ボットによるスパム行為などを防ぐ目的でWebサイトに導入されているセキュリティシステムaaについて調査した包括的な新しい研究によると、ボットは既にCAPTHAテストを解読することにおいて人間よりも優れており、かなり速い事が判明した。
CAPTHAテストは、Web上で人間とボットを見分ける手段として、広く利用されている。恐らく、何らかのサービスでログインしたりする際に「橋の写真を全て選択してください」という問題や、“歪んだ文字を選択する”テストが与えられたことがあるだろう。
Webサイトは、様々な目的で毎日サイトをクロールするボットからオンラインシステムやフォームを保護するためにCAPTHAを使用している。しかし、カリフォルニア大学の新しい研究によると、現在のロボットは、人間よりもCAPTHAの問題を解くのが上手で速いということだ。CAPTHAは、人間にとっては比較的簡単だが、ボットにとっては不可能なはずであるため、この研究結果は、認証テストの有用性に疑問を投げかける可能性がある。
カリフォルニア大学アーバイン校のGene Tsudik氏は、「（CAPTHAが）非常に嫌われていることは確かです。その結論を出すために調査をする必要はありませんでした。しかし、毎日、毎年、毎月、CAPTCHAを解くために費やされている膨大な世界的努力、その努力が実際に価値があるのかどうか、人々は知らないのです」と、NewScientistに語った。
研究者らは、1,400人の参加者が6種類の14,000個のCAPTHAをどのように解いたかを観察した結果、人間とボットのパフォーマンスの差はテストによって大きく異なることがわかった。歪んだテキストを読み解くCAPTHAは、ボットがほぼ完璧な精度で1秒未満で解いたのに対し、人間は50～84％の精度で15秒もかかったのだ。
ボットは画像ベースのreCAPTCHAテストに最も苦労していたが、それでもほとんどの人間よりも85パーセントの精度で素早く解くことができた。この調査では、GeetestのスライディングパズルやArkose LabsのローテーションCAPTHAから正確な情報を得ることができなかったため、これらのテストでボットが人間と比較してどうだったかは不明である。
また、年齢、インターネット利用、学歴、その他の要因によって、CAPTHAのパフォーマンスが人間によって著しく異なることも示されている。高齢の研究参加者は遅い傾向があったが、博士号を持つユーザーは他のすべてのユーザーよりも優れており、高学歴が最も重要な要因であることを示唆している。
「一般的に、コンセプトとしてのCAPTCHAはセキュリティの目標を達成しておらず、現状では、あまり決断力のない攻撃者にとって不便なものです。行動分析を用いたよりダイナミックなアプローチが必要です」と、この研究には関与していない英国ケント大学のShujun Li氏はNew Scientist誌に語っている。
Cloudflareは、Captchasは長い間役に立たず、人間が解くには時間がかかりすぎ、視覚障害者には不便であると考えており、既に代替手段として「Turnstile」を発表している。
論文
参考文献
研究の要旨
20年近くにわたり、CAPTCHAはボットに対する防御手段として広く使われてきた。長年にわたり、CAPTCHAの利用が拡大するにつれ、CAPTCHAを打ち負かしたり回避したりするテクニックは改良され続けてきた。一方、CAPTCHAもまた、洗練性と多様性の点で進化し、ボット（機械）にとっても人間にとってもますます解きにくくなっている。このような長年の、そして現在も続いている軍拡競争を考えると、合法的なユーザーが最新のCAPTCHAを解くのにかかる時間と、そのようなユーザーがCAPTCHAをどのように認識するかを調査することは非常に重要である。この研究では、現在配備されているCAPTCHAを修正せずに、ユーザーの解答パフォーマンスと認識を評価することで、野生のCAPTCHAを探索する。このデータは、1,400人の参加者が合計14,000のCAPTCHAを解いた、人気のあるウェブサイトの手動検査とユーザー調査によって得られた。その結果、最も一般的なタイプのCAPTCHA間で大きな違いがあることがわかった。驚くべきことに、解答時間とユーザーの認識は必ずしも相関していない。特に、CAPTCHAを直接解いた場合と、アカウント作成などのより自然なタスクの一部として解いた場合の違いを調査した。いくつかの潜在的な交絡因子がある一方で、我々の結果は実験的な文脈がこのタスクに影響を与える可能性があることを示しており、今後のCAPTCHA研究では考慮する必要がある。最後に、CAPTCHAによって引き起こされたユーザーのタスク放棄について、タスクを開始した参加者と完了しなかった参加者を分析することで調査した。
コメントを残す