CAPTCHA tuyệt vời cho bảo mật, nhưng tồi tệ cho quyền riêng tư của bạn.
Thực tế thú vị: bạn thực sự hiếm khi gặp CAPTCHA gốc. Chúng đã bị thay thế chủ yếu bởi reCAPTCHA, một hệ thống thuộc sở hữu của ông lớn công cụ tìm kiếm, Google. Và trong nỗ lực ngăn chặn spambot, reCAPTCHA đã tiến hóa đến mức hiện nay chúng trở thành mối đe dọa cho quyền riêng tư của bạn.
reCAPTCHA là gì?
Bài kiểm tra Turing công khai hoàn toàn tự động để phân biệt máy tính và con người (CAPTCHA) là công cụ hữu ích ngăn bot spam biểu mẫu. CAPTCHA truyền thống làm méo văn bản để làm cho nó không đọc được cho phần mềm độc hại. Con người có thể giải mã, do đó chúng đóng vai trò bộ lọc.
Spambot trở nên thông minh hơn. CAPTCHA phải tiến hóa. Chúng biến thành reCAPTCHA, được phát triển bởi cùng nhóm người đầu tiên nghĩ ra các bài kiểm tra. Google mua dự án năm 2009. Điều này làm nhíu mày nhiều người vì nhiều người dùng hoài nghi về ý định của nó.
reCAPTCHA tuy nhiên được dùng với hiệu quả lớn. Chúng thúc đẩy học máy. Thay vì chữ cái ngẫu nhiên, reCAPTCHA bao gồm những từ Google's bot không giải mã được. Kiến thức thu được từ các bài kiểm tra nâng cấp này nghĩa là số hóa tự động hóa rất nhiều văn học kinh điển cho dịch vụ Google Books của nó.
Sau đó thuật toán vượt qua con người. reCAPTCHA trở nên dư thừa. Đó là lý do Google giới thiệu NoCAPTCHA reCAPTCHA.
NoCAPTCHA reCAPTCHA là gì?
Bạn có bao giờ nhấp vào nút "Tôi không phải robot" và được chấp nhận mà không phải nhập thêm thông tin nào? Đó là vì trang web dùng reCAPTCHA v2 hoặc mới hơn.
Với phiên bản thứ hai, Google giới thiệu xác minh dựa trên các chỉ số khác — cụ thể là, nếu hoạt động khác của người dùng trên trang cho thấy con người hay bot. CAPTCHA chỉ được trình bày nếu điều đó thất bại.
Sau đó đến reCAPTCHA v3. Cập nhật này loại bỏ hộp kiểm "Tôi không phải robot". Nó cũng được thiết kế để hợp lý hóa quy trình, nên trải nghiệm người dùng dễ dàng hơn nhiều.
Điều này dùng cùng nền tảng như phiên bản 2, nghĩa là nó đánh giá hoạt động trên trang. Nó đi xa hơn, bằng cách đào sâu hơn vào hoạt động trực tuyến của bạn.
Nó thêm cắt giảm rủi ro của "nông dân CAPTCHA" (người được thuê để phá vỡ CAPTCHA truyền thống) lướt qua biện pháp bảo mật. Với v3, nhiệm vụ của họ về cơ bản là đoán cách người dùng bình thường tương tác với trang; nhưng do phạm vi rộng hơn của v3, một hồ sơ trực tuyến toàn diện hơn cũng phải có mặt.
4,5 triệu trang web dùng reCAPTCHA (bao gồm một phần tư top 10.000 trang web hàng đầu). Hơn 650.000 trong số đó đã cài đặt reCAPTCHA v3.
Bạn sẽ tìm thấy các phiên bản reCAPTCHA khác nhau trên internet vì quản trị viên web vẫn có thể dùng plugin cũ. reCAPTCHA v1 (CAPTCHA cơ bản) xấu cho bảo mật trang, nhưng tốt cho quyền riêng tư của bạn.
Tại sao reCAPTCHA xấu cho quyền riêng tư của bạn
reCAPTCHA v3 hoạt động như thế nào và tại sao đó là điều tiêu cực cho quyền riêng tư của bạn?
Một trong những cách v3 kiểm tra tính hợp lệ là kiểm tra xem bạn đã có cookie Google cài đặt trên trình duyệt chưa. Cookie là dữ liệu lưu trữ về tương tác của bạn với trang, thường để các yếu tố tải lại nhanh hơn. Đăng nhập tài khoản Google, và reCAPTCHA đã "thích" bạn rồi.
Lý do hợp lý: bất kỳ ai có tài khoản Google đều có khả năng là người thật, không phải bot.
Quản trị viên được khuyến khích nhúng mã reCAPTCHA trên tất cả trang web (được bảo vệ bằng việc thay đổi khóa mã hóa), để dịch vụ có thể chính xác hơn đo lường hoạt động điển hình. Điều này đặt câu hỏi về dữ liệu được thu thập và Google làm gì với nó.
Dựa trên những này, reCAPTCHA gán cho người truy cập một điểm số, đánh dấu rủi ro thấp hoặc cao. 1.0 nghĩa là bạn chắc chắn là người. 0.0 nghĩa là bạn gần chắc chắn là spambot. Thông thường, người dùng rủi ro thấp không cần qua xác thực thêm.
Điều đó cũng có nghĩa là bất kỳ ai dùng Mạng riêng ảo (VPN) tự động bị gắn cờ rủi ro cao. Mà nhiều người — bao gồm MakeUseOf — khuyên bạn dùng VPN để tăng cường quyền riêng tư trực tuyến. Dữ liệu hoạt động không bị thu thập vì người truy cập được ẩn danh. VPN vượt qua khóa khu vực và kiểm duyệt. Chúng có thể tiết kiệm tiền. Và là rào cản chống tội phạm mạng.
Thực tế, có hàng tá lý do bạn nên dùng VPN. Đây là một cú đánh lớn cho reCAPTCHA khi phạt những người dùng VPN. Nó không phải sốc lớn: Google dựa vào thông tin người dùng để kiếm doanh thu.
Google làm gì với thông tin cá nhân?
Google dùng dữ liệu thu thập như thế nào?
Dịch vụ thu thập thông tin phần mềm và phần cứng về người truy cập trang, như địa chỉ IP, plugin trình duyệt, và thiết bị bạn đang dùng.
Google bảo đảm người dùng rằng bất cứ thứ gì thu thập qua API reCAPTCHA không được dùng để xác định sở thích của bạn. Nó không dùng cho quảng cáo — điều có thể làm bạn ngạc nhiên. Công ty nói:
"Thông tin thu thập liên quan đến việc bạn sử dụng dịch vụ sẽ được dùng để cải thiện reCAPTCHA và cho mục đích bảo mật chung. Nó sẽ không được dùng cho quảng cáo cá nhân hóa bởi Google."
Tất nhiên, Google không phải công ty duy nhất theo dõi bạn. Xem các plugin mạng xã hội, dùng để chia sẻ bài viết trên Facebook, Twitter, v.v. Một số widget này cũng thu thập thông tin người truy cập — nghĩa là không quan trọng bạn có hồ sơ hay không: Facebook vẫn có thể theo dõi bạn.
Không có gì về reCAPTCHA v3 trong Điều khoản Dịch vụ của Google. Điều này dù reCAPTCHA liên kết đến các chính sách đó. Nghĩa là chúng ta chỉ phải tin lời họ.
Tương lai của CAPTCHA sẽ ra sao?
Vấn đề cốt lõi, bên cạnh lo ngại quyền riêng tư, là ngay cả reCAPTCHA v3 cũng không đủ tốt. Một nhóm nghiên cứu tìm ra trí tuệ nhân tạo vẫn có tỷ lệ thành công 90%.
Có áp lực thêm vì chúng ta nhận ra các vi phạm quyền riêng tư tiềm ẩn.
Vấn đề là sự đa dạng của con người khiến việc tìm giải pháp chung khó khăn. CAPTCHA dựa trên hình ảnh thường yêu cầu bạn tìm biển báo giao thông, nhưng một thử nghiệm kiểm tra xem giải mã biểu cảm khuôn mặt có hoạt động không. Như bạn hình dung, nó không thành công.
Bài kiểm tra dựa trên game dường như là lựa chọn tốt. Chúng có thể đơn giản là di chuyển mảnh ghép vào đúng khe và yêu cầu xoay các yếu tố. Không có hướng dẫn, bot có thể संघर्ष với việc建立这样的连接。然而，该系统将依赖人类逻辑——这并不完全可靠。
Amazon đã đăng ký bằng sáng chế một ý tưởng thú vị, dù dường như có lỗi, vào năm 2017. Nó cho rằng sự thiếu hụt của con người là chìa khóa. "Bài kiểm tra Turing qua sự thất bại" sẽ đưa ra thách thức hầu hết mọi người đều thấy quá khó để hoàn thành, đặc biệt trong khung thời gian ngắn. Con người làm sai và được xác thực. Bot luôn đưa ra câu trả lời đúng (đó là lý thuyết).
Tăng cường độc quyền của Google?
Luis von Ahn, người đồng tạo ra CAPTCHA, làm việc với nhóm tại Đại học Carnegie Mellon, lập luận việc Google mua reCAPTCHA là công bằng vì nhiều người đã mặc định ông lớn internet này sở hữu dịch vụ. Phiên bản 3 làm rõ reCAPTCHA thiên về người dùng Google. Đây có phải là cách khác công ty nắm chặt internet?
Hay ý định của nó thực sự thiện chí?
Dù sao, nếu bạn cảm thấy không thoải mái với Google, bạn có thể chuyển trình duyệt sang lựa chọn riêng tư hơn. Tuy nhiên, trong đánh giá bảo mật trình duyệt chính thống của chúng tôi, Chrome lại đứng đầu…