Cloudflare: mensheid verspilt vijfhonderd jaar per dag aan captcha's
De mensheid verspilt vijfhonderd jaar per dag aan het oplossen van captcha's, zo claimt internetbedrijf Cloudflare, dat met fysieke beveiligingssleutels een oplossing wil gaan bieden. Critici zien de oplossing niet zitten. Websites en online diensten gebruiken captcha's (completely automated public Turing) om mensen van bots te onderscheiden.
Volgens Cloudflare duurt het gemiddeld 32 seconden voor een internetgebruiker om een captcha op te lossen. Er zijn 4,6 miljard internetgebruikers die naar schatting van Cloudflare elke tien dagen een captcha te zien krijgen. Aan de hand daarvan komt het bedrijf op vijfhonderd jaar per dag. Het internetbedrijf heeft een oplossing ontwikkeld waarbij internetgebruikers geen captcha meer moeten oplossen, maar een fysieke beveiligingssleutel gebruiken om aan te tonen dat ze mens zijn. Het gaat hier om dezelfde beveiligingssleutels die voor het beveiligen van accounts zijn te gebruiken.
Websites die aan het experiment van Cloudflare meedoen bieden gebruikers naast de traditionele captcha de optie "I am human (beta)". Via deze optie wordt de gebruiker om een fysieke beveiligingssleutel gevraagd. De gebruiker steekt de sleutel vervolgens in zijn computer of houdt die bij zijn telefoon, waarna een cryptografisch bewijs naar Cloudflare wordt gestuurd en de gebruiker heeft bewezen dat hij geen bot is. Dit proces neemt volgens het internetbedrijf vijf seconden in beslag.
Bij deze methode wordt volgens Cloudflare de privacy van gebruikers beschermd, omdat het cryptografische bewijs niet uniek voor het apparaat is. Elk Universal 2nd Factor (U2F) apparaat beschikt over een gedeeld 'attestation' key pair dat op minimaal 100.000 U2F-apparaten van dezelfde fabrikant aanwezig is. Dit moet het uniek identificeren van U2F-apparaten voorkomen (pdf).
Cloudflare vraagt gebruikers om te bewijzen dat ze over een public key beschikken die door een vertrouwde fabrikant gesigneerd is. Fabrikanten signeren de attestation public key met een digitaal certificaat. "Dus wanneer Cloudflare je om een digitale handtekening vraagt, verifieert het of je pubilc key is gesigneerd door de public key van een fabrikant", stelt het internetbedrijf.
Hierdoor moet Cloudflare nog steeds weten door welke fabrikant de beveiligingssleutel van de gebruiker is geproduceerd. Informatie waar het internetbedrijf vanwege privacyredenen naar eigen zeggen niet op zit te wachten. Om ook dit probleem te verhelpen maakt Cloudflare gebruik van Zero Knowledge proofs (ZK proof). Hierdoor zijn de beveiligingssleutels van de ene fabrikant niet meer van andere fabrikanten te onderscheiden. Informatie over deze toepassing verschijnt op een later moment.
Het experiment met "Cryptographic Attestation of Personhood" zal op beperkte schaal in Engelssprekende regio's beschikbaar zijn. Daarnaast worden op het moment alleen beveiligingssleutels die via usb of nfc werken ondersteund.
Update
Critici zien de oplossing van Cloudflare niet zitten. Het opzetten van een geautomatiseerde aanval om de oplossing te omzeilen is eenvoudig. Daarnaast zou ook de privacy in het geding zijn. FIDO stelt dat er één batchcertificaat per 100.000 sleutels wordt gebruikt. Wanneer bekend is dat een gebruiker een beveiligingssleutel heeft en het batchcertificaat wordt op een website gezien, is er een kans van 1 op 100.000 dat het de betreffende gebruiker is.
Gecombineerd met andere informatie die websites verzamelen kan dit tegen gebruikers worden gebruikt. Verder worden beveiligingssleutels voor authenticatie gebruikt, maar is daar bij de oplossing van Cloudflare geen sprake van. "Het verifieert alleen het apparaatmodel", zegt Yuriy Ackermann.
Reken eens uit hoeveel tijd je verliest met advertenties parsen :)
Waarom zou je nog meer data aan een internet Tech Gigant geven?
Zij klagen erover maar zijn zijn wel de grootste veroorzaker van dit tijdverlies.... wat is hun agenda, waar willen ze mee komen? Chip in de huid? Ik zou heel alert worden als zo'n datagraaier als Cloudflare met dit soort berichten naar buiten komt.
Vijfhonderd jaar tijdverspilling per dag, ieder dag weer, jaar in jaar uit. Tijd die dus niet nuttiger besteed kon worden, zoals aan het oplossen van dringender zaken voor de mensheid, zoals de aanpak van de klimaatcrisis, het tegengaan van de vernietiging van ecosystemen en de bestrijding van gevaarlijke infectieziekten. Het zal mij ook niets verbazen dat de CO2-uitstoot ten gevolge van het invullen van reCaptcha's, en de toegepaste AI die daar achter zit, aanzienlijk is.
En de rijen lichtjes van Musk's communicatie-spy-satellieten waren in Brabant laatstelijk al even goed waar te nemen,
tot ze uit het zicht waren verdwenen.
The Forces that Be drukken het gewoon door. Halsstarrige en onverdroten kleine groep doordrammers.
Bedenkers van oplossingen tot ons aller ongeluk.
Skyfall moeten we toch liever nog even uitstellen of tot film houden, die nog niet volledig gerealiseerd is.
Dit alhoewel de heer E. Musk en geallieerden er gewoon aan doorwerken zullen.
Even nog geen beta-human willen worden binnen het Internet of Beta-Human Things, als het aan mij ligt.
Dit alles binnen de cash-less society van de nabije toekomst.
Een tijd in aantocht, waar ieder niets zal bezitten en toch gelukkig moet kunnen zijn.
Hoe lang of ik dit zal volhouden met al het gedrang en gedram om me heen, valt te bezien.
Misschien een paar lock-downtjes verder ben ik ook af en "all for". Denk het overigens niet.
Ik vind in ieder geval de heer Ackermann aan mijn zijde, alsmede vele gelijkgestemden hier met mij.
Goede week nog allemaal,
luntrus
Enne, iedereen moet natuurlijk
hebben we gelijk een monopoly
Overigens is mijn oplossing heel veel beter
het is nog iets te vroeg voor de details, maar die komen hoor
En bedrijven maar massaal gebruiken bij hun contactformulier op hun site, niet wetende dat er een screenshot gemaakt wordt en naar de servers van Google verzonden wordt.
Dit soort bedrijven hebben lak aan jouw privacy, kun je het beste vermijden.
Maar men begint altijd onderaan de verkeerde boom te janken. Kijk naar het plastic vervuilingsprobleem.
We stoppen niet de grote producent van plastic draagtasjes bijvoorbeeld, die op wat ie normaliter affakkelt,
ter waarde van 0,25 eurocent nog er eens extra 24,75 eurocent verdienen kan.
Het probleem ligt immers altijd bij de bevolking, die dit vervuilen opgedrongen wordt.
Er is geen versterkte papieren zak als alternatief. Dus de eco-rethoriek dreigt altijd de vervuilende burger,
die een schuldgevoel moet worden aangepraat, maar nooit de giga-vervuiler, die vrijuit gaat.
Je gaat hier in mee, zonder deze consequenties alleen maar te willen overdenken.
De vervuilende top-elite zijn de veroorzakers, niet wij, de zogenaamde mensheid minus hen.
Ik hoef ook geen reclame te maken voor Google, dat doen ze zelf wel of ik moet ervoor werken
en alle ongelegen en onwelkome waarheden willen neutraliseren en desnoods censureren.
#sockpuppet
Het is alleen een hindernis om een site te bezoeken,veilgheid is er niet bij geboden.
Ja echt, en als je ze dan vraagt of een crimineel geen mens is, dan zie je ze echt even denken en komt het "ow, daar is het dus niet voor" moment pas.
Captcha is gewoon een verkeerde oplossing (bot detectie) voor een probleem dat je prima met andere technieken kunt oplossen.
Geinig. U weet dat wanneer u anoniem hier antwoordt u een Captcha moet oplossen om het antwoord verzonden te krijgen? Jawel, die cijfer- en lettercombinatie op die gespikkelde achtergrond is een Captcha.
Geinig. U weet dat wanneer u anoniem hier antwoordt u een Captcha moet oplossen om het antwoord verzonden te krijgen? Jawel, die cijfer- en lettercombinatie op die gespikkelde achtergrond is een Captcha.
Ik ben het niet met je eens. Wij hadden jarenlang geen captcha, maar zijn daartoe overgegaan toen we ineens heel veen gerobotiseerde spam en phising berichten kregen via ons contactformulier op de website.
Wel kunnen die captcha's een stuk simpeler. Wanneer ik gevraagd wordt om motoren, bussen, winkels oid aan te tikken en het plaatje laat veel te wensen over ben ik er ook snel klar mee. net als onleesbare tekens
Laten we vooral systemen weer onveiliger maken, en het risico van geautomatiseerde aanvallen weer verhogen. De reden achter captcha's is niet het geven van data aan tech giants.
Fatsoenlijke websites maken geen gebruik van dergelijke maatregelen, om te voorkomen dat je met geautomatiseerde processen de website aan kan vallen ?
Vijfhonderd jaar tijdverspilling per dag, ieder dag weer, jaar in jaar uit. Tijd die dus niet nuttiger besteed kon worden, zoals aan het oplossen van dringender zaken voor de mensheid, zoals de aanpak van de klimaatcrisis, het tegengaan van de vernietiging van ecosystemen en de bestrijding van gevaarlijke infectieziekten. Het zal mij ook niets verbazen dat de CO2-uitstoot ten gevolge van het invullen van reCaptcha's, en de toegepaste AI die daar achter zit, aanzienlijk is.
Ik denk niet dat je dat zo eenvoudig kan zien, om meerdere redenen:
1) Zonder captcha's worden forums en formulieren e.d. online volgespammed, en dat voorkomen of oplossen kost ook veel tijd en energie. Er is een reden dat we die captcha's hebben, het is geen "verspilling", het is "besparing"
2) Het is natuurlijk niet zo dat als iemand 10 seconden tijd uit kan sparen door geen captcha te hoeven oplossen, dat die 10 seconden dan besteed zou worden aan het oplossen van de grote problemen van de mensheid. Waarschijnlijk betekent het gewoon 10 seconden eerder pr0n kijken.
3) 500 jaar klinkt erg veel, maar gezien de hoeveelheid mensen is het niet noemenswaardig. Als je deze manier van uitrekenen gebruikt dan kan je overal over klagen. Zo denk ik dat de mensheid wel meer dan 500 jaar per dag verspilt aan het lospeuteren van het eerste velletje van wc-rollen, en aan het uit de knoop halen van schoenveters... ik bedoel maar, dit zegt niets. Een vermindering van 30 seconden per persoon per twee weken gaat niet de klimaatcrisis oplossen.
En het draagt bij aan de klimaatvriendelijkheid.
Bedenk maar eens hoeveel energie er verbruikt wordt door alleen het kijken naar reclame.
En het is ook een stuk klantvriendelijker omdat zijn ogen en oren er niet mee belast worden en zijn onderbewustzijn niet vervuild.
Want ik ben die massaal geaccepteerde sublimatie een beetje goed zat.
Plafondstaren tot gevolg hebbend.
Geen toegang daar tot Dan U.K.
Natuurlijk het goed recht van website admins om hun toko voor tor-users gesloten te houden
of hen door naar een zandbak te sturen.
Maar iets vervangen door iets dat nog onveiliger is, is natuurlijk ook niet zo'n goede oplossing.
Maar a priori is de cloud nooit iets veiligers geweest, wel gemakkelijker en een oplossing voor lieden,
die de verantwoording graag elders leggen en ieder door hetzelfde Palmyra-poortje willen dwingen.
Nog meer tracking, nog meer data-slurp, nog meer surveillance, nog meer drang- en dwang,
en het leifst als de slachtoffers het niet doorhebben.
#sockpuppet
Zij zullen je vast een (smart)band sturen waarin de sleutel verwerkt zit. Natuurlijk voor een paar $$ per jaar.
Helaas heeft AH die controle zo geïmplementeerd dat je ook nog moet bewijzen dat je geen bot bent NADAT je je gebuikersnaam en wachtwoord (correct) heb ingevuld. AH is dus kennelijk bang voor een aanval door bots die al op de hoogte zijn van je inloggegevens.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
