Компания Cloudflare думает, чем бы заменить свою CAPTCHA, потому что она всех достала, занимает 32 секунды, каждый пользователь интернет в среднем решает ее раз в 10 дней, у Cloudflare - 7.6 миллиона сайтов-клиентов, в общем годы времени и геморроя. В их официальном блоге
вышел пост, где предлагается использовать вместо капчи USB ключи U2F, работающие по протоколу FIDO, типа пользователь пришел на страницу с челленджем, вместо CAPTCHA нажал на кнопку своего USB ключа и таким образом доказал, что он не робот. Тестовая страница выложена на
https://cloudflarechallenge.com/, если у вас есть U2F ключ, сходите протестировать. Другие сервисы, например Google и Facebook, уже используют такие ключи как способ двухфакторной аутентификации, поэтому у людей на руках они уже есть, а еще поддержку FIDO начинают встраивать прямо в устройства, например, в телефоны.
Похоже, что Cloudflare опубликовала эту идею, чтобы таким образом обсудить ее с исследователями безопасности, которые "шарят" в проблеме, и исследователи отвечают, что это плохая идея.
Вот отличный пример аргументированного ответа. Основной тезис в том, что стандарт U2F просто не решает проблему, которую сносно решает CAPTCHA, - как отличить человека от робота. U2F - отличное решение, но другой проблемы - как доказать сервису, что у пользователя есть доступ к физическому объекту, ключу. Кроме этого:
• Нажатия ключа легко автоматизировать, например, при помощи Arduino.
• Можно сделать так, чтобы всплывающее окно U2F не показывалось в браузере, чтобы легче было автоматизировать процесс.
• Один ключ можно нажимать 30 раз в минуту. В посте приводится базовый расчет стоимости "фермы" из ключей, которые будут обходить такой аналог CAPTCHA с производительностью 20 000–40 000 попыток в минуту.
• При использовании ключей возникает небольшая проблема приватности: партии по 100 000 (или меньше) ключей используют один и тот же сертификат, а поскольку со стороны сервера, как правило, сидит Cloudflare, пользователь перестает быть таким же анонимным, как после решения CAPTCHA.
И так далее. В общем, идея избавиться от CAPTCHA - правильная, а решение пока что так себе.