Wat is CAPTCHA en hoe werkt het?

Gekrulde letters ontcijferen, op elk afbeelding met een verkeerslicht tikken of een puzzelstukje op zijn plek schuiven... We moeten steeds vaker van die kleine digitale uitdagingen, ook wel CAPTCHA's genoemd, oplossen als we een account aanmaken, comments plaatsen of online formulieren invullen.

Maar wat zijn dat precies? En waarom bestaan ze? Lees verder om te leren wat een CAPTCHA is en welke belangrijke rol het speelt in cybersecurity

Waarom is CAPTCHA uitgevonden?

De geschiedenis van CAPTCHA, wat staat voor "Completely Automated Public Turing test to tell Computers and Humans Apart” (volledig geautomatiseerde openbare Turingtest om computers en mensen van elkaar te onderscheiden), gaat terug tot het begin van de 21e eeuw. De term werd in 2003 bedacht door een groep onderzoekers aan de Carnegie Mellon Universiteit om een specifiek probleem op te lossen.

Rond die tijd had Yahoo, een toonaangevende e-maildienst, veel last van spammers. Kwaadaardige gebruikers gebruikten computerprogramma's om grote aantallen e-mailaccounts aan te maken en misbruikten deze om spamberichten wijd en zijd te verspreiden.

Onderzoekers van Carnegie Mellon wilden helpen, dus bedachten ze een test waarbij gebruikers bij het maken van nieuwe accounts een reeks gekrulde letters en cijfers moesten interpreteren en intypen om te bewijzen dat ze echte mensen waren. Yahoo heeft deze nieuwe technologie snel ingevoerd om ongewenste aanmeldingen tegen te gaan, en andere platforms volgden al snel.

Wanneer en waarom zie je CAPTCHA tests?

Hoewel CAPTCHA oorspronkelijk is gemaakt om spammers ervan te weerhouden accounts aan te maken, heeft het sindsdien verschillende andere toepassingen gekregen. De meesten van ons zien CAPTCHA tests wanneer ze inloggen op accounts of online formulieren invullen.

Inloggen bij accounts

Veel platforms, zoals online banken, e-mailaccounts en sociale mediasites, vragen gebruikers routinematig om een CAPTCHA in te vullen wanneer ze inloggen op hun profiel. De CAPTCHA biedt in wezen een extra laag van inlogbeveiliging en zorgt ervoor dat een echte menselijke gebruiker probeert in te loggen in plaats van een robot.

Dit helpt om allerlei geautomatiseerde, op bots gebaseerde inlogaanvallen te voorkomen, zoals brute force aanvallen, waarbij bots snel een heleboel gebruikersgegevens proberen om de juiste te vinden en toegang te krijgen tot een account.

Formulieren verzenden

Je kunt ook een CAPTCHA tegenkomen als je op de knop "Verzenden” klikt op een online formulier, zoals een pagina voor het plaatsen van reacties, een contactformulier of een enquête.

Ook dit helpt om bots tegen te houden. Bots kunnen worden gebruikt om commentaarsecties te spammen met ongewenste berichten of zelfs phishing-links. Ze kunnen ook worden gebruikt om peilingen, wedstrijden of online enquêtes te beïnvloeden. CAPTCHA's voorkomen dit.

Hoe werkt CAPTCHA?

Het doel van een CAPTCHA test is om te bepalen of een gebruiker een echt persoon is of een computerprogramma, zoals een bot. De tests zijn er in verschillende vormen, maar ze hebben allemaal hetzelfde einddoel. Hier bekijken we hoe dat precies werkt.

Gebruiker vs. bot: Hoe de test je identificeert

CAPTCHA's werken in wezen volgens het principe dat er bepaalde problemen of puzzels zijn die voor mensen vrij gemakkelijk zijn, maar voor bots zeer uitdagend of bijna onmogelijk om op te lossen. Vervolgens worden deze puzzels aan de gebruiker voorgelegd, zoals de vraag om een reeks symbolen in te typen of een relatief eenvoudig wiskundeprobleem te beantwoorden.

Een bekend CAPTCHA voorbeeld is wanneer je een reeks letters en cijfers ziet die op de één of andere manier vervormd zijn. Ze zien er bijvoorbeeld uit alsof ze onder een willekeurige hoek op het scherm zijn gekrabbeld of worden verborgen door kleuren en visuele elementen. Terwijl mensen deze reeksen vrij gemakkelijk kunnen lezen en herhalen, kunnen de meeste bots dat niet.

Dus als de gebruiker slaagt voor de test, bewijst dit in feite aan het systeem dat hij hoogstwaarschijnlijk een mens is.

Achter de schermen: Serverlogica en triggers

Gelukkig hoef je niet altijd CAPTCHA's in te vullen bij het inloggen op accounts, het invoeren van informatie in formulieren, het doen van online aankopen, enzovoort. Veel hiervan verschijnen alleen in specifieke omstandigheden wanneer webservers tekenen opmerken van ongewoon of mogelijk verdacht gedrag, zoals:

afwijkingen van IP-adressen

Sites kunnen je vragen om een CAPTCHA in te vullen als ze merken dat je een verdacht, gedeeld of proxy IP-adres gebruikt. Dit kan ook gevolgen hebben voor VPN-gebruikers, omdat een VPN je echte IP-adres maskeert met een eigen IP-adres.

Als een site merkt dat je IP-adres plotseling verandert of een groot aantal aanvragen ontvangt van gebruikers met hetzelfde IP-adres, kan dat als verdacht worden gezien. Dit komt omdat bots zich vaak verbergen achter proxy's of VPN's om hun activiteiten discreet uit te voeren.

Als je dit probleem vaak ervaart met je VPN, kan het veranderen van server helpen. Je kunt ook proberen de geschiedenis of cache van je browser te wissen, een dedicated IP-adres of overschakelen naar een andere browser.

Verdacht browsergedrag

CAPTCHA's kunnen ook verschijnen als een site detecteert dat een gebruiker zich verdacht gedraagt of tekenen van bot-achtige activiteit vertoont. Dit kan gebeuren als de gebruiker heel snel formulieren invult, heel berekend en precies op knoppen klikt of meerdere opeenvolgende verzoeken naar een server stuurt.

Dit zijn allemaal mogelijke tekenen van het gedrag van bots, en CAPTCHA's kunnen worden ingezet om de bot te vertragen of te stoppen. Dit kan helpen om oplichtingspraktijken op basis van bots te stoppen op gebieden zoals e-commerce, zoals netwerken van bots die worden gebruikt om grote aantallen tickets voor evenementen of producten met een beperkte oplage te kopen voor oplichters om door te verkopen tegen een hoger tarief.

Plotselinge pieken in internetverkeer

Bij bepaalde cyberaanvallen worden botnets gebruikt om een website te overspoelen met een heleboel verzoeken tegelijk, zoals DDoS-aanvallen (Distributed Denial of Service). CAPTCHA's kunnen dienen als DDoS-mitigatie tools, die automatisch worden ingezet als een site een plotselinge, onverwachte toename van verkeer detecteert.

Soorten CAPTCHA

CAPTCHA's begonnen als simpele op tekst gebaseerde tests, maar zijn in de loop der jaren uitgegroeid tot allerlei vormen, met audio, afbeeldingen en andere dingen.

CAPTCHA op basis van tekst

De originele CAPTCHA-test, een op tekst gebaseerde CAPTCHA, gebruikt woorden, zinnen of willekeurige reeksen letters en cijfers die op een of andere manier vervormd zijn of op een manier worden weergegeven die ze moeilijk leesbaar maakt voor bots.

Er worden verschillende technieken gebruikt om op tekst gebaseerde CAPTCHA's te maken, zoals de Gimpy-techniek, waarbij willekeurig woorden uit een woordenboek worden gekozen, of Simard's HIP, waarbij willekeurige letters en cijfers worden gekozen en vervolgens worden vervormd met ongebruikelijke bogen en kleuren. De gebruiker hoeft alleen maar de tekst te lezen en in het daarvoor bestemde vak te typen om de test op te lossen.

Hoewel je waarschijnlijk nog steeds af en toe CAPTCHA's tegenkomt die gebaseerd zijn op tekstvervorming, heeft onderzoek van Google uit 2014 onthuld hoe ineffectief ze zijn geworden om mensen van bots te onderscheiden. De AI-onderzoekers van Google pasten geavanceerde algoritmen voor machine learning toe op de soorten vervormde tekst CAPTCHA's die vaak online worden gebruikt. De resultaten waren verrassend. Hun systeem was in staat om de meest vervormde CAPTCHA's met meer dan 99% nauwkeurigheid op te lossen. In vergelijking daarmee schommelden de menselijke succespercentages rond de 33%, wat grotendeels te wijten was aan de toenemende complexiteit waardoor ze frustrerend werden voor echte gebruikers.

CAPTCHA op basis van afbeeldingen (reCAPTCHA v2)

Deze CAPTCHA's presenteren de gebruiker afbeeldingen en instrueren hem om de afbeeldingen aan te klikken die overeenkomen met een bepaald thema of om de afbeeldingen te selecteren die niet bij de anderen passen. Bekende voorbeelden zijn dat je op alle afbeeldingen in een serie moet klikken die oversteekplaatsen of brandkranen bevatten of dat je wordt gevraagd om op specifieke vierkanten van een grotere afbeelding te klikken.

CAPTCHA's op basis van afbeeldingen zijn ontworpen om de op tekst gebaseerde CAPTCHA's te vervangen en hebben dat op veel platforms gedaan, omdat sommige gebruikers ze makkelijker te begrijpen en op te lossen vinden.

Ze zijn ook lastiger voor bots om op te lossen, omdat ze zowel semantisch begrip als beeldherkenning vereisen.

Audio CAPTCHA

Audio CAPTCHA tests spelen een klein geluidsbestand af, vaak met een stem die een reeks letters of cijfers voorleest. De gebruiker moet dan in een tekstvak invoeren wat hij heeft gehoord. Vaak bevat de audio ook wat achtergrondruis, waardoor het voor bots moeilijk is om te begrijpen wat er wordt gezegd.

Audio CAPTCHA's komen minder vaak voor dan de op tekst of afbeeldingen gebaseerde varianten, maar vormen een nuttig alternatief voor mensen met een visuele beperking.

Wiskundige en logische puzzels

Sommige CAPTCHA's stellen de gebruiker voor eenvoudige wiskundige of logische problemen. Ze kunnen je bijvoorbeeld vragen om een ontbrekend woord in een zin in te vullen, een optelprobleem op te lossen of een puzzelstukje op de juiste plaats te schuiven.

Nogmaals, deze puzzels zijn over het algemeen heel eenvoudig voor de gemiddelde persoon, maar computerprogramma's kunnen moeite hebben om te begrijpen wat er van ze gevraagd wordt. Op basis van het antwoord van de gebruiker kan de CAPTCHA nauwkeurig onderscheid maken tussen een mens en een bot.

No CAPTCHA reCAPTCHA

No CAPTCHA reCAPTCHA is een zeer eenvoudige vorm van CAPTCHA die in 2014 door Google werd geïntroduceerd. Het vraagt de gebruiker simpelweg om op een vakje te klikken naast het bericht "Ik ben geen robot".

Zowel bots als mensen kunnen op het vakje klikken. Bots klikken echter bijna altijd precies in het midden, terwijl mensen minder voorspelbaar zijn, met kleine variaties in positie, timing en beweging in de aanloop naar de klik. Op basis van deze factoren (muisbeweging, timing, klikkenmerken, scrolgedrag, enz.) kan de CAPTCHA een geïnformeerde veronderstelling maken over de ware aard van de gebruiker.

Als de interactie op de een of andere manier verdacht lijkt, wordt er een follow-up CAPTCHA test uitgevoerd.

Onzichtbare CAPTCHA (reCAPTCHA v3)

Zoals de naam al doet vermoeden, kun je onzichtbare CAPTCHA's niet zien en hoef je er ook geen directe interactie mee aan te gaan of een bepaalde puzzel op te lossen. Ze draaien op de achtergrond, volgen de activiteiten van een gebruiker en kennen hem een rating toe op basis van zijn acties.

De score is gebaseerd op interacties tussen gebruikers en de site, hoewel Google niet veel informatie heeft vrijgegeven over hoe elke score precies wordt berekend.

Meerdere bronnen verklaren echter dat het systeem elementen van gebruikersgegevens verzamelt en verwerkt, waaronder het IP-adres van de bezoeker, muisbewegingen, toetsenbordinvoer, plus de browser en het besturingssysteem dat ze gebruiken.

In 2023 legde de Franse autoriteit voor gegevensbescherming, de CNIL, NS Cards Frankrijk een boete opgelegd van € 105.000 (ruwweg $ 114.000) na een onderzoek waaruit bleek dat deze aanbieder van online betaaloplossingen de reCAPTCHA technologie van Google gebruikte zonder gebruikers te informeren dat hun apparaat- en applicatiegegevens zouden worden verzameld en voor analyse naar Google zouden worden gestuurd.

Honeypot CAPTCHA

Een gemakkelijke manier om te denken aan een Honeypot CAPTCHA is als een valstrik voor bots. Deze CAPTCHA tests zijn onzichtbaar voor mensen, maar zichtbaar voor bots. Bots zien ze als lege velden in formulieren en zullen vaak proberen om ermee te interageren en ze in te vullen, wat echte menselijke gebruikers niet zouden doen omdat ze de velden om te beginnen niet kunnen zien.

Tijdgebonden formulieren

Tijdgebaseerde CAPTCHA's proberen mensen van bots te onderscheiden door te timen hoe lang ze erover doen om een formulier in te vullen of gegevens in een veld in te voeren. Bots hebben de neiging om deze acties veel sneller uit te voeren dan menselijke gebruikers. Dus als de CAPTCHA een onnatuurlijk snelle reactie detecteert, zal het geneigd zijn aan te nemen dat de gebruiker een bot moet zijn.

CAPTCHA en AI: Wat is de Turingtest?

Zoals eerder vermeld staat CAPTCHA voor "Completely Automated Public Turing test to tell Computers and Humans Apart". De Turingtest, of imitatiespel, is een manier om te testen of een machine zich kan gedragen als een mens. Het werd in 1949 gecreëerd door de Britse wiskundige, computerwetenschapper en filosoof Alan Turing.

Het oorspronkelijke concept van Turing voor de test bestond uit drie afzonderlijke terminals: één bediend door een computer en twee door mensen. Eén mens stelt vragen, terwijl de andere mens en de computer antwoorden geven. Op basis van hun antwoorden moet de vragensteller bepalen welke de machine is.

CAPTCHA werkt volgens een soortgelijk principe. Het stelt een uitdaging en beoordeelt de reactie om te bepalen of deze van een mens of een bot afkomstig is. Het belangrijkste verschil is dat bij CAPTCHA de rol van de beoordelaar wordt uitgevoerd door software in plaats van door een persoon.

Praktische AI-toepassingen op basis van CAPTCHA-gegevens

Bedrijven zoals Google gebruiken al jaren CAPTCHA tests om AI-modellen te trainen en machine learning te verbeteren. Ze verzamelen gegevens gebaseerd op hoe gebruikers reageren op verschillende CAPTCHA puzzels en problemen en voeden die gegevens vervolgens met kunstmatige intelligentiesystemen om hun semantisch begrip, beeldherkenning en andere capaciteiten te verbeteren.

Een van de meest voorkomende vroege voorbeelden van CAPTCHA tests was een tekstgebaseerde CAPTCHA waarbij gebruikers een reeks van twee woorden moesten typen. De persoon die het oploste wist niet dat een van de woorden een afbeelding was van een woord uit een echt, fysiek boek. Elke keer dat een gebruiker een CAPTCHA voltooide door beide woorden in te typen, hielp hij eigenlijk bij het transcriberen en digitaliseren van fysieke boeken en documenten. Dit proces heeft geholpen om het hele Google Books-archief te digitaliseren, samen met miljoenen oude artikelen uit de New York Times.

Toen machine learning en AI-technologie opkwamen en op afbeeldingen gebaseerde CAPTCHA's steeds meer voorkwamen, kwam Google met een ander idee.

Het verzamelde gegevens van voltooide CAPTCHA tests om de AI-beeldherkenning te verbeteren. Een CAPTCHA kan gebruikers bijvoorbeeld een heleboel verschillende afbeeldingen laten zien en hen vragen om te klikken op de afbeeldingen die auto's bevatten. Google zou die gegevens vervolgens kunnen invoeren in zijn modellen voor machine learning om AI te helpen beter te worden in het herkennen van auto's op foto's.

Dezelfde technologie is ook gebruikt om de resultaten van Google Maps te verbeteren (bijvoorbeeld door het algoritme beter in staat te stellen om bordjes met huisnummers te lezen), om Google Image Search-resultaten te bieden en zelfs om gebruikers in staat te stellen om in hun Google Foto's bibliotheken te zoeken naar foto's die specifieke items of elementen bevatten. Het wordt zelfs ingebouwd in autonome auto's om ze te helpen straatnaamborden te herkennen.

Voor- en nadelen van CAPTCHA

CAPTCHA heeft zowel voor- als nadelen voor alledaagse gebruikers en site-eigenaren.

Voordelen voor site-eigenaren

Site-eigenaren hebben veel baat bij het implementeren van CAPTCHA-technologie. Het helpt hen bij het blokkeren van bot activiteiten, het stoppen van spam en nepaccounts, het voorkomen van fraude en nog veel meer. CAPTCHA's kunnen ook worden gezien als een teken van geloofwaardigheid, waardoor een site veiliger lijkt.

Bruikbaarheid en toegankelijkheid

Veel mensen vinden CAPTCHA's vervelend of onhandig, omdat ze vaak de toegang vertragen tot sites of content die ze willen zien. Mensen begrijpen niet altijd de noodzaak van CAPTCHA's, wat hun frustratie kan vergroten, en sommige gebruikers, vooral die met visuele beperkingen of andere problemen, kunnen bepaalde soorten CAPTCHA tests bijzonder moeilijk vinden om op te lossen.

Negatief effect op conversies

Omdat CAPTCHA's tijd en moeite kosten om in te vullen, kunnen ze een negatieve invloed hebben op de conversiepercentages van websites, waardoor het voor site-eigenaren moeilijker wordt om te verkopen, leads te genereren en klanten te werven.

Een onderzoek van de Universiteit van Stanford uit 2010 ontdekte dat bepaalde soorten CAPTCHA's (voornamelijk audio CAPTCHA's) zo frustrerend waren voor deelnemers aan hun tests dat ze in 50% van de gevallen opgaven ze helemaal op te lossen.

Alternatieven voor CAPTCHA

Gezien de opmerkelijke nadelen van CAPTCHA's willen site-eigenaren misschien alternatieve manieren overwegen om hun sites te beveiligen en bots te blokkeren.

CAPTCHA voor login op sociale media

Inlogknoppen voor sociale media worden steeds populairder en zijn een veilige manier om bots tegen te gaan en websites te beveiligen. Deze knoppen verschijnen vaak wanneer gebruikers toegang willen krijgen tot een platform of een stuk content en vragen de gebruiker om zich aan te melden met een sociale account op platforms zoals Google of Facebook.

Aangezien het veel tijd en moeite kost om individuele sociale media profielen voor bots te maken, kan de knop voor sociale aanmelding van onschatbare waarde blijken bij het voorkomen van fraude, spam en zwendelactiviteiten.

Het nadeel is dat inloggen via sociale media soms gezien kan worden als een inbreuk op je privacy. Sommige gebruikers willen niet per se inloggen op hun sociale media profielen en hun identiteit prijsgeven wanneer ze bepaalde sites of platforms bezoeken.

Gedragsanalyse

Tools voor gedragsanalyse volgen patronen van gebruikersgedrag en zoeken naar verdachte tekenen van bot activiteit.

Ze kunnen bijvoorbeeld zien hoe een gebruiker zich gedraagt op een site, zoals waar hij de muiscursor beweegt en hoe vaak hij op een knop klikt of een toets op het toetsenbord indrukt. Ze kunnen ook de bewegingen van gebruikers op een site volgen en zien hoe lang het duurt voordat ze bepaalde acties hebben voltooid.

Bots hebben de neiging om al deze dingen heel snel, berekend en precies te doen, terwijl mensen meer tijd nodig hebben of willekeuriger en onvoorspelbaarder lijken in hun acties. Dit helpt analytische tools om bots en mensen uit elkaar te houden.

Multifactorauthenticatie (MFA)

MFA en tweefactorauthenticatie (2FA) zijn nuttige tools om te voorkomen dat bots gebruikersaccounts aanmaken en erop inloggen. Het biedt een extra laag van inlogbeveiliging, waarbij de gebruiker wordt gevraagd om een wachtwoord in te voeren of biometrische gegevens te gebruiken om zijn account in te voeren, wat bots niet kunnen.