Bisognava trovare qualcosa che facesse capire che chi, per esempio, inseriva un commento in un blog fosse una persona in carne e ossa e non un software programmato.
Si è pensato a un test molto semplice: prima di accedere a un servizio o pubblicare un commento, si deve digitare inserire una sequenza di numeri e lettere che compaiono distorte in un’immagine in modo che un cervello umano possa comunque capirne correttamente il significato e mettendo così fuori gioco un software che, come si sa, manca ancora della capacità interpretativa.

Indubbiamente inserire un captcha rappresenta una scocciatura, ma visto che comunque va fatto, perché non farlo a fin di bene? Nasce infatti l’idea di recaptcha, ovvero proporre parole, tratte da libri scansionati, troppo sbiadite o stampate male per poter essere interpretati da un programma di riconoscimento del testo al posto di una sequenza di caratteri casuali.

Il funzionamento è molto semplice: ogni parola non interpretata dalla scansione OCR, viene proposta insieme ad un altra parola il cui significato è già noto; l’utente dovrà inserire entrambi i termini e se la risposta alla parola con significato noto è corretta, il sistema assumerà come corretta anche l’altra e permetterà l’accesso al servizio. Ovviamente non si fiderà di una sola risposta ma riproporrà la parola di difficile interpretazione ad altri utenti fino a quando avrà un numero elevato di risposte identiche. Semplicemente geniale.

L’idea del captcha è talmente buona che anche dagli spammer ne fanno uso per evitare di essere censurati dai filtri di protezione della posta.
Invece di spedire il messaggio in testo chiaro e facilmente analizzabile dai filtri antispam, si invia un immagine con il testo distorto (i filtri più precisi tentano un riconoscimento dei caratteri all’interno delle immagini).
Un umano ne capisce lo stesso il senso, una macchina no e quindi il filtro rimane ingannato e la lascia passare

Ma utilizzarne il principio a proprio uso, non era sufficiente, perchè riuscire a superare un captcha è una sfida con una posta in palio molto allettante per uno spammer; Hotmail e Gmail, per la cui registrazione è necessario inserire un captcha, sono domini appetitosi per i produttori di mail-spazzatura: il rischio di essere inseriti in qualche blacklist è nullo, se si considera l’enorme base di utenti registrati.
Così, raffinando le tecniche di attacco, anche i captcha cadono: stando a WebSense, oggi bot può creare un 24 ore più di 1400 indirizzi email e contemporanemente spedire spam da questi. ()

E’ tempo quindi di rimpiazzare i captcha con un sistema più efficace, ed ecco quello che hanno pensato i ricercatori della PENN STATE UNIVERSITY; per confermare che c’è un umano in carne e ossa dall’altra parte della tastiera, si dovrà procedere ad un test in due parti: la prima consiste nel cliccare col mouse nel centro di una qualsiasi immagine di un collage di foto (io ho cliccato sul centro dell’immagine del bicchiere in basso a sinistra)

e poi procedere ad identificare il soggetto di una seconda immagine scegliendo tra diverse opzioni possibili (nell’esempio un leone)

Questo secondo step ricorda molto Google Image Labeler il gioco usato da Google per etichettare le immagini e indicizzarne al meglio la ricerca.
Anche qui il meccanismo è ben studiato: si prendono due utenti internet, si propongono ed entrambi delle immagini di cui dovranno descrivere il soggetto. Quando entrambi scrivono la stessa parola (tag) passano ad una nuova immagine guadagnando punti e la parola comune sarà poi utilizzata da Google per indicizzare la ricerca dell’immagine presentata.

Potrebbe essere un trampolino di lancio per bypassare la nuova generazione di … captcha!

La sicurezza è la “conoscenza che l’evoluzione di un sistema non produrrà stati indesiderati”: bel concetto, ma in pratica irrealizzabile.
Nel campo dell’IT, si tratta di salvaguardare i sistemi informatici da potenziali rischi e violazioni, garantendo così confidenzialità, integrità e disponibilità dei dati.
Garantire confidenzialità e disponibilità, contemporaneamente: ecco l’intoppo.
Va da sè che più un dato è confidenziale, meno sarà disponibile e vale anche il viceversa. Bisogna quindi trovare l’equilibrio perfetto: la ricerca di questo compromesso è la radice dell’eterna battaglia che perdura tra gli sviluppatori e gli utilizzatori dei dei programmi.

Se creo una casella di posta elettronica il cui accesso richiede l’inserimento di 3 password, due captcha e qualche riscontro biometrico, le email saranno (quasi) certamente al sicuro, ma per consultarle occorrerà avere molta, molta pazienza. Viceversa, se la mia casella di posta elettronica richiede solo l’inserimento di un carattere per accedervi, potrò consultarla velocemente, ma non mi fiderei troppo a lasciarci dentro le email della banca.

Ecco un piccolo esempio che sintetizza il compromesso tra sicurezza e usabilità (fonte slashdot)

Negli anni Ottanta, lo Yosemite National Park stava avendo un grosso problema con gli orsi: vagavano nei campeggi e si mettevano a rovistare nei bidoni dell’immondizia. Questo rappresentava un rischio per gli orsi e per le persone. Allora il Servizio del Parco cominciò a installare bidoni dell’immondizia corazzati e difficili da aprire: bisognava far ruotare un paletto, allineare due parti di una maniglia, cose del genere. Ma pare che sia piuttosto arduo indovinare il corretto design per questi bidoni. Se sono troppo complessi, nemmeno le persone riescono ad aprirli per depositare l’immondizia. Un ranger del parco ha detto “Vi è un’incredibile sovrapposizione fra l’intelligenza degli orsi più brillanti e quella dei turisti più stupidi”.

È un compromesso difficile da raggiungere. Le persone sono intelligenti, ma impazienti e poco propense a impiegare troppo tempo nella risoluzione di un problema. Gli orsi sono stupidi, ma tenaci e propensi a impiegare ore e ore per risolvere il problema. Dati questi due vincoli, non è affatto semplice creare un bidone dell’immondizia che possa al tempo stesso funzionare per le persone e non per gli orsi.

• Vuoi che il TUO PC sia sempre sotto il TUO controllo?
• Vuoi che il TUO PC esegua i TUOI programmi?
• Vuoi utilizzare il TUO PC per vedere filmati ed ascoltare musica?
• Vuoi continuare ad usare liberamente Internet?
• Vuoi continuare ad usare liberamente il TUO VCR ed il TUO masterizzatore?

Il Trusted Computing potrebbe rendere queste cose impossibili. Con il pretesto di difenderti da Virus, Spyware ed altri flagelli, il Trusted Computing prende il controllo del TUO hardware e ti impedisce di usarlo come vuoi. Non lasciarti imbrogliare.