اختبار CAPTCHA

اختبار CAPTCHA ( / ˈ k æ p . tʃ ə / KAP -chə ) هو نوع من اختبارات تورينج للتحدي والاستجابة المستخدمة في الحوسبة لتحديد ما إذا كان المستخدم إنسانًا من أجل ردع هجمات الروبوتات والبريد العشوائي . ^{[ 1 ]}

صاغ هذا المصطلح عام ٢٠٠٣ كلٌ من لويس فون آن ، ومانويل بلوم ، ونيكولاس ج. هوبر، وجون لانغفورد . ^{[ ٢ ]} وهو اختصار مُصطنع لعبارة " اختبار تورينغ العام المؤتمت بالكامل للتمييز بين الحواسيب والبشر ". ^{[ ٣ ]} وقد تم ابتكار نوع شائع تاريخيًا من اختبارات CAPTCHA (يُعرض باسم reCAPTCHA v1 ) لأول مرة عام ١٩٩٧ من قِبل مجموعتين تعملان بالتوازي. يتطلب هذا النوع من اختبارات CAPTCHA إدخال سلسلة من الأحرف أو الأرقام من صورة مشوهة. ولأن الاختبار يُجرى بواسطة الحاسوب، على عكس اختبار تورينغ القياسي الذي يُجريه الإنسان، تُوصف اختبارات CAPTCHA أحيانًا بأنها اختبارات تورينغ معكوسة . ^{[ ٤ ]}

من بين خدمات CAPTCHA الأكثر استخدامًا، خدمة reCAPTCHA من جوجل ^{[ 5 ] [ 6 ]} وخدمة hCaptcha من إنتويشن ماشينز ^{[ 7 ] [ 8 ]} . وقد أفادت شركة كلاود فلير ، وهي شركة رائدة في مجال خدمات أمن المواقع الإلكترونية، في عام 2021 أن متوسط ​​الوقت اللازم لإكمال اختبار CAPTCHA النموذجي يبلغ حوالي 32 ثانية ^{[ 9 ]،} على الرغم من أن تقديرًا سابقًا من جامعة ستانفورد في عام 2018 أشار إلى وقت أقصر يبلغ حوالي 10 ثوانٍ ^{[ 10 ] .}

تهدف اختبارات CAPTCHA إلى منع البرامج الآلية من استخدام الخدمات المخصصة للاستخدام البشري، ومنع هجمات حجب الخدمة ، ومنع تحريف معلومات الاستخدام المُجمّعة، ومنع إدخال معلومات خاطئة تلقائيًا، ومنع استخراج البيانات. تستخدم العديد من المواقع الإلكترونية اختبارات CAPTCHA بفعالية لمنع هجمات البرامج الآلية. صُممت اختبارات CAPTCHA بحيث يمكن للبشر إكمالها، بينما تعجز معظم البرامج الآلية عن ذلك. ^{[ 11 ]} تعتمد اختبارات CAPTCHA الحديثة على تحليل سلوك المستخدم على الإنترنت للتحقق من كونه إنسانًا. ^{[ 12 ]} من الناحية المثالية، لا يظهر اختبار CAPTCHA إلا إذا كانت تصرفات المستخدم تُشبه تصرفات البرامج الآلية، مثل طلب صفحات ويب من عناوين IP مشبوهة ، أو الوصول إلى صفحات متعددة، أو النقر على الروابط بسرعة كبيرة.

وقد أشير أيضاً إلى أن خدمات CAPTCHA الشائعة مثل reCAPTCHA وhCAPTCHA كان لها غرض مزدوج يتمثل في كونها أدوات عامة لاستخدام البشر في إنشاء مجموعات بيانات للذكاء الاصطناعي في مهام مثل تصنيف الصور. ^{[ 13 ] [ 14 ]}

منذ ثمانينيات وتسعينيات القرن الماضي، سعى المستخدمون إلى جعل النصوص غير قابلة للقراءة بواسطة أجهزة الكمبيوتر. ^{[ 15 ]} وكان أول من فعل ذلك هم المخترقون ، الذين نشروا مواضيع حساسة على منتديات الإنترنت ظنًا منهم أنها تخضع للمراقبة الآلية بناءً على الكلمات المفتاحية. وللتحايل على هذه المرشحات، استبدلوا الكلمات بأحرف مشابهة. فعلى سبيل المثال، يمكن استبدال كلمة HELLO|-|3|_|_() بأحرف مثل أو )-(3££0، وغيرها، بحيث لا يستطيع المرشح اكتشافها جميعًا . عُرف هذا لاحقًا باسم لغة ليت سبيك . ^{[ 16 ]}

كان اختبار غاوسبيك-ليفشين من أوائل الاستخدامات التجارية لتقنية CAPTCHA . ففي عام 2000، بدأ موقع idrive.com بحماية صفحة التسجيل الخاصة به ^{[ 17 ]} باستخدام CAPTCHA، واستعد لتقديم طلب براءة اختراع. ^{[ 15 ]} وفي عام 2001، استخدمت PayPal هذه الاختبارات كجزء من استراتيجية لمنع الاحتيال، حيث طلبت من المستخدمين "إعادة كتابة نص مشوّه يصعب على البرامج التعرف عليه". ^{[ 18 ]} وساهم ماكس ليفشين ، المؤسس المشارك لشركة PayPal والمدير التقني، في تسويق هذا الاستخدام. كما طبقت AltaVista نظام CAPTCHA مبكرًا للحماية من عمليات تسجيل الحسابات الاحتيالية. ^{[ 19 ] [ 20 ] [ 21 ]}

استحوذت جوجل عام ٢٠٠٩ على reCAPTCHA ، وهي إحدى تطبيقات تقنية CAPTCHA الشائعة . ^{[ ٢٢ ]} بالإضافة إلى منع الاحتيال الإلكتروني لمستخدميها، استخدمت جوجل تقنيتي reCAPTCHA وCAPTCHA لرقمنة أرشيفات صحيفة نيويورك تايمز وكتب جوجل بوكس ​​عام ٢٠١١. ^{[ ٢٣ ]} في حين كانت الإصدارات الأولى تتطلب من المستخدمين نسخ الكلمات أو تصنيف صور حركة المرور، يعتمد التطبيق الحالي لـ reCAPTCHA على جمع بيانات حول سلوك المستخدم وخصائصه، على سبيل المثال من خلال بصمة Canvas ، ^{[ ٢٤ ]} واستخدام هذه البيانات لتقييم المستخدمين الذين يُحتمل أن يكونوا برامج آلية. ولا تُعرض تحديات تصنيف الصور إلا عندما يُصنف المستخدم على أنه "عالي الخطورة". وتعمل خدمة Turnstile من Cloudflare بطريقة مماثلة، وهي أيضًا شائعة الاستخدام. ^{[ ١٣ ]} ولا يبدو أن حركة الماوس تؤثر على تحليل المخاطر في reCAPTCHA. ^{[ ٢٤ ]}

في عام 2026، أعلنت جوجل أن الإصدارات الجديدة من برنامج reCAPTCHA ستتطلب من المستخدمين مسح رمز الاستجابة السريعة (QR) بهواتفهم، مع اشتراط تثبيت خدمات جوجل بلاي على هواتف مستخدمي أندرويد. وهذا من شأنه أن يجعل حلّ هذه الرموز مستحيلاً على الهواتف التي لا تحتوي على خدمات جوجل بلاي (مثل تلك التي تعمل بنظامي GrapheneOS أو LineageOS ). ^{[ 25 ]}

تُعتبر اختبارات CAPTCHA آلية، ولا تتطلب سوى القليل من الصيانة أو التدخل البشري لإدارتها، مما يوفر فوائد من حيث التكلفة والموثوقية. ^{[ 26 ]}

تم تصميم اختبارات CAPTCHA النصية بحيث تتطلب استخدام ثلاث قدرات منفصلة في وقت واحد - التعرف الثابت ، والتجزئة ، والتحليل - لإكمال المهمة. ^{[ 27 ]}

• يشير التعرف الثابت إلى القدرة على التعرف على الحروف على الرغم من وجود قدر كبير من التباين في أشكالها. ^{[ 28 ]}
• التجزئة هي القدرة على فصل حرف عن آخر، وهو أمر صعب في اختبارات CAPTCHA.
• يشير التحليل إلى القدرة على فهم اختبار CAPTCHA بشكل شامل، من أجل تحديد كل حرف بشكل صحيح. ^{[ 29 ]}

تُمثل كل مشكلة من هذه المشاكل تحديًا كبيرًا للحاسوب، حتى عند استخدامها منفردة. ولذلك، فإن هذه التقنيات الثلاث مجتمعة تجعل من الصعب على الحواسيب حل اختبارات CAPTCHA. ^{[ 30 ]}

على الرغم من استخدامها في المقام الأول لأسباب أمنية، يمكن أن تُستخدم اختبارات CAPTCHA أيضًا كمعيار لتقييم تقنيات الذكاء الاصطناعي. وفقًا لمقالٍ من تأليف آن، وبلوم، ولانغفورد، ^{[ 31 ]} "يمكن استخدام أي برنامج يجتاز الاختبارات التي يُنشئها اختبار CAPTCHA لحل مشكلة معقدة غير محلولة في مجال الذكاء الاصطناعي". ^{[ 32 ]} ويجادلون بأن مزايا استخدام مشاكل الذكاء الاصطناعي المعقدة كوسيلة للأمان تكمن في جانبين: إما أن تبقى المشكلة دون حل، وبالتالي تبقى هناك طريقة موثوقة للتمييز بين البشر وأجهزة الكمبيوتر، أو أن تُحل المشكلة، وبالتالي تُحل مشكلة معقدة أخرى في مجال الذكاء الاصطناعي. ^{[ 31 ]}

تمنع اختبارات CAPTCHA، القائمة على قراءة النصوص أو غيرها من مهام الإدراك البصري، المستخدمين المكفوفين أو ضعاف البصر من الوصول إلى الموارد المحمية. ^{[ 33 ] [ 34 ]} ولأن اختبارات CAPTCHA مصممة لتكون غير قابلة للقراءة آليًا، فإن أدوات التكنولوجيا المساعدة الشائعة ، مثل قارئات الشاشة، لا تستطيع تفسيرها. وبالتالي، يستبعد استخدام CAPTCHA نسبة صغيرة من المستخدمين من استخدام أجزاء مهمة من خدمات الويب الشائعة، مثل PayPal وGmail وOrkut وYahoo! والعديد من أنظمة المنتديات والمدونات، وغيرها. ^{[ 35 ]} في بعض الولايات القضائية، قد يتعرض مالكو المواقع الإلكترونية للمساءلة القانونية إذا استخدموا اختبارات CAPTCHA تميز ضد فئات معينة من ذوي الإعاقة. على سبيل المثال، قد يجعل اختبار CAPTCHA الموقع غير متوافق مع المادة 508 في الولايات المتحدة.

لا يشترط أن تكون اختبارات CAPTCHA مرئية. يمكن استخدام أي مشكلة معقدة في مجال الذكاء الاصطناعي ، مثل التعرف على الكلام ، كاختبار CAPTCHA. تسمح بعض تطبيقات CAPTCHA للمستخدمين باختيار اختبار صوتي، مثل reCAPTCHA، على الرغم من أن ورقة بحثية نُشرت عام 2011 عرضت تقنية للتغلب على الأنظمة الشائعة آنذاك. ^{[ 36 ]}

اقترحت شركة ProtectWebForm طريقةً لتحسين نظام CAPTCHA لتسهيل استخدامه، وأطلقت عليها اسم "Smart CAPTCHA". ^{[ 37 ]} يُنصح المطورون بدمج CAPTCHA مع JavaScript. ونظرًا لصعوبة تحليل JavaScript وتنفيذه بالنسبة لمعظم برامج الروبوت، فقد تم اقتراح طريقة مُدمجة تملأ حقول CAPTCHA وتخفي كلاً من الصورة والحقل عن أعين المستخدمين. ^{[ 38 ]}

تتضمن إحدى الطرق البديلة عرض معادلة رياضية بسيطة للمستخدم، ثم مطالبته بإدخال الحل للتحقق. ورغم سهولة تجاوز هذه الطرق باستخدام البرامج، إلا أنها مناسبة في الحالات التي لا تُناسب فيها الصور الرسومية، كما أنها توفر مستوى أعلى بكثير من إمكانية الوصول للمستخدمين المكفوفين مقارنةً باختبارات CAPTCHA القائمة على الصور. ويُشار إلى هذه الاختبارات أحيانًا باسم MAPTCHA (حيث M تعني "رياضي"). مع ذلك، قد يجد المستخدمون الذين يعانون من اضطرابات إدراكية، مثل عسر الحساب ، صعوبةً في استخدامها . ^{[ 39 ]}

يمكن استخدام تحديات مثل الألغاز المنطقية أو أسئلة المعلومات العامة كاختبار CAPTCHA. وهناك أبحاث حول مقاومتها للإجراءات المضادة. ^{[ 40 ]}

هناك طريقتان رئيسيتان لتجاوز اختبارات CAPTCHA، وهما استخدام عمالة بشرية رخيصة للتعرف عليها، واستخدام التعلم الآلي لبناء نظام حل آلي. ^{[ 41 ]} ووفقًا لشومان غوسماجومدر ، المسؤول السابق عن مكافحة الاحتيال في جوجل ، توجد العديد من الخدمات التي تحل اختبارات CAPTCHA تلقائيًا. ^{[ 42 ]}

الهجمات القائمة على التعلم الآلي

لم تكن هناك منهجية منهجية لتصميم أو تقييم اختبارات CAPTCHA المبكرة. ^{[ 30 ]} ونتيجة لذلك، كانت هناك العديد من الحالات التي كانت فيها اختبارات CAPTCHA ذات طول ثابت، مما مكّن من إنشاء مهام آلية للتنبؤ بدقة بمكان التجزئة. احتوت اختبارات CAPTCHA المبكرة الأخرى على مجموعات محدودة من الكلمات، مما سهّل التلاعب بالاختبار . كما ارتكبت اختبارات أخرى خطأ الاعتماد المفرط على تشويش الخلفية في الصورة. في كل حالة، تم ابتكار خوارزميات نجحت في إتمام المهمة باستغلال هذه العيوب التصميمية. ومع ذلك، فإن تغييرات طفيفة في اختبار CAPTCHA كانت كفيلة بإحباطها. تعتمد اختبارات CAPTCHA الحديثة، مثل reCAPTCHA، على تنوعات حالية للأحرف المدمجة معًا، مما يجعل تجزئتها صعبًا، وقد صمدت أمام المهام الآلية. ^{[ 43 ]}

في أكتوبر 2013، ادّعت شركة الذكاء الاصطناعي "فيكاريوس" أنها طوّرت خوارزمية عامة لحلّ اختبارات CAPTCHA، قادرة على حلّ اختبارات CAPTCHA الحديثة بمعدلات تعرّف على الأحرف تصل إلى 90%. ^{[ 44 ]} مع ذلك، قال لويس فون آن ، أحد روّاد CAPTCHA الأوائل ومؤسس reCAPTCHA: "يصعب عليّ أن أُعجب بهذا، فأنا أرى مثل هذه الادعاءات كل بضعة أشهر". وقد صدرت 50 ادعاءً مماثلاً لادعاء "فيكاريوس" منذ عام 2003. ^{[ 45 ]}

في أغسطس 2014، خلال مؤتمر Usenix WoOT، قدم بورشتين وآخرون أول خوارزمية عامة لحل اختبارات CAPTCHA تعتمد على التعلم المعزز، وأثبتوا كفاءتها في مواجهة العديد من مخططات CAPTCHA الشائعة. ^{[ 43 ]}

في أكتوبر 2018، وخلال مؤتمر ACM CCS'18، قدم يي وآخرون هجومًا قائمًا على التعلم العميق، قادرًا على حل جميع أنظمة التحقق النصي (CAPTCHA) الأحد عشر المستخدمة في أفضل 50 موقعًا إلكترونيًا شهيرًا في عام 2018. ويمكن تدريب برنامج فعال لحل أنظمة التحقق النصي باستخدام 500 اختبار CAPTCHA حقيقي فقط. ^{[ 46 ]}

اقترح بعض الباحثين بدائل، منها اختبارات CAPTCHA للتعرف على الصور، والتي تتطلب من المستخدمين تحديد عناصر بسيطة في الصور المعروضة. ويستند هذا التوجه إلى أن مهامًا مثل التعرف على العناصر أكثر تعقيدًا من التعرف على النصوص، وبالتالي فهي أكثر مقاومة للهجمات القائمة على التعلم الآلي.

نشر تشو وزملاؤه بحثهم في المؤتمر الدولي السابع لأمن المعلومات، ISC'04، حيث اقترحوا ثلاثة إصدارات مختلفة من اختبارات CAPTCHA للتعرف على الصور، وقاموا بالتحقق من صحة هذا الاقتراح من خلال دراسات المستخدمين. وقد أشارت النتائج إلى أن أحد هذه الإصدارات، وهو اختبار CAPTCHA للكشف عن الشذوذ، هو الأفضل، حيث تمكن جميع المستخدمين من اجتيازه بنسبة نجاح لا تقل عن 90% خلال 42 ثانية. ^{[ 55 ]} كما نشر داتا وزملاؤه بحثهم في مؤتمر ACM Multimedia 2005، بعنوان IMAGINATION (توليد الصور لمصادقة الإنترنت)، حيث اقترحوا طريقة منهجية للتعرف على الصور في اختبارات CAPTCHA. ونظرًا لتشوه الصور، فإن أساليب التعرف على الصور لا تستطيع التعرف عليها. ^{[ 56 ]}

قام فريق من الباحثين في مايكروسوفت ( جيريمي إلسون ، وجون آر. دوسور، وجون هاول، وجاريد سول) بتطوير نظام التعرف على صور أنواع الحيوانات لتقييد الوصول (ASIRRA)، والذي كان يطلب من المستخدمين التمييز بين القطط والكلاب. أتاحت مايكروسوفت نسخة تجريبية من هذا النظام للمواقع الإلكترونية في عام 2008. ^{[ 57 ]} وذكروا أن "ASIRRA سهل الاستخدام؛ إذ يمكن للمستخدمين حله بنسبة 99.6% في أقل من 30 ثانية. وبحسب تجارب المستخدمين، فقد وجدوا تجربة استخدام ASIRRA أكثر متعة من نظام CAPTCHA النصي." وُصف هذا الحل في ورقة بحثية نُشرت عام 2007 في وقائع المؤتمر الرابع عشر لجمعية ACM لأمن الحاسوب والاتصالات (CCS). ^{[ 58 ]} تم إيقاف الخدمة في أكتوبر 2014. ^{[ 59 ]}

تُستخدم اختبارات CAPTCHA المزيفة لنشر البرامج الضارة . يستغل المهاجمون الإلكترونيون ظاهرة "إرهاق التحقق" لخداع المستخدمين وحملهم على نسخ وتنفيذ أوامر سطر الأوامر التي تُحمّل وتُثبّت برامج خبيثة، مثل برامج التجسس، بهدف سرقة كلمات المرور وبيانات المحافظ الإلكترونية وغيرها من المعلومات الشخصية. وقد أشارت التقارير إلى أن هذه المحاولات الاحتيالية تنجح بنسبة أكبر من غيرها. ^{[ 60 ] [ 61 ] [ 62 ]}

• منع البرامج الآلية
• استراتيجية الدفاع (الحوسبة)
• إثبات الشخصية
• إثبات العمل

• فون آن، ل.؛ بلوم، م.؛ لانغفورد، ج. (2004). "التمييز بين البشر والحواسيب (تلقائيًا)" (ملف PDF) . مجلة اتصالات رابطة آلات الحوسبة . 47 (2): 57-60 .

• التحقق من وجود إنسان في الحلقة، أو تحديد الهوية عبر اختبار تورينج ، موني ناور، 1996.
• عدم إمكانية الوصول إلى CAPTCHA: بدائل لاختبارات تورينج المرئية على الويب ، مذكرة مجموعة عمل W3C .
• تاريخ اختبار CAPTCHA من PARC .
• الهندسة العكسية لاختبارات CAPTCHA، أبرام هيندل، مايكل دبليو. جودفري، ريتشارد سي. هولت، 24 أغسطس 2009