De ce CAPTCHA-urile ne fac pe toți să suferim (și ce ar putea rezolva asta)

Imaginează-ți scena. E 7 dimineața. Bei a doua cafea și vrei să arunci un ochi rapid peste știri înainte de muncă. În schimb, stai și te chinui să identifici semne de circulație deformate, motociclete și indicatoare rutiere. Din nou. Abia treci testul și abia apoi ajungi la conținutul care te interesa. Îți sună cunoscut?

Nu ești singurul, iar această frustrare devine din ce în ce mai gravă.

Când războiul contra bot-ilor devine un război contra utilizatorilor

Hai să vedem ce se întâmplă în culise. Proprietarii de site-uri sunt disperați de bot-uri. Și sincer, au toate motivele să fie. Atacurile de tip credential stuffing, spam-ul de comentarii, scalping-ul de bilete și campaniile de scraping costă business-urile milioane anual șiruinează experiența pentru toată lumea.

Problema e cum abordează majoritatea site-urilor această amenințare.

Când elimini semnalele de tracking pe care browserele le-au îndepărtat cu grijă — cookies terți, amprente detaliate ale browserului, adrese IP persistente — elimini simultan și instrumentele de care sistemele anti-abuz aveau nevoie ca să facă diferența între oameni și bot-uri. Așa că site-urile compensează cerând mai multe dovezi că vizitatorii sunt legitimi.

Rezultatul? Mai multe CAPTCHA-uri. Mai multe logări obligatorii doar ca să citești o singură pagină. Mai multe mesaje de tipul „ne pare rău, nu putem verifica că ești uman". Mai multe site-uri care interzic direct traficul prin VPN pentru că prea mulți actori rău-intenționați se ascund în spatele acestuia.

Suntem prinși într-o spirală în care toți pierd — intimitatea și experiența utilizatorului sunt în război una cu cealaltă.

Soluțiile care sunt mai rele decât problema însăși

Unele propuneri sună rezonabil până când le examinezi mai în detaliu.

Web Environment Integrity (WEI), de exemplu, îți cere să dovedești că dispozitivele tale sunt „de încredere" înainte de a accesa anumit conținut. La suprafață, are sens — vrei să ții la distanță dispozitivele compromise care rulează scripturi bot. Dar iată captura: această determinare ar fi făcută de un număr mic de gatekeeperi — producători de sisteme de operare și hardware. Ei ar controla ce dispozitive și software pot accesa web-ul.

Îți sună familiar? Asta înseamnă practic să schimbăm o categorie de gatekeeperi (rețele de publicitate și brokeri de date) cu alta (producători de cipuri și dezvoltatori de OS). Și istoria ne arată că de fiecare dată când concentrezi controlul asupra accesului la web, creezi puncte unice de eșec, potențial de abuz și bariere pentru inovație.

La NameOcean, credem că sistemul de nume de domeniu este un exemplu perfect de ce contează descentralizarea. Când ICANN gestionează zona root printr-un proces distribuit și internațional, nicio entitate singulară nu poate trage priza întregului web. Aceeași filozofie ar trebui să se aplice și la dovedirea că ești uman.

O cale mai bună: Garanții care protejează intimitatea

Ce-ar fi dacă site-urile n-ar avea nevoie să știe cine ești, ci doar că ești un om legitim care respectă limitele de rată rezonabile?

Aceasta este insight-ul central care alimentează cercetarea nouă în credențiale anonime. Ideea este elegantă: în loc să ceară utilizatorilor să-și dovedească identitatea sau fiabilitatea dispozitivelor individual fiecărui site, ce-ar fi dacă părțile cu care ai deja o relație ar putea garanta pentru tine?

Gândește-te așa. Ești abonat la un serviciu VPN pentru că apreciezi intimitatea. Dar acel range de IP-uri VPN este probabil pe zeci de blocklist-uri pentru că alte site-uri au avut de suferit din cauza traficului bot de pe aceleași IP-uri. Așadar, în loc să blochezi tot traficul VPN — ceea ce pedepsește utilizatorii legitimi — ce-ar fi dacă furnizorul tău VPN ar putea atesta criptografic: „Acesta este unul dintre abonații noștri plătitori. Au limite de utilizare rezonabile. Vă rugăm să-i tratați corespunzător."

Site-ul primește asigurarea că nu ești un bot la scară mare. Furnizorul VPN nu dezvăluie identitatea ta sau că ai folosit serviciul lor. Tu ai mai puține obstacole.

Nu este ficțiune științifică. Apple folosește deja un concept similar cu Private Access Tokens, care permit dispozitivelor iOS să dovedească fără să fie bot-uri fără a dezvălui ce site-uri vizitezi. Sistemul funcționează pentru că Apple controlează hardware-ul, ceea ce creează încrederea.

Dar putem merge mai departe fără să implicăm producătorii de hardware.

Credențiale anonime: fundația tehnică

Credențialele criptografice anonime permit unei părți să-ți emită o credențială pe care o poți prezenta ulterior pentru a verifica ceva despre tine — fără să dezvălui identitatea sau să permiți tracking-ul.

Imaginează-ți un sistem de carduri de bibliotecă în care biblioteca spune „această persoană este un cititor verificat" fără să înregistreze ce card a fost folosit la ce bibliotecă. Tu primești acces. Biblioteca primește dovada legitimității. Nimeni nu construiește un dosar cu obiceiurile tale de lectură.

Același principiu se aplică la limitarea ratei. Un emitent de credențiale ar putea spune „acest utilizator este legitim și nu și-a depășit limita de utilizare" fără să dezvăluie cine este, de unde vine credențiala, sau să permită site-urilor să coreleze vizitele tale de pe web.

Aceasta este fundația criptografică ce face posibile garanțiile care protejează intimitatea. Și spre deosebire de atestarea hardware, nu necesită să ai încredere în Qualcomm, Intel sau Apple pentru a decide ce software poate accesa web-ul.

Ce înseamnă asta pentru dezvoltatori și business-uri

Dacă construiești aplicații web, probabil te-ai lovit de această tensiune. Vrei să-ți protejezi infrastructura de abuz. Dar nu vrei nici să creezi bariere care să alunge utilizatorii legitimi.

Opțiunile actuale sunt instrumente brutale. CAPTCHA-urile au o rată de eșec de 30-50% pentru oameni. Blocarea IP-urilor prinde în masă utilizatorii de VPN și Tor. Pereții de logare reduc audiența și creează frecare.

Un sistem de credențiale anonime care protejează intimitatea ar schimba fundamental acest compromise. Ai obține un semnal mai bun despre dacă traficul este legitim fără să construiești infrastructură invazivă de tracking. Utilizatorii tăi ar avea o experiență mai lină fără să sacrifice intimitatea.

La NameOcean, urmărim cu atenție aceste evoluții pentru că aceleași principii se aplică la înregistrarea domeniilor și DNS. Am văzut cum controlul concentrat asupra infrastructurii critice creează riscuri. Un web în care orice parte poate garanta pentru utilizatori — și site-urile pot decide în ce emitenti au încredere — reflectă convingerea noastră că arhitectura deschisă și descentralizată a internetului trebuie păstrată la fiecare nivel.

Drumul înainte

Nu vom rezolva asta peste noapte. Implementarea credențialelor anonime la scară web necesită rezolvarea unor probleme dificile în criptografie, standardizare și experiența utilizatorului. Propunerile discutate la Mozilla, Cloudflare și printre vendorii de browsere sunt promițătoare, dar sunt încă la început.

Ceea ce contează este că discuția are loc. Web-ul nu trebuie să aleagă între intimitate și utilitate. Putem construi sisteme care verifică oamenii fără să-i supravegheze.

Până atunci, vom continua să ne chinuim la acele semne de circulație. Dar poate nu pentru totdeauna.