Mazāk CAPTCHA: Cloudflare un pārlūkprogrammas PACT risinājums

Izdomājiet tīmekli, kur kaitinošie CAPTCHA uzdevumi un bezgalīgas pieteikšanās barjeras lēnām izzūd. To sola Cloudflare un vairāki lielākie pārlūku izstrādātāji, cenšoties atgūt kontroli no interneta, ko arvien vairāk pārņem roboti.

Šīs pārmaiņas centrā ir priekšlikums, ko sauc par Privātajiem piekļuves kontroles žetoniem, jeb PACT. Izstrādāts ar Chrome, Edge un Firefox pārlūku komandām un partneru, tostarp Google, Microsoft, Mozilla un Shopify, iesaisti, PACT mērķis ir nodrošināt vietnēm kompakts, privātumu saglabājošs signāls: vai ienākošais pieprasījums nāk no likumīgas cilvēka vadītas sesijas vai no automatizēta aģenta, kas darbojas kāda vārdā?

Triks ir tāds, ka apliecinājumus izdotu pārlūkprogrammas, nevis pašas vietnes. Vietne, kurai ir pārliecība, ka apmeklētājs ir cilvēks, varētu izveidot žetonu, kuru vēlāk varētu uzrādīt citur kā pierādījumu par cilvēka klātbūtni, neatsedzot, kas šī persona ir, ko viņi iepriekš pārlūkojuši vai jebkādu ilglaicīgu identifikatoru. Uzskatiet to par atkārtoti lietojamu, privātu CAPTCHA rezultātu, kas pierāda lietotāja sesijas integritāti, nevis viņa identitāti.

Kāpēc tieši tagad? Jo internets izskatās citādi nekā pirms dažiem gadiem. Cloudflare vadība brīdinājusi, ka botu satiksme jau pārsniedz cilvēku trafiku, ar īslaicīgiem pieaugumiem, kas ir vēl lielāki. Mākslīgā intelekta vadītu aģentu parādīšanās, kas spēj skenēt lapas, salīdzināt cenas, aizpildīt formas un veikt uzdevumus, kas agrāk bija cilvēku ziņā, ir izpludinājusi robežu starp labticīgiem skriptiem un ļaunprātīgu automatizāciju. Vecās aizsardzības metodes - IP bloķēšana, ātruma ierobežojumi un vienkārši izaicinājumu-atbildes uzdevumi - zaudē efektivitāti.

Aizsardzības sistēmas, kas pielāgotas vecmodīgiem tīmekļa rīkiem, nevar uzticami atklāt mūsdienu aģentus, kas uzvedas kā cilvēki. Tāpēc, nevis refleksīvi bloķēt visu, kas šķiet automatizēts, PACT arhitekti vēlas niansētāku signālu: ne bināru cilvēks/vai-ne, bet indikāciju, vai sesijai jāuzticas vai jāizturas ar aizdomām.

Šāda niansēšana ir svarīga. Piemēram, interneta veikals varētu vēlēties pieņemt trafiku no likumīga cenu salīdzināšanas bota, ko sponsorē mazumtirgotājs, bet noraidīt skrāpētāju, kas vākt produktu attēlus. PACT ļauj vietnēm saņemt kompakta zaļā signāla rādītāju bez prasības pēc vārda, konta pieteikšanās vai vietņu starpā sekojošas sīkdatnes.

Tomēr detaļas ir svarīgas, un daudzas joprojām ir neskaidras. Kas praksē kvalificēsies kā spēcīgs apliecinājums par cilvēka identitāti? Vai definīcija varētu dot priekšrocības konkrētiem pārlūkiem vai klientu programmatūrai un netīšām sodīt nišas platformas? Vai žetoni būs pieejami arī uzticētām vietējām lietotnēm, bezgalvas pārlūkprogrammām vai trešo pušu aģentiem, kas darbojas ar piekrišanu? Atbildes noteiks, kam tiks dota piekļuve un kam tiks piemērota stingrāka pārbaude.

Cloudflare piedāvā arī privātuma aizsardzību: žetoni ir paredzēti, lai nebūtu sasaistāmi un būtu pārejoši, aizsargājot pārlūkošanas vēsturi, vienlaikus nododot noderīgus uzticības signālus. Tomēr sistēma arī piešķir pārlūkprogrammām sava veida vārtejas lomu. Tas raisa jautājumus ne tikai par tehniskajiem kritērijiem, bet arī par politiku: kuri dalībnieki nosaka apliecinājumu noteikumus un cik caurspīdīgs būs šis process?

Tehniski domājošiem lasītājiem jāņem vērā vēl viens svarīgs punkts: PACT nav brīnums pret botiem. Tas ir protokola līmeņa kompromiss, kas maina daļu tradicionālās berzes, piemēram CAPTCHA pārbaudes, uznirstošos logus un identitātes pārbaudes, pret koordinētu apliecinājumu no programmatūras, kas atrodas starp lietotājiem un vietnēm. Sarežģītākās inženierijas daļas, piemēram, žetonu darba pierādījumi, atskaņošanas novēršana, ātruma kontrole un stingras privātuma garantijas, prasa rūpīgu pārbaudi pirms plašas ieviešanas.

Ja pārlūkprogrammas kļūs par sesiju uzticības spriedējiem, mums būs nepieciešami skaidri, pārbaudāmi noteikumi un plaša ekosistēmas līdzdalība, lai novērstu nevēlamu centralizāciju vai aizspriedumus.

Vietņu īpašniekiem, izstrādātājiem un privātuma aizstāvjiem PACT ir vērts vērot, jo tas piedāvā mainīt, kur tīmeklī tiek radīta uzticēšanās. Vai mēs esam gatavi paļauties uz pārlūkprogrammām kā neitrāliem tiesnešiem, vai tas vienkārši pārvietos varu uz jaunu starpnieku loku? Nākamie mēneši ar dizaina diskusijām un prototipu testiem rādīs, vai PACT var aizstāt berzi ar gudrākiem, privātākiem uzticības signāliem, vai arī tas ieviesīs jaunas kompromisu situācijas, kas prasa diskusiju.

Jebkurā gadījumā klusāks, mazāk ar CAPTCHA pildīts tīkls ir pievilcīga ideja. Jautājums ir, kuram būs tiesības izlemt, cik kluss tam jābūt.