Un análisis de UC San Diego presentado en el Simposio de Seguridad USENIX y difundido por MIT Technology Review en agosto de 2010 descubrió una red mundial de servicios que ayudan a los spammers a superar los CAPTCHA: cientos, posiblemente miles, de trabajadores que cobran menos de 50 dólares al mes y resuelven acertijos enviados por intermediarios automatizados que venden las soluciones a los spammers en tiempo real.
La economía derrota al diseño. Los CAPTCHA funcionan porque son fáciles para los humanos y difíciles para las computadoras, así que la red de retransmisión simplemente aporta al humano. La entrega es tan eficiente que la espera promedio para obtener una solución ronda los 20 segundos, lo bastante rápida para que los bots registren cuentas de correo y publiquen en foros y blogs sin interrupción.
Los investigadores sondearon un servicio, ImageToText, cuyos trabajadores devolvieron respuestas correctas en una gama notable de idiomas, incluidos neerlandés, coreano, vietnamita, griego y árabe. Incluso los CAPTCHA escritos en klingon —elegido como control porque quizá una de cada mil conjeturas aleatorias acertaría— fueron resueltos por los trabajadores.
El estudio concluyó que los sitios operados por Microsoft, AOL y Google, junto con el ampliamente usado reCAPTCHA, eran comprometidos con regularidad mediante estos servicios; las entrevistas con un operador anónimo, el «Sr. E», confirmaron el modelo. Para los spammers sofisticados, hallaron los investigadores, los CAPTCHA no eran una barrera sino un costo de hacer negocios.
No vencer la prueba de Turing, sino rodearla: los intermediarios envían cada CAPTCHA a trabajadores que cobran menos de 50 dólares al mes y venden las respuestas de vuelta a los bots en tiempo real.
Documenta el momento exacto en que un control de seguridad dejó de ser una barrera y se convirtió en un precio: alrededor de un centavo por acertijo.
El diseño del sistema es la parte ingeniosa: intermediarios automatizados, entrega en tiempo real y una fuerza laboral distribuida convierten la inteligencia humana en una API medida.
La evidencia es empírica, no anecdótica: análisis de ubicación de los trabajadores, experimentos en vivo incluido el control en klingon, y una entrevista con un informante interno.
Obligó a la industria de la seguridad a repensar los CAPTCHA, ya que la prueba sigue funcionando pero la economía del atacante la había absorbido.
Cualquier defensa valorada frente a las máquinas puede ser derrotada por el precio del tiempo humano: sepa cuáles de sus controles son tan fuertes solo como el costo de pagarle a alguien para hacer la tarea a mano.
Los hallazgos del artículo de USENIX pusieron el mercado de retransmisión humana en el registro en 2010; la conclusión del estudio —que para los spammers sofisticados los CAPTCHA son un costo de hacer negocios— se convirtió en el marco estándar para explicar por qué las comprobaciones de texto distorsionado por sí solas dejaron de mantener a raya a los bots.
CONSULTA LAS PRUEBAS
Las fuentes
- How Spammers Use Low-cost Labor to Solve CAPTCHAS MIT Technology Review · technologyreview.com ·