Thiết kế số ký tự CAPTCHA - Khoa học về chuỗi ký tự phân biệt con người và máy móc

Ai cũng từng gặp trải nghiệm đăng nhập website và được yêu cầu đọc một chuỗi ký tự bị biến dạng rồi nhập vào. Những chuỗi ký tự biến dạng đó thường dài 4-8 ký tự. Bạn đã bao giờ tự hỏi tại sao lại là độ dài này chưa? Quá ngắn thì bot sẽ vượt qua, quá dài thì con người sẽ bỏ cuộc. Thiết kế số ký tự CAPTCHA là sản phẩm của cuộc kéo co giữa bảo mật và khả năng sử dụng. Bài viết này giải thích cách số ký tự CAPTCHA được xác định, cùng khoa học và lịch sử đằng sau.

CAPTCHA là gì - Ý nghĩa ẩn trong tên gọi

CAPTCHA là viết tắt của "Completely Automated Public Turing test to tell Computers and Humans Apart" - "Bài kiểm tra Turing công khai tự động hoàn toàn để phân biệt máy tính và con người." Được đặt tên năm 2000 bởi Luis von Ahn và đồng nghiệp tại Đại học Carnegie Mellon.

Bản thân tên gọi này dài 72 ký tự (bao gồm dấu cách), tượng trưng cho sự phức tạp của vấn đề mà CAPTCHA cố gắng giải quyết. Bài kiểm tra Turing ban đầu là con người đánh giá máy móc, nhưng CAPTCHA đảo ngược điều đó - đây là bài kiểm tra mà máy móc đánh giá con người.

Thiết kế số ký tự trong CAPTCHA thời kỳ đầu

Đầu những năm 2000, CAPTCHA chủ đạo hiển thị ký tự chữ số bị biến dạng dưới dạng hình ảnh và yêu cầu người dùng nhập vào. Số ký tự tiêu chuẩn thời kỳ này là 6-8.

Ngay cả với 4 ký tự, xác suất đoán ngẫu nhiên thành công chỉ 1 trên 1,68 triệu - có vẻ đủ an toàn. Nhưng bot sử dụng nhận dạng hình ảnh (OCR) để đọc ký tự, đạt độ chính xác cao hơn nhiều so với đoán ngẫu nhiên. Do đó, ký tự được biến dạng để giảm độ chính xác OCR, đồng thời tăng số ký tự để đảm bảo an ninh.

Tuy nhiên, tăng số ký tự khiến tỷ lệ đúng của con người giảm mạnh. Dữ liệu cho thấy 8 ký tự khoảng 75%, 10 ký tự giảm xuống khoảng 60%. Tỷ lệ đúng giảm buộc người dùng phải thử lại nhiều lần, tăng tỷ lệ bỏ biểu mẫu. Như đã thảo luận trong thiết kế xác thực đầu vào biểu mẫu, biểu mẫu nhập liệu gây gánh nặng quá mức cho người dùng sẽ giảm đáng kể tỷ lệ chuyển đổi.

Định luật Miller - Ràng buộc 7 ± 2

Số ký tự CAPTCHA tập trung ở 6-8 có cơ sở từ tâm lý học nhận thức. Năm 1956, George Miller công bố bài báo "Con số kỳ diệu 7 ± 2," cho rằng trí nhớ ngắn hạn của con người có thể giữ 7 ± 2 khối thông tin (chunk) cùng lúc.

Chuỗi ký tự CAPTCHA cần được giữ trong trí nhớ ngắn hạn trong khoảng thời gian ngắn từ khi nhìn hình ảnh đến khi gõ vào ô nhập. Vượt quá 9 ký tự sẽ vượt dung lượng trí nhớ ngắn hạn, buộc người dùng phải nhìn qua nhìn lại giữa hình ảnh và ô nhập nhiều lần. Đây là nguyên nhân chính khiến tỷ lệ đúng giảm.

Kết quả là 6-8 ký tự trở thành độ dài tiêu chuẩn của CAPTCHA, cân bằng giữa bảo mật và khả năng sử dụng. Như đã thảo luận trong độ dài mật khẩu và bảo mật, mật khẩu cũng đối mặt với sự đánh đổi giữa "dễ nhớ" và "an toàn," nhưng CAPTCHA gây gánh nặng trí nhớ lớn hơn vì yêu cầu nhập một lần chuỗi ký tự xa lạ.

reCAPTCHA v1 - Số hóa 200 triệu ký tự mỗi ngày

Năm 2007, Luis von Ahn - một trong những người phát minh CAPTCHA - nảy ra ý tưởng tận dụng công sức con người bỏ ra cho CAPTCHA. Kết quả là reCAPTCHA.

reCAPTCHA v1 hiển thị hai từ. Một từ đã biết đáp án dùng để xác minh, từ còn lại được cắt từ hình ảnh quét sách mà OCR không đọc được. Khi người dùng nhập cả hai từ, từ xác minh xác nhận họ là người, còn kết quả nhận dạng từ kia được dùng để số hóa sách.

Hệ thống đạt kết quả đáng kinh ngạc. Cao điểm mỗi ngày khoảng 200 triệu CAPTCHA được giải, ước tính số hóa khoảng 2,5 triệu cuốn sách mỗi năm. Toàn bộ kho lưu trữ New York Times (hơn 130 năm) cũng được số hóa nhờ reCAPTCHA.

reCAPTCHA v1 thường hiển thị 2 từ tổng cộng 8-15 ký tự. Dù dài hơn CAPTCHA truyền thống, việc trình bày "từ" có nghĩa thay vì chuỗi ngẫu nhiên giúp dễ nhớ hơn, duy trì tỷ lệ đúng tương đối cao.

reCAPTCHA v2 - Cuộc cách mạng không ký tự

Năm 2014, Google phát hành reCAPTCHA v2. Xác thực hoàn tất chỉ bằng cách nhấp vào ô "I'm not a robot" (Tôi không phải robot) - một hệ thống mang tính đột phá.

Số ký tự người dùng nhập: không. Chỉ một cú nhấp chuột vào ô kiểm, hệ thống phân tích hàng trăm tín hiệu - quỹ đạo chuột, tốc độ nhấp, thông tin trình duyệt, lịch sử cookie - để xác định người dùng là người hay bot.

Khi reCAPTCHA v2 không thể xác định (nghi ngờ bot), nó chuyển sang thử thách chọn hình ảnh - màn hình "chọn tất cả hình ảnh chứa đèn giao thông" quen thuộc. Ở đây cũng không cần nhập văn bản, nhưng chọn hình ảnh có thể mất 5-30 giây, trải nghiệm người dùng tương đương CAPTCHA thời kỳ đầu.

reCAPTCHA v3 và phát hiện dựa trên điểm số

Ra mắt năm 2018, reCAPTCHA v3 không yêu cầu bất kỳ thao tác nào từ người dùng. Nó phân tích hành vi duyệt web ở nền và trả về điểm từ 0,0 (có thể là bot) đến 1,0 (có thể là người).

Quản trị viên trang web đặt ngưỡng (ví dụ 0,5) và chỉ yêu cầu xác thực bổ sung cho người dùng có điểm thấp. Từ góc độ thiết kế số ký tự, reCAPTCHA v3 là hình thức tối thượng của "không ký tự." Người dùng thậm chí không nhận ra sự hiện diện của CAPTCHA.

Tuy nhiên, reCAPTCHA v3 gây lo ngại về quyền riêng tư. Cơ chế giám sát liên tục hành vi người dùng để chấm điểm đối mặt với câu hỏi về tuân thủ GDPR. Lo ngại này thúc đẩy sự nổi lên của các dịch vụ thay thế như Cloudflare Turnstile và hCaptcha.

Cuộc chạy đua vũ trang với AI nhận dạng ký tự

Lịch sử CAPTCHA cũng là lịch sử cuộc chạy đua vũ trang với AI nhận dạng ký tự. CAPTCHA biến dạng ký tự; AI học cách đọc biến dạng. CAPTCHA tăng biến dạng thêm; con người cũng không đọc được nữa. Tình thế tiến thoái lưỡng nan này dẫn đến sự suy tàn của CAPTCHA dựa trên văn bản.

Nghiên cứu năm 2014 của Google phát hiện AI đạt tỷ lệ đúng 99,8% trên CAPTCHA văn bản biến dạng nặng nhất, trong khi tỷ lệ đúng của con người giảm xuống chỉ 33%. Nói cách khác, AI giỏi giải CAPTCHA hơn con người. Sự đảo ngược này đẩy nhanh quá trình chuyển từ nhập văn bản sang chọn hình ảnh và phân tích hành vi.

Sự xuất hiện của deep learning là bước ngoặt. Mạng nơ-ron tích chập (CNN) giỏi học mẫu từ hình ảnh ký tự biến dạng, đạt độ chính xác cao ngay cả với ký tự biến dạng đến mức con người không đọc được. Nhà thiết kế CAPTCHA muốn tạo chuỗi "người đọc được nhưng máy không đọc được," nhưng sự tiến hóa của AI đã phá vỡ tiền đề đó.

Trang trại CAPTCHA - Kinh doanh dùng người giải

Ngoài đột phá kỹ thuật, còn tồn tại mô hình kinh doanh gọi là "trang trại CAPTCHA." Các dịch vụ này thuê lao động ở các nước đang phát triển giải CAPTCHA thủ công, thu phí khoảng 1-3 đô la cho 1.000 CAPTCHA. Một công nhân có thể giải 500-1.000 CAPTCHA mỗi giờ, quy đổi tiền công chỉ 0,5-3 đô la/giờ.

Tăng số ký tự không hiệu quả với trang trại CAPTCHA vì con người đang giải. Hệ thống phân tích hành vi như reCAPTCHA v3 có hiệu quả nhất định, vì công nhân trang trại giải số lượng lớn trong thời gian ngắn thể hiện mẫu hành vi phát hiện được - tốc độ giải đều đặn, chuyển động chuột máy móc - ảnh hưởng đến điểm số.

Khả năng tiếp cận và vấn đề số ký tự

CAPTCHA dựa trên văn bản là rào cản lớn cho người khiếm thị. Hình ảnh ký tự biến dạng không thể đọc bằng trình đọc màn hình, nên CAPTCHA âm thanh được cung cấp như phương án thay thế.

CAPTCHA âm thanh đọc 5-8 ký tự chữ số giữa tiếng ồn nền. Tiếng ồn mạnh khiến khó nghe, dữ liệu cho thấy tỷ lệ đúng chỉ khoảng 46% - thấp hơn cả CAPTCHA văn bản.

Như đã thảo luận trong thiết kế thông báo lỗi, trải nghiệm khi người dùng thất bại trong thao tác rất quan trọng. Thất bại CAPTCHA đặc biệt gây bực bội - tình huống phi lý khi không thể chứng minh mình là người. CAPTCHA ẩn như reCAPTCHA v3 được đánh giá cao như hướng giải quyết căn bản vấn đề khả năng tiếp cận.

Tương lai CAPTCHA - Hướng tới không ký tự

Sự tiến hóa của CAPTCHA nhất quán hướng tới "giảm số ký tự người dùng phải nhập." Từ 6-8 ký tự đến 2 từ, đến ô đánh dấu, đến hoàn toàn ẩn. Xu hướng này sẽ tiếp tục.

Private Access Token của Apple chứng minh tính người ở cấp thiết bị mà không truyền bất kỳ thông tin người dùng nào cho website. Nếu phương pháp này phổ biến, khái niệm CAPTCHA có thể trở thành di tích của quá khứ.

Lịch sử thiết kế số ký tự CAPTCHA cũng là lịch sử của câu hỏi đang dịch chuyển: "ranh giới giữa người và máy nằm ở đâu?" Ranh giới đó từng nằm ở "có đọc được 6 ký tự biến dạng hay không." Ngày nay nó đã chuyển sang lĩnh vực không thể đo bằng số ký tự - mẫu di chuyển chuột, hành vi cuộn trang. Thời đại chứng minh tính người bằng cách đếm ký tự đang lặng lẽ khép lại.

Sách về bảo mật và công nghệ xác thực cũng có thể tìm thấy trên Amazon.