ریتم فشردن کلیدهای کیبورد را ثبت می‌کنند. این داده‌ها با سرعت میلی‌ثانیه جمع‌آوری و تحلیل می‌شوند تا یک پروفایل رفتاری کامل از بازدیدکننده ساخته شود.[2]

تفاوت بنیادین انسان و ماشین در «آشفتگی» است. محققان شرکت آی‌بی‌ام (IBM) در بررسی‌های خود به یک اصل ساده رسیده‌اند: «حرکات یک انسان معمولاً آشفته‌تر است، در حالی که حرکات ربات‌ها دقیق‌تر هستند.» یک ربات برای کلیک روی یک دکمه، موس را در یک خط صاف و با سرعتی ثابت حرکت می‌دهد. اما دست انسان دارای لرزش‌های طبیعی، اصلاح مسیرهای ناخودآگاه و توقف‌های لحظه‌ای است که شبیه‌سازی آن‌ها برای الگوریتم‌ها از نظر محاسباتی بسیار پرهزینه است.[3]

با این حال، این سطح از تحلیل رفتاری هزینه‌های پنهانی برای حریم خصوصی به همراه دارد. برای اینکه سیستم‌هایی مانند ریکپچا نسخه ۳ بتوانند با دقت بالایی کار کنند، نیازمند جمع‌آوری حجم عظیمی از داده‌ها هستند. این سیستم علاوه بر حرکات موس، آدرس آی‌پی، اطلاعات سخت‌افزاری دستگاه، کوکی‌های ذخیره شده و تاریخچه تعاملات کاربر با سایر سایت‌های مجهز به سرویس‌های گوگل را نیز بررسی می‌کند.

شرکت‌های فعال در حوزه حریم خصوصی هشدار می‌دهند که این رویکرد، مرزهای نظارت دیجیتال را جابه‌جا کرده است. پلتفرم پروسوپو (Prosopo) در گزارش سال ۲۰۲۶ خود اشاره می‌کند که سیستم‌های مبتنی بر سیگنال، رفتار کاربر را در سراسر وب ردیابی می‌کنند تا بتوانند پروفایل‌های دقیقی برای تشخیص ربات‌ها بسازند. «هر بار که یک کپچا را حل می‌کنید، فقط انسان بودن خود را ثابت نمی‌کنید، بلکه داده‌های ارزشمندی را بدون اینکه متوجه شوید به اشتراک می‌گذارید.» این بدان معناست که نحوه حرکت دادن موس شما در یک فروشگاه اینترنتی، ممکن است با رفتار شما در یک سایت خبری تطبیق داده شود.[2]

در واکنش به این نگرانی‌ها، جایگزین‌های جدیدی وارد بازار شده‌اند. سرویس «ترن‌استایل» (Turnstile) متعلق به شرکت کلودفلر که در سال ۲۰۲۳ به صورت عمومی عرضه شد، رویکرد متفاوتی را در پیش گرفته است. این سیستم به جای اتکا به کوکی‌های ردیابی شخص ثالث و تاریخچه مرورگر، از ترکیبی از چالش‌های «اثبات کار» در مرورگر و بررسی سیگنال‌های محلی استفاده می‌کند تا وابستگی به داده‌های هویتی را کاهش دهد.[2]

در رویکرد کلودفلر، مرورگر شما در پس‌زمینه مجبور به حل پازل‌های ریاضی سبکی می‌شود که برای یک دستگاه واقعی آسان، اما برای یک شبکه از ربات‌ها که هزاران درخواست در ثانیه ارسال می‌کنند، از نظر پردازشی فلج‌کننده است. این روش به سایت‌ها اجازه می‌دهد تا بدون نیاز به جمع‌آوری داده‌های هویتی یا استفاده از کوکی‌های ردیاب متقاطع، ترافیک مخرب را مسدود کنند.[2]

با این وجود، رقابت بین ربات‌ها و سیستم‌های دفاعی همچنان ادامه دارد. بر اساس داده‌های شرکت جی‌تست (GeeTest)، در سال ۲۰۲۱ بیش از ۴۲.۳ درصد از کل ترافیک اینترنت جهان را ربات‌ها تشکیل می‌دادند و این رقم با ظهور هوش مصنوعی مولد به شدت افزایش یافته است. ربات‌های مدرن اکنون یاد گرفته‌اند که لرزش دست انسان را شبیه‌سازی کنند، به طور تصادفی در صفحات اسکرول کنند و حتی مکث‌های انسانی را تقلید نمایند.

برای مقابله با این ربات‌های پیشرفته، سیستم‌های امنیتی مجبورند به طور مداوم متغیرهای جدیدی را به الگوریتم‌های خود اضافه کنند. آن‌ها اکنون نحوه رندر شدن فونت‌ها در مرورگر، سرعت پاسخگویی کارت گرافیک به دستورات و حتی زاویه در دست گرفتن گوشی‌های هوشمند را از طریق سنسور ژیروسکوپ بررسی می‌کنند تا مطمئن شوند با یک دستگاه فیزیکی واقعی روبرو هستند.

اینترنت در حال گذار کامل از تایید هویت صریح به تایید هویت ضمنی است. دوران کلیک کردن روی تصاویر اتوبوس و موتورسیکلت رو به پایان است، اما بهای این راحتی، پذیرش سطحی از نظارت است که در آن، تک‌تک حرکات فیزیکی ما در فضای دیجیتال به عنوان رمز عبور جدیدمان عمل می‌کند. قدم بعدی در این مسیر، یافتن تعادلی است که در آن امنیت وب نیازمند قربانی کردن حریم خصوصی کاربران نباشد.[4]