I captcha hanno rappresentato un dramma per una parte di umanità esclusa da molti spazi su internet, tanto serio da spingere persino le Nazioni Unite a lanciare un vero e proprio allarme.

Da qualche mese però è caduta anche questa barriera informatica e ad abbatterla …sono stati quei geniacci di Mozilla che hanno creato un maghetto chiamato Webvisum!

A favore del cyberspazio gli hardware e software si evolvono a velocità strepitosa e a fronte di un esercito di creativi impegnati a rendere, di giorno in giorno, la vita più semplice e piacevole agli internauti superdotati, esiste una pattuglia di addetti ai lavori che si ingegna allo scopo di raggiungere gli stessi risultati di fruibilità dei servizi web a chi ha piccoli o grandi problemi sensoriali. Si tratta di un inseguimento estenuante e oneroso, che non sempre raggiunge l’obiettivo con immediatezza e quello della lettura dei captcha ottici ne è una dimostrazione.

Mozilla-Firefox con Webvisum ha regalato uno strumento che ridarà a milioni di persone la possibilità di navigare per esprimersi, socializzare e fare affari on line e di questa meritoria opera dovrebbe essergli riconoscente anche il comitato dei Nobel.

Nota leggermente amara: quello che è riuscito ai programmatori di Mozilla è riuscito anche ad alcuni “pirati” armati di botspam e, a causa di questo, a qualcuno starà mica venendo l’idea di creare degli antispam diversi e ancora più inaccessibili?

(Perla Scandinava)

Ed è in ragione di questa sua mission che il W3c ha preso in esame i codici antispam ottici, bocciandoli senza alcuna possibilità di appello.

Qui la relazione.

• Disincentivano i commenti, richiedendo attività aggiuntiva all’aspirante commentatore;

• Talvolta le immagini sono così distorte da essere quasi impossibili da leggere, anche per soggetti dotati di perfetta capacità visiva;

• I captcha possono essere aggirati dagli hacker;

• I soggetti non vedenti sono completamente esclusi dalla possibilità di commentare, sui siti che offrono tali opportunità;

• Anche i dislessici hanno problemi di accesso a causa dei captcha ottici;

Ma oggi esistono alternative migliori e meno intrusive ai captcha.

Una è rappresentata da Akismet: nato originariamente per il mondo WordPress, ad oggi ne sono state realizzate venti versioni anche per le altre piattaforme di blogging, tra cui Movable Type, Drupal, Joomla, Post Nuke, b2evolution, Nucleus oltre che per i principali software di forum, tra cui phpBB e Simple Machine.

In Akismet, tutti i commenti vengono sottoposti ad un server centrale. Ogni volta che qualcuno commenta il vostro blog, il testo viene inviato al database. A seguito della verifica, il commento classificato come spam viene “marcato” e posto in una coda antispam. Il commentatore non deve fare nulla, mentre il webmaster (o il titolare del blog) deve solo verificare nella coda antispam l’assenza di falsi positivi, cioè commenti erroneamente segnalati come spam, e provvedere alla successiva pubblicazione manuale. E’ utile ricordare che, finora, Akismet ha un eccellente track record, con una percentuale pressochè irrilevante di falsi positivi e falsi negativi (spam non riconosciuto come tale). Ad Akismet possono poi essere affiancati altri plugin antispam, come Spam Karma (attivo su questo sito) e Bad Behaviour. In alternativa ad Akismet, gli utenti della piattaforma Blogger-Blogspot possono utilizzare l’eccellente Haloscan, e verificare manualmente la presenza di falsi positivi. Altre piattaforme permettono all’utente di richiedere ai commentatori la registrazione prima di commentare: un piccolo sforzo iniziale, in termini di attività aggiuntiva, che elimina alla radice il problema degli spambot. Inoltre, segnaliamo lo sviluppo sempre più frequente di moduli antispam (i form) in cui l’immagine distorta del captcha viene sostituita da un quiz, liberamente personalizzabile dal gestore del sito. Tra i form antispam del mondo WordPress suggeriamo WP-ContactForm di Douglas Karr.

In sintesi, oggi è possibile combattere lo spam e mantenere accessibile il proprio sito o forum. L’era dei captcha ottici volge al tramonto? Noi ce lo auguriamo, e lavoreremo per informare e giungere a questo obiettivo.

Con l’acronimo inglese CAPTCHA si denota nell’ambito dell’informatica un test fatto di una o più domande e risposte per determinare se l’utente sia un umano (e non un computer o, più precisamente, un bot). L’acronimo deriva dall’inglese “completely automated public Turing test to tell computers and humans apart” (Test di Turing pubblico e completamente automatico per distinguere computer e umani). Il termine è stato coniato, nella terminologia inglese, nel 2000 da Luis von Ahn, Manuel Blum e Nicholas J. Hopper della Univerisità Carnegie Mellon e da John Langford della IBM. Come consueto nella terminologia informatica il termine inglese viene utilizzato anche nella terminologia informatica italiana.

Un test captcha tipicamente utilizzato è quello in cui si richiede ad un utente di scrivere quali siano le lettere o numeri presenti in una sequenza di lettere o numeri che appaiono distorti o offuscati sullo schermo.

Dal momento che il test viene gestito da un computer, mentre il test originale di Turing viene gestito da un umano, a volte si descrive il test captcha come un test di Turing inverso. Si tratta però di una definizione fuorviante, perché potrebbe indicare anche un test di Turing in cui entrambi i partecipanti tentano di provare che non sono umani.

I captcha sono quindi

utilizzati per impedire che i bot utilizzino determinati servizi, come i forum, la registrazione presso siti, scrivere commenti e in generale tutte quello che potrebbe essere usato per creare spam o per violare la rete con operazioni di hacking come il brute force. Ultimamente questo tipo di test viene utilizzato anche per contrastare lo spam generato da bot obbligando il mittente, se non conosciuto dal destinatario, a superare un test captcha prima di consentire la consegna del messaggio.

Ma la natura stessa del captcha porta a discriminare alcune tipologie di utenti:

L’uso di test captcha basati sulla lettura di testi o altre attività legate alla percezione visiva impedisce o limita fortemente l’accesso alle risorse protette agli utenti con problemi di vista (ad esempio i daltonici). Poiché tali test sono progettati specificamente per non essere leggibili da strumenti automatici, i normali ausili tecnologici usati dagli utenti ciechi o ipovedenti non sono infatti in grado di interpretarli. Il loro uso, generalmente legato alle fasi iniziali di accesso o registrazione ai siti, e talvolta ripetuto per ogni accesso, può costituire una discriminazione nei confronti di tali utenti disabili che in alcuni ordinamenti costituisce una violazione delle norme di legge.

Le nuove generazioni di captcha, create per resistere ai più sofisticati programmi di riconoscimento di testi, possono essere molto difficili o impossibili per molti utenti, anche nel pieno possesso della propria capacità visiva.

Qualcuno potrebbe obiettare che, in fondo, non vedenti, ipovedenti, dislessici o daltonici sono complessivamente una minima frazione dell’utenza internet. Un piccolo scotto da pagare per combattere lo spam. Sfortunatamente, i captcha sono aggirabili dagli spammer. Leggiamo ancora da Wikipedia:

Dopo l’uso massiccio di captcha, sono state scoperte alcune contromisure che permettono agli spammer di superare i captcha.

Il metodo più semplice è di utilizzare un utente per risolvere il captcha. Per fare questo lo spammer deve avere un sito Internet con un servizio per cui gli utenti umani chiedono l’accesso, come un forum o immagini pornografiche. Quando un utente chiede di accedere, viene salvato un captcha esterno che viene quindi risolto dall’utente. Successivamente verrà “riciclato” il captcha già risolto.

È anche possibile affidare a persone pagate il compito di risolvere un captcha, il documento del W3C indicato sopra afferma che un operatore può facilmente verificare centinaia di captcha in un’ora; questa possibile soluzione necessita di un investimento economico che non tutti possono o vogliono intraprendere.

Greg Mori e colleghi hanno presentato nel 2003 un lavoro ^[1] che illustra come aggirare uno dei sistemi più diffusi per realizzare test captcha, EZ-Gimpy; tale approccio è efficace nel 92% dei casi. Nei confronti del sistema Gimpy, più sofisticato ma meno diffuso, l’efficacia del metodo scende al 33%. Al momento non è però noto se tale algoritmo sia stato implementato al di fuori del contesto della ricerca.

Sono stati creati anche alcuni programmi per cercare una soluzione ripetutamente e altri per riconoscere i caratteri scritti, utilizzando tecniche apposite e non quelle standard degli OCR. Progetti come PWNtcha^[2] hanno fatto grandi passi avanti contribuendo alla generale migrazione verso captcha più difficili.

C’è anche un altro metodo per superare un captcha: sfruttare sessioni in cui il test è già stato superato o salvare i test per poi creare un archivio di soluzioni.

E allora? Allora vi sono altri strumenti antispam, efficaci quanto e più dei captcha ottici, che permettono di raggiungere il duplice obiettivo di proteggersi dallo spam e mantenere accessibile il proprio sito. (Continua…)