IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)

Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

Google propose l'usage de CAPTCHA invisibles pour distinguer les humains des bots
S'agit-il pour autant d'une solution plus sécurisée ?

Le , par Patrick Ruiz

281PARTAGES

9  0 
En 2014, Google lançait la deuxième version de son API dénommée reCAPTCHA. Elle ne nécessitait de l’internaute qu’un clic (sur une case à cocher) pour s'assurer de ce que l'initiateur de la validation d'un formulaire web soit non pas un bot, mais bien un humain. Ce mois-ci, Google propose via un site dédié un lien de souscription au nouveau reCAPTCHA invisible. La firme de Mountain View affirme que grâce à celui-ci, il ne sera même plus nécessaire de cocher sur une case à des fins de validation.

Les images ci-dessous nous donnent un aperçu clair de ce qu’est le système reCAPTCHA avant 2014 (première image) et après 2014 (seconde image).




Une case à cocher par l’internaute dans le second cas contre un texte à reconstituer dans le premier. Il y a eu selon Google une avancée, celle de s’affranchir des plaintes d’une communauté qui se disait ennuyée, frustrée, etc. En effet, dans la première version le texte était parfois tellement tordu ou masqué qu’il était impossible de le reconstituer, entrainant ainsi des pertes de temps. Au-delà, la firme souligne que les avancées en intelligence artificielle rendaient la première version plus vulnérable aux attaques. Nous en sommes donc depuis 2014 à reCAPTCHA v2.

La vidéo ci-dessous est une parfaite illustration du fonctionnement de reCAPTCHA v2 et du problème qu'il est censé résoudre. Pour obtenir des bitcoins, l'internaute doit cliquer sur le bouton claim now. Ce processus pourrait être automatisé à l'aide d'un bot, permettant ainsi à un tiers d'obtenir des bitcoins à une fréquence plus importante. Cet inconvénient a été contourné par l'adoption sur ce site de la protection reCAPTCHA v2. Comme l'affirme Google, des algorithmes complexes d'IA permettent de s'assurer que le clic est bien effectué par un humain.


Il s’est cependant avéré depuis lors que cette version aussi a présenté des limites. Tout récemment en février 2017, un internaute a dévoilé sur GitHub un projet dénommé rebreakcaptcha, une preuve de concept selon lui de la façon dont il est possible de contourner reCAPTCHA v2. Il a expliqué dans le détail comment tirer profit des failles du test audio pour pouvoir « casser » le système.

Google aura sûrement tenu compte de toutes ces sonnettes d’alarme pour réagir et nous proposer une nouvelle version de reCAPTCHA dénommée invisible reCAPTCHA. D'après Google, elle fonctionnerait comme le reCAPTCHA v2 avec la particularité de ne plus nécessiter de clic. Nous nous sommes rendus pour vous sur des sites (encore très rares) l’ayant adopté pour vous donner un aperçu de ce à quoi il ressemblera sur vos pages web.



Instructions d'intégration de l'outil reCAPTCHA à vos pages web

Sources : site web invisible reCAPTCHA , Daily mail , projet rebreakcaptcha

Et vous ?

Pensez-vous que les CAPTCHA invisibles apporteront plus de sécurité à vos formulaires web ?

Voir aussi :

Google veut mettre fin aux textes illisibles du CAPTCHA, No-CAPTCHA permet d'identifier un humain en un clic

Les CAPTCHA sont-ils un outil de sécurité ou une nuisance ? un ingénieur de Google casse celui de Sony avec un simple regex

Une erreur dans cette actualité ? Signalez-nous-la !

Avatar de Jarodd
Membre expérimenté https://www.developpez.com
Le 13/03/2017 à 9:36
Nous nous sommes rendus pour vous sur des sites (encore très rares) l’ayant adopté pour vous donner un aperçu de ce à quoi il ressemblera sur vos pages web.
Et donc ? Il manque un bout de l'actu non ? C'est quoi la conclusion ?

Perso j'ai toujours du mal avec ces captchas. La v1 était effectivement illisible, et en plus facilement automatisable (les plugins de Jdownloader faisaient des merveilles là dessus).
Mais la v2 n'est pas mieux. Déjà les instructions sont toujours en anglais ("click on the road signs", ça limite la compréhension de ce qu'il faut chercher. Et ensuite, même en cliquant sur les bonnes cases, parfois elles disparaissent et d'autres apparaissent, ce qui fait qu'on ne valide jamais le captcha, il est infini ! Ca m'arrive de plus en plus souvent, et c'est très frustrant.
Donc j'attends votre compte-rendu de cette v3, là je reste sur ma faim
2  0 
Avatar de
https://www.developpez.com
Le 13/03/2017 à 11:47
Le plus gros problème soulevé par ces captchas "invisibles" est celui du consentement utilisateur ainsi que la vie privée.

Personnellement, un script js chargé en arrière plan, qui monitore mon activité afin de déterminer si oui je suis bien humain sans me le déclarer, non merci.

Surtout lorsqu'on se souvient que la V1 (très probablement comme la V2) se servait des utilisateurs et de leur résolution de captchas pour améliorer leur système de prédictions, ce qu'ils pourraient faire avec ces données collectées de façon "transparente" laissent penser à beaucoup de choses, et sans doute pas du bon...
2  0 
Avatar de grunk
Modérateur https://www.developpez.com
Le 13/03/2017 à 11:47
Perso j'ai souvent utilisé la technique du "honeypot" qui en gros consiste à mettre un champs de formulaire invisible à l'utilisateur (souvent décalé avec une marge très importante) que les robots généralistes vont fatalement remplir.
On rajoute à ca un petit timer qui vérifie que le formulaire n'a pas été envoyé en mois de x secondes.

Ca marche plutôt très bien tant que l'attaque de bot n'est pas spécifiquement dirigé vers le formulaire en question (qu'un humain n'a pas pris le temps de faire un bot dédié en gros).

Cette nouvelle mouture de recaptcha doit être un peu du même principe sauf qu'il y'a en plus derrière une analyse du comportement via du machine learning ce qui du coup doit le rendre bien plus robuste
1  0 
Avatar de hotcryx
Membre extrêmement actif https://www.developpez.com
Le 13/03/2017 à 16:04
[Troll]
Et si ce recapcha invisible invincible prenait une photo via la webcam pour nous authentifier, on serait vernis
(avec la mode des CIA, NSA, terrorisme, piratage...)
[/Troll]
1  0 
Avatar de rambc
Membre chevronné https://www.developpez.com
Le 13/03/2017 à 9:35
Rien de plus à demander.
0  0 
Avatar de
https://www.developpez.com
Le 13/03/2017 à 10:32
Citation Envoyé par Jarodd Voir le message
Et ensuite, même en cliquant sur les bonnes cases, parfois elles disparaissent et d'autres apparaissent, ce qui fait qu'on ne valide jamais le captcha, il est infini ! Ca m'arrive de plus en plus souvent, et c'est très frustrant.
Ah merci ! Je pensais que le problème venait de moi, après avoir tenté vainement pendant 20 bonnes minutes de m'inscrire sur circuits.io.
0  0 
Avatar de transgohan
Expert éminent https://www.developpez.com
Le 13/03/2017 à 11:29
Pensez-vous que les CAPTCHA invisibles apporteront plus de sécurité à vos formulaires web ?
Bah j'ai pas ma boule de cristal et il n'y a aucune note technique sur le système donc.
Il fait quoi concrètement ce nouveau détecteur ?

On va pouvoir parier ou attendre ce que l'avenir nous apportera, à part ça...
0  0 
Avatar de Geoffrey74
Membre éclairé https://www.developpez.com
Le 13/03/2017 à 14:49
Pour ma part depuis que j'ai mis reCaptcha sur les différents sites de mes clients, ils n'ont plus de soucis de spam, et pareil pour moi.

Question vie privée, en partant du principe que rien de l'est sur le net, alors aucun soucis, hakuna matata
0  0 
Avatar de athlon64
Membre confirmé https://www.developpez.com
Le 14/03/2017 à 21:46
Citation Envoyé par Jarodd Voir le message

...
Et ensuite, même en cliquant sur les bonnes cases, parfois elles disparaissent et d'autres apparaissent, ce qui fait qu'on ne valide jamais le captcha, il est infini ! Ca m'arrive de plus en plus souvent, et c'est très frustrant.
Ça m'est arrivé pour la première fois la semaine passée, je pensais que c’était moi qui m'y prenais mal car ce système était infaillible, du coup ne voulant pas perdre contre les Captchas j'ai perdu 5 mins pour finalement comprendre qu'un truc cloche, j'ai pensé "Ce système de Captcha est vraiment pourri" avez-vous essayé un autre navigateur que chrome ?
Si le problème s'est uniquement rencontré sous chrome, pesez-vous que google ait fait exprès ?

Citation Envoyé par Artemix Voir le message
Le plus gros problème soulevé par ces captchas "invisibles" est celui du consentement utilisateur ainsi que la vie privée.

Personnellement, un script js chargé en arrière plan, qui monitore mon activité afin de déterminer si oui je suis bien humain sans me le déclarer, non merci.

Pourquoi faudrait-il penser que les sites qui utilisent les captchas "visibles" respectent mieux la vie privée ? Facebook ou Amazon par exemple utilisent des captchas visibles, je vou...drais juste comprendre pourquoi tu trouves que c'est plus grave
0  0 
Avatar de Jarodd
Membre expérimenté https://www.developpez.com
Le 15/03/2017 à 8:51
Citation Envoyé par athlon64 Voir le message
Ça m'est arrivé pour la première fois la semaine passée, je pensais que c’était moi qui m'y prenais mal car ce système était infaillible, du coup ne voulant pas perdre contre les Captchas j'ai perdu 5 mins pour finalement comprendre qu'un truc cloche, j'ai pensé "Ce système de Captcha est vraiment pourri" avez-vous essayé un autre navigateur que chrome ?
Si le problème s'est uniquement rencontré sous chrome, pesez-vous que google ait fait exprès ?
Je n'ai jamais utilisé Chrome, je suis toujours sous Firefox
0  0