Was sind CAPTCHAs und warum brauchen wir sie?

Mit der Verbreitung des Internets kamen auch die Bedrohungen durch Bots. CAPTCHAs (vollautomatische öffentliche Turing-Tests zur Unterscheidung von Computern und Menschen) wurden als Gegenmaßnahme eingeführt, um echte menschliche Nutzer von automatisierten Skripten (Bots) zu unterscheiden. Dieser Artikel untersucht, wie CAPTCHAs funktionieren, welche Schwierigkeiten bei der Gestaltung eines effektiven CAPTCHA auftreten und wie sie sich weiterentwickeln müssen, um immer einen Schritt voraus zu sein, während sie unsere Privatsphäre schützen.

• Vor was schützen uns CAPTCHAs?
• Arten von CAPTCHAs
• Wie funktionieren CAPTCHAs?
• Kritikpunkte
• Die Zukunft der CAPTCHAs
• Zusammenfassung

Vor was schützen uns CAPTCHAs?

CAPTCHAs sind ein wesentlicher Bestandteil der Internetsicherheit und schützen vor:

1. Brute-Force-Angriffe: Ohne CAPTCHAs könnten Bots wiederholt versuchen, sich auf Webseiten einzuloggen, indem sie unzählige Kombinationen von Benutzernamen und Passwörtern durchprobieren, bis sie Zugang erhalten.
2. Formular-Spam: Bots können Formulare auf Webseiten, wie Kontaktformulare oder Kommentarbereiche, mit Spam-Inhalten absenden. CAPTCHAs verhindern dies, indem sie vor dem Absenden des Formulars eine menschenähnliche Interaktion erfordern.
3. Web-Scraping: Manche Bots sind darauf ausgelegt, Inhalte von Webseiten zu sammeln oder zu stehlen. CAPTCHAs können diese Bots abschrecken und so die Inhalte der Webseite schützen.
4. Verhinderung von gefälschten Anmeldungen und Kontenerstellung: Auf vielen Plattformen ist das massenhafte Erstellen von Konten vorteilhaft für Spamming oder andere bösartige Aktivitäten. CAPTCHAs stellen sicher, dass jeder Schritt zur Kontenerstellung eine menschliche Verifizierung erfordert, was die Massenerstellung von Konten für bösartige Akteure ineffizient macht.
5. Schutz von Anwendungsressourcen: Bots können wiederholt auf eine Webseite zugreifen, erhebliche Serverressourcen verbrauchen und dadurch die Seite verlangsamen oder sogar zum Absturz bringen. Als erste Verteidigungslinie helfen CAPTCHAs sicherzustellen, dass nur echte Nutzer diese Ressourcen verbrauchen.

CAPTCHAs dienen als Türsteher im Web, filtern automatisierte Bedrohungen heraus und ermöglichen es echten menschlichen Nutzern, fortzufahren. Sie spielen eine unverzichtbare Rolle beim Schutz von Online-Plattformen vor vielen potenziellen Bedrohungen und Missbräuchen.

Arten von CAPTCHAs

Es gibt viele Arten von CAPTCHAs, die jeweils auf einer spezifischen Interaktion basieren, die für einen Menschen leicht auszuführen ist, aber für einen Bot nahezu unmöglich.

• Textbasierte CAPTCHAs: Diese zeigen verzerrte Buchstaben und Zahlen, die du identifizieren und eintippen musst. Die Verzerrungen werden so gestaltet, dass Maschinen sie schwer erkennen können, Menschen sie jedoch mit relativer Leichtigkeit entziffern können.
• Bildbasierte CAPTCHAs: Dir wird eine Reihe von Bildern präsentiert und du wirst gebeten, diejenigen auszuwählen, die einer spezifischen Beschreibung entsprechen (zum Beispiel „Wähle alle Bilder mit Ampeln“).
• Mathematische CAPTCHAs: Diese zeigen einfache Matheaufgaben, die du lösen musst, wie Grundrechenarten Addition oder Subtraktion.
• Zeitbasierte CAPTCHAs: Diese Herausforderungen sind so einfach wie das Ablesen der Uhrzeit auf einer analogen Uhr.
• Interaktive CAPTCHAs: Aufgaben wie das Ziehen und Ablegen von Elementen oder das Befolgen einer einfachen Anweisung, zum Beispiel „Nach rechts schieben“.
• Verhaltensbasierte CAPTCHAs: Sie analysieren Verhaltensweisen wie Mausbewegungen und vergangene Aktivitäten, um botähnliches Verhalten ab dem Seitenaufruf zu erkennen.

Zusätzlich werden Audio-CAPTCHAs bereitgestellt, um sehbehinderten Menschen das Lösen der Herausforderung zu erleichtern. Du hörst eine Reihe von gesprochenen Buchstaben oder Zahlen und tippst sie dann ein.

Außerdem wurde in den letzten Jahren eine relativ neue Art von CAPTCHA entwickelt, die als „kryptografisches CAPTCHA“ bekannt ist, bei dem eine einfache rechnerische Herausforderung gelöst werden kann, auch bekannt als Proof of Work. Mit einem solchen Mechanismus erhält der Browser einige Herausforderungen mit einstellbarer Schwierigkeit, die er lösen muss. Der Browser muss eine Antwort liefern, bevor er fortfahren kann.

Beispielsweise erfordert die Leading-Zero-Herausforderung, dass dein Computer einen Eingabewert findet, der, wenn gehasht, eine Ausgabe mit einer bestimmten Anzahl von führenden Nullen erzeugt.

Kürzlich sind in diesem Bereich mCaptcha(new window) und Friendly Captcha(new window) aufgetaucht. Sich jedoch ausschließlich auf rechnerische Herausforderungen zu verlassen, ist eine riskante Strategie. Obwohl diese Herausforderungen unaufdringlich sind, hängen sie von der Rechenleistung deines Geräts ab. Wenn dein Gerät zu langsam ist, kann das Benutzererlebnis suboptimal sein, da du möglicherweise viele Sekunden warten musst, bis die Herausforderungen abgeschlossen sind. Andererseits hätten leistungsstarke Server, die von einem Spammer verwendet werden, keine Schwierigkeiten, diese Herausforderungen relativ schnell zu lösen.

Das illustriert das Dilemma, das CAPTCHAs darstellen: Entwickler müssen Herausforderungen erschaffen, die schwierig und kostspielig für Angreifer sind, während sie für normale Benutzer relativ einfach bleiben.

Wie funktionieren CAPTCHAs

Unabhängig von der Art des bereitgestellten CAPTCHAs gilt eine universelle Wahrheit: Der Frontend-Client darf nichts über die Lösung des CAPTCHAs selbst wissen – sonst wäre es zu einfach für automatisierte Solver. Ein Server sendet typischerweise eine Herausforderung, das Frontend stellt den Mechanismus zur Eingabe der Antwort bereit, und ein Server validiert die Antwort vom Client.

Beispielsweise sieht der Gesamtablauf für ein textbasiertes CAPTCHA folgendermaßen aus:

Automatisierte Solver(new window) können hier eingreifen und das vom Server generierte CAPTCHA-Bild in Texteingaben umwandeln. Deshalb haben sich textbasierte CAPTCHAs weiterentwickelt, um immer schwierigere Muster zu haben, die oft selbst für Menschen schwer zu lösen sind und für Sehbehinderte unzugänglich sind.

Kritikpunkte

Obwohl CAPTCHAs für die Online-Sicherheit unerlässlich sind, sind sie nicht ohne Kritik.

Einige sagen, dass CAPTCHAs in dieser Ära mit maschinellem Lernen und Diensten für menschliche Solver, die als Brücke zwischen automatisierten Bots und CAPTCHA-geschützten Websites fungieren, wenig nützlich sind. Solche Solver-Dienste beschäftigen echte Menschen, um CAPTCHAs manuell zu lösen, die ein Computer schwer zu entschlüsseln findet.

Kritiker übersehen jedoch oft die Tatsache, dass CAPTCHAs tatsächlich immer noch ihren Zweck erfüllen, indem sie es Angreifern schwieriger machen, einen Dienst zu spammen. Selbst wenn ein CAPTCHA Bots nicht vollständig davon abhalten kann, einen Dienst zu spammen, macht es dies viel schwieriger und das ist oft ausreichend, um Missbrauch zu reduzieren.

Andere argumentieren, dass CAPTCHAs das Benutzererlebnis beeinträchtigen können, besonders wenn sie zu schwierig sind. Es gibt auch Bedenken hinsichtlich der Zugänglichkeit, da einige CAPTCHAs für Benutzer mit Sehbehinderungen schwierig sein können. Wie so oft geht es um die Balance zwischen dem Schutz deiner Privatsphäre, der Sicherung deiner Sicherheit und dem Angebot eines benutzerfreundlichen Erlebnisses.

In letzter Zeit haben Initiativen darauf abgezielt, die Nutzererfahrung zu maximieren, oft auf Kosten der Privatsphäre, indem sie das Surfverhalten nutzen, um festzustellen, ob du ein echter Mensch oder ein Bot bist. Eine echte Person ist wahrscheinlich auf vielen verschiedenen Websites im Laufe eines Tages aktiv und ist wahrscheinlich schon früher auf CAPTCHA-Systeme gestoßen. Diese Historie gibt Systemen wie hCAPTCHA oder reCAPTCHA die Möglichkeit zu bestimmen, ob Online-Verhalten authentisch ist oder nicht, bevor du überhaupt eine Seite lädst. Deshalb musst du oft einfach nur ein Kästchen anklicken, statt eine echte Herausforderung zu lösen.

Obwohl bequem, kompromittieren diese Herausforderungen oft deine Privatsphäre. Diese Dienste kennen unvermeidlich dein Surfverhalten und die Seiten, die du besucht hast, was bedenklich ist.

Andererseits bieten Systeme wie mCaptcha und Friendly Captcha mehr Privatsphäre, aber kompromittieren die Sicherheit, da Proof-of-Work-Systeme nur Kosten für die Aktion hinzufügen und in der Regel nicht effektiv darin sind, Bots vom Zugriff auf deine Seite oder vom Posten von Spam abzuhalten.

Die Zukunft der CAPTCHAs

Die Landschaft des maschinellen Lernens und der KI entwickelt sich rasant weiter. Was heute für Computer eine Herausforderung ist, könnte morgen trivial werden, wenn die Modelle ausgefeilter werden.

Es ist klar, dass wir uns in Richtung benutzerfreundlicher CAPTCHA-Systeme bewegen müssen, die die Privatsphäre der Nutzer respektieren und Seiten vor der Mehrheit der Bot- und Spam-Aktivitäten schützen.

Zuerst können wir die Benutzerfreundlichkeit und Zugänglichkeit verbessern, indem wir die Anzahl der CAPTCHAs für echte Nutzer im gesamten Web minimieren. Das ist möglich, indem Protokolle wie Privacy Pass(new window) genutzt werden, die es guten Nutzern, die bereits woanders ein CAPTCHA abgeschlossen haben, erlauben, ein CAPTCHA auf einer anderen Webseite zu überspringen. Dies geschieht ohne Kenntnis der zuvor besuchten Webseiten. Warum ist es also nicht beliebter? Leider erfordern aktuelle Implementierungen dieses Protokolls die Verwendung von Browsererweiterungen, die nicht in allen Browsern verfügbar sind und nicht von allen Nutzern installiert werden können.

Zweitens benötigen wir Systeme, die der Bedrohung durch KI entgegenwirken, ohne CAPTCHAs für Menschen unzumutbar schwer zu machen. Ein kürzlich erschienenes Paper von Searles et al, 2023(new window) zeigte, dass Bots bereits genauer als Menschen sind, wenn es darum geht, viele der führenden CAPTCHA-Systeme zu lösen.

Eine Lösung liegt darin, CAPTCHA-Herausforderungen zu denken, die die aktuellen Grenzen der KI ausnutzen, wie zum Beispiel „kontextbezogene“ CAPTCHAs, die für Maschinen schwer zu lösen sind (zum Zeitpunkt der Verfassung dieses Artikels), da sie Weltwissen und komplexe Systeme zum Entschlüsseln benötigen. Sie bieten daher Möglichkeiten, in diesem sich ständig weiterentwickelnden Katz-und-Maus-Spiel voraus zu bleiben. Ihre Schwierigkeit liegt in den folgenden Eigenschaften:

1. Sie erfordern multimodales Denken zur Lösung: Das CAPTCHA dreht sich nicht nur um Objekterkennung. Es kombiniert Objekterkennung mit kontextuellem Denken.

2. Sie sind dynamisch und vielfältig: Es kann zahlreiche Variationen von Fragen und Bildkombinationen geben, was es für ein Modell schwierig macht, sich speziell gegen solche CAPTCHAs zu trainieren.

3. Sie greifen auf Weltwissen zurück: Dieser Ansatz stützt sich auf allgemeines Weltwissen und gesunden Menschenverstand, Bereiche, in denen Maschinen im Vergleich zu Menschen noch Schwierigkeiten haben.

Zum Beispiel könnten CAPTCHAs einfache interaktive Herausforderungen erstellen, die Überlegungen erfordern. Zum Beispiel „Ziehe den Mond unter die Wolke“ auf einer Leinwand, auf der verschiedene Objekte (wie Sterne, Sonne, Vögel usw.) vorhanden sind. Oder, im oben genannten Beispiel für das interaktive CAPTCHA, müsstest du Milch in den Kühlschrank ziehen.

Ein weiteres Beispiel ist die Präsentation einer sehr kurzen Geschichte (ein paar Zeilen) und das Stellen einer darauf basierenden Frage. Zum Beispiel:

Frage: Andy ging in den Obstgarten und pflückte 3 Äpfel. Er aß einen und gab zwei weg.

Frage: „Wie viele Äpfel hat Andy gepflückt?“ oder „Wie viele Äpfel hat Andy gegessen?“

Oder man kann eine Reihe von Bildern zeigen und Fragen stellen, die auf Allgemeinwissen oder Kontextwissen basieren. Zum Beispiel könntest du die folgenden Bilder zeigen:

Und dann fragen: „Welches davon kann typischerweise sprechen, wenn es aufwächst?“

Menschen erkennen leicht, dass die Antwort das Baby ist. Aber den Kontext und das allgemeine Verständnis zu erkennen, kann für eine Maschine eine Herausforderung sein, selbst wenn sie alle Objekte korrekt identifiziert.

Kontextbezogene CAPTCHAs sind ein sehr interessantes zukünftiges Forschungsgebiet, stellen aber auch mehrere Herausforderungen dar:

• Kultureller Bias: Was in einer Kultur als „Allgemeinwissen“ gilt, könnte in einer anderen unbekannt sein.
• Sprache: Für auf Geschichten basierende CAPTCHAs muss man Zeit investieren, um sicherzustellen, dass Inhalte für Nicht-Englischsprachige internationalisiert werden. Zum Beispiel müsste bei der Herausforderung „Ziehe die Milch in den Kühlschrank“ MILK in andere Sprachen übersetzt werden, um weltweit eingesetzt werden zu können.
• Erstellung von Herausforderungen: Solche Herausforderungen zu erstellen ist kein triviales Problem, und bessere Lösungen könnten erhebliche Zeitinvestitionen erfordern, um richtig zu funktionieren.

Darüber hinaus ist es unvermeidlich, dass eines Tages KI-Systeme entwickelt werden, die multimodales Denken beherrschen, und diese könnten besser darin sein, solche Arten von CAPTCHAs zu lösen.

Zusammenfassung

CAPTCHA-Systeme bleiben ein wesentlicher Bestandteil der Verteidigungslinie gegen Bot-Aktivitäten und Spam-Angriffe im Internet. Obwohl sie allgegenwärtig und beständig sind, entwickelt sich die Landschaft weiter. Jüngste Durchbrüche in den Technologien des maschinellen Lernens, gekoppelt mit dem Aufkommen von CAPTCHA-Lösungsdiensten, die menschliche Löser beschäftigen, haben begonnen, die Wirksamkeit traditioneller CAPTCHA-Systeme zu untergraben. Dennoch sind die meisten Angriffe, denen Websites ausgesetzt sind, weniger ausgefeilt, und CAPTCHA-Systeme bleiben eine äußerst wirksame Barriere.

Während wir voranschreiten, liegt die Herausforderung nicht nur darin, die Robustheit von CAPTCHA-Systemen gegen zunehmend ausgefeilte Angriffe aufrechtzuerhalten, sondern auch sicherzustellen, dass diese Systeme benutzerfreundlich sind, für Menschen mit Behinderungen zugänglich, die Privatsphäre der Nutzer respektieren und echten Nutzern keine unangemessenen Unannehmlichkeiten bereiten.

Die Zukunft von CAPTCHA erfordert daher durchdachte Innovationen und strenge Forschung. Es fordert die Entwicklung neuer Systeme, die Sicherheit mit Benutzerfreundlichkeit, Zugänglichkeit und Privatsphäre in Einklang bringen können – eine ganzheitliche Herangehensweise, die sich mit den sich ändernden Taktiken bösartiger Akteure weiterentwickelt. Da die digitale Welt weiter wächst und sich verändert, müssen CAPTCHA-Systeme zweifellos anpassen und innovieren, um ihre Rolle als Eckpfeiler der Online-Sicherheit zu behalten.