La semana pasada se presentaba noCaptcha (EN), la supuesta evolución del sistema por antonomasia de identificación de personas en el mundo digital, y el talón de Aquiles de los ataques basados en fuerza bruta.
Una propuesta que sigo con interés desde hace bastante tiempo, que se ha quedado anticuada (tanto por la capacidad de saltárselo mediante automatismos, como por lo molesto que resulta, principalmente en dispositivos móviles).
Y comprendo a la perfección la dificultad que entraña tener que alinear experiencia de usuario y seguridad, dos filosofías que lamentablemente, y en casos como este, parecen totalmente antagónicas.
Por eso llegué con ilusión al anuncio, y el anuncio, como todo lo que sale de la gran G, no dejará indiferente a nadie.
noCaptcha es un sistema de discriminamiento de bots y usuarios, basado en el conocimiento previo de quien está detrás. Y aquí es donde empiezan los problemas.
Haga una prueba. Entre en la página de soporte de WordPress (EN) con una ventana normal y una ventana de incógnito, y eche un vistazo al noCaptcha inferior ¿Nota alguna diferencia verdad?
En su sesión normal, que tendrá seguramente asociada a una cuenta de Google (ya sea Chrome o las cookies de la sesión de alguno de sus servicios), con tan solo clickar en el cuadro, noCaptcha asegura que es usted humano, y le permite continuar. En la ventana de incógnito, Google es incapaz de acceder a su historial anterior (puesto que no está logueado), y por tanto tendrá un paso extra (ya no vale con darle click, sino que además tendrá que completar el captcha habitual).
Podrían haber optado por el análisis semántico de las imágenes, un campo aún lejano para los algoritmos de inteligencia artificial, y sin embargo, prefirieron optar por el conocimiento interno del usuario, una técnica de nuevo invasiva, y que apunta, nuevamente, al canvas figerprinting, o lo que es lo mismo, la monitorización del usuario basándose en numerosos elementos públicos que juntos generan un patrón único para cada uno (cookies de sesión, navegador, historial, plugins, acciones,…).
En esencia Google está usando una cookie que quedará almacenada en nuestro navegador (un tiempo de expiración alto, eso sí) llamada “g-recaptcha-response”, encargada de considerar si quien está detrás es humano o no. Puesto que si estamos en modo anónimo no tendremos esta cookie activa, el noCaptcha considera por defecto que está ante un bot, y por tanto muestra el código del captcha habitual, que sigue siendo tan vulnerable a ataques por algoritmos OCR como siempre.
Así llego al blog de Egor Homakov (EN), donde ejemplifica lo que un servidor suponía. Si el mostrado de ese captcha depende únicamente de una variable, ¿podremos generarla artificialmente?
Dicho y hecho. Bastaría ofuscar un captcha en algún formulario de una página corrompida donde alberguemos el automatismo para que la “confianza” de Google en él aumente (cuando los usuarios clickan en el mismo) y por tanto podamos saltárnoslo. Y por supuesto, el robo de credenciales mediante XSS o cualquiera de las técnicas de explotación web en cliente también nos permitirían emular la confianza de “g-recaptcha-response”. E incluso aunque no recurriéramos a esto, tendríamos que enfrentarnos al captcha habitual, que está más que demostrado que es explotable.
Es decir, ganamos experiencia de usuario a cambio de mayor vulnerabilidad y menor privacidad. Y lo hacemos cuando habría alternativas interesantes, como apuntaban en el mismo artículo con la comparación de fotografías (por ahora no lo he visto implantado en ningún sitio).
Además cuenta con una lectura nada halagüeña: la de la segmentación de usuarios según los que Google considera fiables y los que no. Cualquier usuario que opte por navegar de forma anónima es considerado por defecto “peligroso”. Un elemento del que no se puede fiar, y por tanto, equiparable a un automatismo (el trato a efectos prácticos es el mismo).
Así que ya sabe: de casa se sale con el DNI/NIE en la frente, fácilmente identificable, para que no le señalen a uno. Porque todo aquel que viaje sin identificación es terrorista, o algo incluso peor.
Desde cuando Google hace algo por el usuario o innova en seguridad? Todo lo que hacen es negocio, el “Dont be evil” esta enterrado hace años.
Parece mentira que tu, que lo sabes de sobra, esperases otra cosa.
Por cierto, en primicia, en 2015 le vas diciendo a G+ adiós del modo en que lo conoces por un modelo que monetice…o tampoco lo esperábamos? Abrazos maquina
Cuánta razón Fares. Lo que me jode es ver que la mayoría de medios recogen la noticia como un cambio increíble.
Sinceramente, a nivel técnico me esperaba más. Los OCR se han quedado anticuados, y el reconocimiento de imágenes podía haber sido una alternativa mucho más rápida que daría unos años de ventaja a los automatismos.
Pero claro, como bien dices, interesa más para el negocio ofrecer lo que han ofrecido, y ocultarlo bajo la sombra de una aparente experiencia de usuario muy bien gestionada (le das click a lo de decirle que no eres un bot y listo). Por debajo, más monitorización y control, y menos seguridad.
Vender humo nuevamente.
Y sobre Google+, tiene toda la pinta. Ya empiezan a meter la parte monetaria con la posibilidad de destacar estados y demás. Solo espero (y mira lo iluso que soy) que no acaben por recrear en Google+ lo que estamos viviendo en Facebook. Menos vistas orgánicas con la excusa de la segmentación, y la necesidad de pagar para tener una visibilidad medianamente aceptable (que sigue igualmente bajando).
A ver…Inbox, noCapcha…todo es “increíble” y cada vez mas humo. La política de privacidad de FB o Linkedin si son revolucionarias.
G+ va al cierre o cambio del servicio, al estilo de Reader vs Now en cuanto tengan listo el como “migrar” a los usuarios. Apuestas???
¿Tanto como el cierre? Ahí ya no me atrevo. Veo productos que están sin duda en peor situación como FeedBurner que cerraría antes que Google+.
Lo que está claro es que la estrategia con G+ va a cambiar. Y es posible que ya haya presión por monetizarla. Y eso no tendría porqué ser estrictamente negativo mientras no se haga de forma abusiva. El potencial de Google+ está en las communities (y si me apuras, aunque se haya separado, en hangouts).
Espero que te equivoques Fares, por lo que nos toca, jajaja.
Por lo que tengo entendido, sí está previsto que al usuario “no fiable” se le pida que realice un análisis semántico de imágenes para alimentar el algoritmo de Google. Quizá todavía no lo han implementado, pero en la presentación del nuevo sistema, Google publicó unas capturas en las que se pedía al usuario que señalase las imágenes similares a la mostrada.
Los “captchas” siempre han sido una forma de usarnos a los internautas como mano de obra gratuita, a la manera de “mechanical turks” sin retribución y sin siquiera conocimiento de nuestro papel. Ése es el aspecto que me parece más inquietante de todo este asunto. Pero tú me abres una nueva perspectiva al vaticinar que este sistema también podría usarse para marcar a los usuarios indeseables. Tiene mucho sentido lo que dices.
Exacto Pidal. En principio hay algún desarrollo de entendimiento de imágenes, que como bien señalas, parece que todavía no está implementado (al menos no lo he visto en ningún sitio aún).
Por ahora la manera de funcionar es la que podemos ver en la imagen, con el captcha clásico en caso de que no seas “conocido” por Google.
Y sí, el re-captcha era una herramienta de trabajo colaborativa, que ojo, no me parecía del todo mal. Primero de todo porque aunque no quedaba claro qué era lo que hacíamos, diferenciar entre el captcha real y la imagen a “traducir” era muy sencillo, pudiendo no completarlo en el segundo caso (y el captcha tragaba igualmente).
Y era una buena forma de traducir textos impresos a digitales. Otra cosa que Google también lo acabara usando para digitalizar direcciones de correo en Maps, que a nosotros como usuarios nos interesa, pero ya podemos entender que es por beneficio propio.
La cosa Pidal es que había manera de crear un nuevo captcha más seguro y sencillo. Y han optado, por ahora, a crear uno más sencillo para unos, más complejo para otros, y por el camino menos seguro. Volvemos a poder señalar de otra manera al usuario registrado de aquel que puede resultar molesto, ya que no lo conocemos.
Una batalla perdida en pos de la privacidad, a fin de cuentas.
Hay un detalle en el que no había caído. Según la presentación de Google, el sistema también formula preguntas del tipo “¿cuál es tu color favorito?”, al menos al principio, para segmentar a los usuarios. Google confronta estas respuestas con las deducciones que hace a partir de los datos que extrae de ti a diario, y de esta manera las valida. Ya puede registrar de manera segura en su base de datos que, efectivamente, según había deducido previamente, tu color favorito es el verde. Pero además Google podría introducir aleatoriamente preguntas, no para confrontarlas con su conocimiento previo, sino para obtener información adicional que le era imposible deducir.
El resultado final es el esperable. Un mayor conocimiento del usuario, y un cartel de peligro indirecto para todos aquellos que no pasen por el aro de su imperio de la información.
Cada vez dependemos más de Google, y eso no es bueno.
He llegado un poco tarde a este post, pero estoy investigando sobre el tema del nocapthca este y ,…
¿alguien le ha dado por tirar del hilo de que Google está manteniendo un fichero que relaciona mi dirección IP con datos que permiten elaborar un sesgo o perfil personal? Eso es un fichero de datos que debe declararse y al que puedo ejercer mi derecho de oposición,…. es un fichero además mantenido en EE.UU. lo que implica muchas otras cosas en el tema dela protección de datos, ¿sabes algo al respecto?
Google guarda muchísima información nuestra. Por ejemplo, se encarga de guardar registros de WIFIs cercanas para trazar mapas de Google Maps más precisos.
Justamente que tengan algún tipo de BD en la que relacione IP con el resto no puedo asegurártelo. Pero ten claro que siempre que estás conectado con tu cuenta hacen trazabilidad, y guardan historial con los dispositivos con los que has entrado.
Saludos, y ya me contarás que tal va esa investigación.