Googles nye reCAPTCHA har en mørk side
Den nyeste version af botdetektoren #reCaptcha er usynlig for brugerne og har spredt sig til mere end 650.000 websites.
Det er godt for #sikkerheden – men ikke så godt for dit #privatliv.
Vi har alle sammen prøvet at logge ind på et websted eller indsende en formular, men er så fastlåst i at klikke på felter med trafiklys, butiksfacader eller broer i et desperat forsøg på endelig at overbevise computeren om, at vi ikke er en #bot.
I mange år har dette været en af de fremherskende måder, hvorpå reCaptcha – den af #Google drevne #internetbotdetektor – har afgjort, om en bruger er en bot eller ej. Men sidste efterår lancerede Google en ny version af værktøjet med det formål helt at fjerne denne irriterende brugeroplevelse. Når du nu indtaster en formular på et websted, der bruger #reCaptcha V3, vil du ikke se afkrydsningsfeltet “Jeg er ikke en robot”, og du vil heller ikke skulle bevise, at du ved, hvordan en kat ser ud. I stedet vil du slet ikke se noget som helst.
“Det er en bedre oplevelse for brugerne. Alle har fejlet en Captcha”, siger Cy Khormaee, reCaptcha-produktleder hos Google. I stedet analyserer Google den måde, som brugerne navigerer på et websted, og tildeler dem en risikoscore baseret på, hvor skadelig deres adfærd er. Khormaee vil ikke dele, hvilke signaler Google bruger til at bestemme disse scorer, fordi han siger, at det ville gøre det lettere for svindlere at efterligne godartede brugere, men han mener, at denne nye version af reCaptcha gør det utroligt svært for robotter eller Captcha-farmere – #mennesker, der får små beløb for at bryde Captchas #online – at snyde #Googles #system.
En #gammel #version af #reCaptcha. [Billede: med tilladelse fra Google]
“Du skal forstå, hvordan adfærden på #webstedet skal være, og efterligne den godt nok til at narre os,” siger han. “Det er et virkelig svært problem i forhold til det generelle problem med at “lade som om #jeg #er et #menneske”.” Webstedsadministratorer får derefter adgang til deres besøgendes risikoscorer og kan beslutte, hvordan de skal håndtere dem: Hvis en bruger med en høj risikoscore f.eks. forsøger at logge ind, kan webstedet opstille regler, der beder brugeren om at indtaste yderligere verifikationsoplysninger via to-faktor-autentifikation. Som Khormaee udtrykte det, “i værste fald har vi en lille ulejlighed for legitime brugere, men hvis der er en modstander, forhindrer vi, at din konto bliver stjålet”.
Ifølge det #tekniske statistikwebsted Built With #bruger mere end 650.000 websteder allerede reCaptcha v3; samlet set er der mindst 4,5 millioner websteder, der bruger reCaptcha, herunder 25 % af de 10.000 største #websteder. Google tester nu også en virksomhedsversion af reCaptcha v3, hvor Google opretter en tilpasset #reCaptcha til #virksomheder, der søger mere granulære data om brugernes #risikoniveauer for at beskytte deres websteds algoritmer mod ondsindede #brugere og #bots.
Men dette nye, risikoscore-baserede system er forbundet med en alvorlig modydelse: brugernes privatliv.
Ifølge to sikkerhedsforskere, der har studeret reCaptcha, er en af de måder, hvorpå Google afgør, om du er en ondsindet bruger eller ej, om du allerede har en Google-cookie installeret i din #browser. Det er den samme cookie, som gør det muligt for dig at åbne nye faner i din browser uden at skulle logge ind på din Google-konto igen hver gang. Men ifølge Mohamed Akrout, en ph.d.-studerende i datalogi ved University of Toronto, der har studeret reCaptcha, ser det ud til, at Google også bruger sine cookies til at afgøre, om en person er et menneske i reCaptcha v3-testene. Akrout skrev i en artikel fra april om, hvordan reCaptcha v3-simuleringer, der kørte på en browser med en tilsluttet Google-konto, fik lavere risikoscorer end browsere uden en tilsluttet Google-konto. “Hvis du har en Google-konto, er det mere sandsynligt, at du er et menneske,” siger han. Google har ikke svaret på spørgsmål om den rolle, som Google-cookies spiller i reCaptcha.
Med reCaptcha v3 viste teknologikonsulent Marcos Perona og Akrouts test begge, at deres reCaptcha-scoringer altid var lav risiko, når de besøgte et testwebsted på en browser, hvor de allerede var logget ind på en Google-konto.
Hvis de derimod besøgte testwebstedet fra en #privat #browser som Tor eller en VPN, var deres score højrisiko.
For at få dette #risikoscoresystem til at fungere korrekt skal #webstedsadministratorer indlejre reCaptcha v3-kode på alle siderne på deres websted, ikke kun på formularer eller log-in-sider. Derefter lærer reCaptcha med tiden, hvordan brugerne af deres websted typisk handler, hvilket hjælper den underliggende maskinlæringsalgoritme med at generere mere præcise risikoscorer. Da reCaptcha v3 sandsynligvis er på alle sider på et websted, er der en chance for, at Google, hvis du er logget ind på din Google-konto, får data om hver eneste webside, du går ind på, der er indlejret med reCaptcha v3 – og der er ofte ingen visuelle tegn på webstedet på, at det sker, ud over et lille reCaptcha-logo, der er skjult i hjørnet.
Khormaee ville ikke forholde sig til den måde, hvorpå #Google #bruger data til #reCaptcha på nogen måde, og henviste i stedet Fast Company til Googles #servicevilkår, som er linket under reCaptcha-logoet på de fleste websteder. Der var dog ingen henvisning til reCaptcha nogen steder i #servicevilkårene. Efter at denne historie blev offentliggjort, kontaktede Google Google for at sige, at reCaptcha’s API sender #hardware- og #softwareoplysninger, herunder data om #enheder og #programmer, tilbage til Google til analyse, og at tjenesten kun bruges til at bekæmpe spam og misbrug.
At Google opfordrer webstedsadministratorer til at installere reCaptcha på alle deres websteder og derefter dele de resulterende risikoscorer med disse administratorer er godt for sikkerheden, mener Perona, fordi han siger, at det “giver webstedsejere mere kontrol og synlighed over, hvad der foregår” med potentielle scammer- og botangreb, og systemet vil give administratorer mere præcise scoringer, end hvis reCaptcha kun bruger data fra en enkelt webside til at analysere brugeradfærd. Men der er en modydelse. “Det giver mening og gør det mere brugervenligt, men det giver også Google flere data,” siger han. Google ville ikke præcisere, hvad de gør med de data, de opsamler om brugeradfærd via reCaptcha, kun at de bruges til at forbedre reCaptcha og til generelle sikkerhedsformål.
Denne form for cookie-baseret dataindsamling finder sted andre steder på internettet. Store virksomheder bruger den som en måde at vurdere, hvor deres brugere bevæger sig hen, når de surfer på nettet, hvilket kan bruges til at levere bedre målrettede reklamer. Googles reCaptcha-cookie følger f.eks. den samme logik som Facebooks “like”-knap, når den er indlejret på andre websteder – den giver det pågældende websted nogle sociale mediefunktioner, men den fortæller også Facebook, at du er der. Google har tidligere sagt, at de data, der indsamles fra reCaptcha, ikke bruges til målretning af annoncer eller analyse af brugerinteresser og -præferencer. Efter at denne historie blev offentliggjort, sagde Google, at de oplysninger, der indsamles via reCaptcha, ikke vil blive brugt til personliggjort annoncering af Google.
Perona betragter Googles brug af reCaptcha som en “online-landtager”, der styrker Googles greb om internettet. Han mener, at reCaptcha på denne måde ligner andre Google-produkter som Accelerated Mobile Pages (AMP), et program, der skal gøre nyhedssiderne hurtigere at indlæse på mobile enheder, men som har skabt en vis foruroligelse hos udgiverne over, om Google tager webtrafikken fra nyhedssiderne.
Det samme gælder for Google Chrome, som Washington Post for nylig kaldte “#overvågningssoftware” (jeg er blandt dem, der har droppet Chrome til fordel for Firefox).
“Det er altid et tveægget sværd”, siger Perona. “Du vinder noget, men du giver også Google lidt mere kontrol over alt online.”
Gevinsten er sikkerhed og en bedre brugeroplevelse, men privatlivets fred kan lide under det.
Google tog ikke stilling til eventuelle problemer med privatlivets fred og insisterede på, at reCaptcha v3 er et spørgsmål om virksomhedens ansvar. Virksomheden ser reCaptcha v3 som en måde at sikre en sikker og gnidningsfri online-oplevelse på. “Google er så dybt integreret i internettet”, siger Khormaee. “Vi ønsker at gøre alt, hvad vi kan, for at beskytte det.”
Kilde: https://www.fastcompany.com/90369697/googles-new-recaptcha-has-a-dark-side
