Google, il CAPTCHA va ruotato

CAPTCHA, ovvero Completely Automated Public Turing test to tell Computers and Humans Apart, ovvero uno dei dilemmi con cui gran parte dei programmatori e dei servizi di un certo livello ha dovuto incappare. Il CAPTCHA, infatti, è il sistema che dovrebbe distinguere un bot da un umano, rendendo così difficile lo sfruttamento dei servizi online per usi illeciti. Google è uno dei gruppi più esposti al problema, ed è ora proprio da Google che giunge una nuova proposta per risolvere un problema tanto fondamentale quanto solo apparentemente di semplice approccio.

Il concetto di CAPTCHA si è progressivamente evoluto nel tempo instaurando la solita rincorsa tra guardia e ladri che il mondo della sicurezza online ben conosce. L’idea è quella per cui, al fine di filtrare l’accesso a servizi che potrebbero essere utilizzati ad esempio dagli spammer (Gmail ed altre caselle di posta ne sono state spesso vittima), occorre utilizzare un processo di trasposizione di significati tra due entità: una immagine ed un modulo da riempire. L’immagine spesso e volentieri è stata quella di numeri o lettere modificati in modo da divenire di difficile lettura ma, al tempo stesso, di facile interpretazione: così facendo si tenta di rendere difficile il lavoro dei malintenzionati, i quali possono però farsi forza con software OCR sempre più affinati e capaci.Negli anni si è tentato con sistemi vari, ma i risultati sono spesso stati vani: dopo un periodo di adattamento si è sempre arrivati al sistema in grado di aggirare il CAPTCHA.

La proposta odierna di Google parte da tre presupposti. Un CAPTCHA efficiente, infatti, deve essere:

• facilmente interpretabile dalla maggior parte delle persone;
• difficilmente risolvibile da bot automatici;
• di semplice generazione;

L’idea è quella per cui un sistema pratico e valido potrebbe essere quello di usare una serie di fotografie. Invece di richiederne all’utente il contenuto (sistema già bocciato in passato in seguito al miglioramento dei software di riconoscimento), il nuovo approccio potrebbe invece chiedere all’utente di verificare il giusto orientamento dell’immagine secondo quelli che sono i contenuti identificati. Il procedimento mentale è pertanto duplice: il riconoscimento dell’oggetto nel suo contesto in primis, l’interpretazione della sua più logica posizione nello spazio infine.

La spiegazione è stata fornita dai ricercatori Rich Gossweiler, Maryam Kamvar e Shumeet Baluja in un apposito documento (pdf). L’analisi fornita è molto dettagliata ed è utile, oltre all’illustrazione del nuovo sistema e delle sue qualità, ad evidenziare quanto possa essere complessa la composizione di un CAPTCHA di valore. La soluzione perfetta al momento non esiste, ma è necessario cercare invece un compromesso tra l’interpretabilità della foto e la facilità di lettura della stessa. Sta tutto nel passaggio tra il significante ed il suo significato, ma la casistica è estremamente multiforme e non tutte le immagini, ad esempio, si prestano al sistema posizionale suggerito.

Vi sono anche aspetti terzi da tenere in considerazione nella valutazione di un CAPTCHA. Il documento made in Google rileva ad esempio la praticità della nuova proposta anche in ambito mobile, ove una superficie touchscreen potrebbe permettere una facile rotazione dell’immagine da orientare per dimostrare il fattore umano dell’interazione. Ma non solo: «la maggior parte dei CAPTCHA è visto come intrusivo e fastidioso. Per alleviare l’insoddisfazione, possiamo usare immagini che migliorino l’esperienza sul sito. Per esempio, su una pagina di sign-up della Disney, caratteri Disney, filmati o sketch da cartoon potrebbero essere usati come immagini da ruotare; eBay potrebbe usare immagini di oggetti in vendita; un Baseball Fantasy Group potrebbe usare oggetti correlati al baseball».

Se il sistema sarà in grado di dimostrare nella realtà tutto il proprio valore, probabilmente verrà presto adottato su Gmail così da evitare al sistema fastidiosi problemi di spam dovuti alla creazione di caselle di posta strumentalmente utilizzate per l’invio massivo di messaggi automatici.