CAPTCHA

Un CAPTCHA ( / ˈ k æ p . tʃ ə / KAP -chə ) es un tipo de prueba de Turing de desafío-respuesta que se utiliza en informática para determinar si el usuario es humano con el fin de disuadir los ataques de bots y el spam . ^{[ 1 ]}

El término fue acuñado en 2003 por Luis von Ahn , Manuel Blum , Nicholas J. Hopper y John Langford . ^{[ 2 ]} Es un acrónimo artificial de " Prueba de Turing pública completamente automatizada para distinguir entre computadoras y humanos ". ^{[ 3 ]} Un tipo de CAPTCHA históricamente común (mostrado como reCAPTCHA v1 ) fue inventado por primera vez en 1997 por dos grupos que trabajaban en paralelo. Esta forma de CAPTCHA requiere ingresar una secuencia de letras o números de una imagen distorsionada. Debido a que la prueba es administrada por una computadora, a diferencia de la prueba de Turing estándar que es administrada por un humano, los CAPTCHA a veces se describen como pruebas de Turing inversas . ^{[ 4 ]}

Dos servicios CAPTCHA ampliamente utilizados son reCAPTCHA de Google ^{[ 5 ] [ 6 ]} y hCaptcha de Intuition Machines. ^{[ 7 ] [ 8 ]} Cloudflare , un importante proveedor de servicios de seguridad para sitios web, informó en 2021 que a la persona promedio le toma aproximadamente 32 segundos completar un desafío CAPTCHA típico, ^{[ 9 ]} aunque una estimación anterior de la Universidad de Stanford en 2018 informó un tiempo de resolución más corto de alrededor de 10 segundos. ^{[ 10 ]}

El propósito de los CAPTCHA es evitar que los bots utilicen servicios destinados al uso humano, prevenir ataques de denegación de servicio , evitar la distorsión de la información de uso recopilada, prevenir la entrada automatizada de información falsa y prevenir el rastreo de datos. Muchos sitios web utilizan CAPTCHA de manera efectiva para prevenir ataques de bots. Los CAPTCHA están diseñados para que los humanos puedan completarlos, mientras que la mayoría de los robots no pueden. ^{[ 11 ]} Los CAPTCHA más recientes analizan el comportamiento del usuario en internet para demostrar que es humano. ^{[ 12 ]} Idealmente, una prueba CAPTCHA solo aparece si las acciones del usuario se asemejan a las de un bot, como si solicita páginas web desde direcciones IP sospechosas , accede a muchas páginas o hace clic en enlaces demasiado rápido.

También se ha sugerido que los servicios CAPTCHA populares como reCAPTCHA y hCAPTCHA tenían el doble propósito de servir como herramientas públicas para que los humanos generaran conjuntos de datos para la IA con tareas como el etiquetado de imágenes. ^{[ 13 ] [ 14 ]}

Desde los años 80 y 90, los usuarios han querido hacer que el texto sea ilegible para las computadoras. ^{[ 15 ]} Los primeros en hacerlo fueron los hackers , que publicaban sobre temas delicados en foros de Internet que creían que estaban siendo monitoreados automáticamente por palabras clave. Para eludir dichos filtros, reemplazaban una palabra con caracteres similares. HELLO podía convertirse |-|3|_|_()en o )-(3££0, y otros, de manera que un filtro no pudiera detectarlos todos . Esto más tarde se conoció como leetspeak . ^{[ 16 ]}

Uno de los primeros usos comerciales de los CAPTCHA fue en la prueba de Gausebeck-Levchin . En 2000, idrive.com comenzó a proteger su página de registro ^{[ 17 ]} con un CAPTCHA y se preparó para solicitar una patente. ^{[ 15 ]} En 2001, PayPal utilizó dichas pruebas como parte de una estrategia de prevención de fraude en la que pedían a los usuarios que "reescribieran texto distorsionado que los programas tenían dificultades para reconocer". ^{[ 18 ]} El cofundador y CTO de PayPal, Max Levchin, ayudó a comercializar este uso. AltaVista implementó un esquema CAPTCHA temprano para protegerse contra registros de cuentas fraudulentos. ^{[ 19 ] [ 20 ] [ 21 ]}

Una implementación popular de la tecnología CAPTCHA, reCAPTCHA , fue adquirida por Google en 2009. ^{[ 22 ]} Además de prevenir el fraude de bots para sus usuarios, Google utilizó la tecnología reCAPTCHA y CAPTCHA para digitalizar los archivos de The New York Times y los libros de Google Books en 2011. ^{[ 23 ]} Si bien las primeras versiones requerían que los usuarios transcribieran palabras o etiquetaran imágenes de tráfico, la implementación actual de reCAPTCHA se basa en la recopilación de datos sobre el comportamiento y los atributos del usuario, por ejemplo, a través de la huella digital del lienzo , ^{[ 24 ]} y el uso de estos datos para evaluar qué usuarios son bots. Los desafíos de etiquetado de imágenes solo se presentan cuando se determina que el usuario es de "alto riesgo". Turnstile de Cloudflare funciona de manera similar y también es ampliamente utilizado. ^{[ 13 ]} El movimiento del ratón no parece afectar el análisis de riesgo de reCAPTCHA. ^{[ 24 ]}

En 2026, Google anunció que las nuevas versiones de su software reCAPTCHA requerirían que los usuarios escanearan un código QR con su teléfono, y que los usuarios de Android tuvieran instalados los servicios de Google Play. Esto haría imposible resolver estos captchas en teléfonos sin los servicios de Google Play (como los que ejecutan GrapheneOS o LineageOS ). ^{[ 25 ]}

Los CAPTCHA son automatizados, requieren poco mantenimiento o intervención humana para su administración, lo que produce beneficios en términos de costo y confiabilidad. ^{[ 26 ]}

Los CAPTCHA basados ​​en texto están diseñados de tal manera que requieren el uso simultáneo de tres capacidades distintas: reconocimiento invariante , segmentación y análisis sintáctico para completar la tarea. ^{[ 27 ]}

• El reconocimiento invariante se refiere a la capacidad de reconocer letras a pesar de una gran cantidad de variación en sus formas. ^{[ 28 ]}
• La segmentación es la capacidad de separar una letra de otra, algo que resulta difícil en los CAPTCHA.
• El análisis sintáctico se refiere a la capacidad de comprender el CAPTCHA de forma holística, para identificar correctamente cada carácter. ^{[ 29 ]}

Cada uno de estos problemas supone un desafío significativo para un ordenador, incluso de forma aislada. Por lo tanto, estas tres técnicas en conjunto dificultan la resolución de los CAPTCHA para los ordenadores. ^{[ 30 ]}

Aunque se utilizan principalmente por razones de seguridad, los CAPTCHA también pueden servir como tarea de referencia para las tecnologías de inteligencia artificial. Según un artículo de Ahn, Blum y Langford, ^{[ 31 ]} "cualquier programa que supere las pruebas generadas por un CAPTCHA puede utilizarse para resolver un problema de IA difícil sin resolver". ^{[ 32 ]} Argumentan que las ventajas de utilizar problemas de IA difíciles como medio de seguridad son dobles. O bien el problema queda sin resolver y se mantiene un método fiable para distinguir a los humanos de las computadoras, o bien el problema se resuelve y, al mismo tiempo, se resuelve un problema de IA difícil. ^{[ 31 ]}

Los CAPTCHA basados ​​en la lectura de texto —u otras tareas de percepción visual— impiden que los usuarios ciegos o con discapacidad visual accedan al recurso protegido. ^{[ 33 ] [ 34 ]} Dado que los CAPTCHA están diseñados para ser ilegibles por las máquinas, las herramientas comunes de tecnología de asistencia , como los lectores de pantalla, no pueden interpretarlos. El uso de CAPTCHA excluye así a un pequeño porcentaje de usuarios del uso de subconjuntos significativos de servicios web comunes como PayPal, Gmail, Orkut, Yahoo!, muchos sistemas de foros y blogs, etc. ^{[ 35 ]} En ciertas jurisdicciones, los propietarios de sitios podrían ser objeto de litigio si utilizan CAPTCHA que discriminan a ciertas personas con discapacidades. Por ejemplo, un CAPTCHA puede hacer que un sitio sea incompatible con la Sección 508 en los Estados Unidos.

Los CAPTCHA no tienen por qué ser visuales. Cualquier problema complejo de inteligencia artificial , como el reconocimiento de voz , puede utilizarse como CAPTCHA. Algunas implementaciones de CAPTCHA permiten a los usuarios optar por un CAPTCHA de audio, como reCAPTCHA, aunque un artículo de 2011 demostró una técnica para burlar los sistemas más populares de la época. ^{[ 36 ]}

ProtectWebForm propuso un método para mejorar CAPTCHA y facilitar su uso, denominado "Smart CAPTCHA". ^{[ 37 ]} Se recomienda a los desarrolladores combinar CAPTCHA con JavaScript. Dado que a la mayoría de los bots les resulta difícil analizar y ejecutar JavaScript, se propuso un método combinatorio que rellena los campos de CAPTCHA y oculta tanto la imagen como el campo a la vista humana. ^{[ 38 ]}

Un método alternativo consiste en mostrar al usuario una ecuación matemática simple y solicitarle que introduzca la solución como verificación. Si bien estos métodos son mucho más fáciles de burlar mediante software, son adecuados para situaciones en las que las imágenes gráficas no son apropiadas y ofrecen un nivel de accesibilidad mucho mayor para usuarios ciegos que los CAPTCHA basados ​​en imágenes. A veces se les denomina MAPTCHA (M = "matemático"). Sin embargo, pueden resultar difíciles para usuarios con trastornos cognitivos, como la discalculia . ^{[ 39 ]}

Los desafíos como un rompecabezas de lógica o una pregunta de cultura general también pueden usarse como CAPTCHA. Se están realizando investigaciones sobre su resistencia a las contramedidas. ^{[ 40 ]}

Dos formas principales de eludir los CAPTCHA incluyen el uso de mano de obra humana barata para reconocerlos y el uso de aprendizaje automático para construir un solucionador automatizado. ^{[ 41 ]} Según Shuman Ghosemajumder , ex "zar del fraude de clics " de Google , existen numerosos servicios que resuelven CAPTCHA automáticamente. ^{[ 42 ]}

Ataques basados ​​en aprendizaje automático

No existía una metodología sistemática para diseñar o evaluar los primeros CAPTCHA. ^{[ 30 ]} Como resultado, hubo muchos casos en los que los CAPTCHA tenían una longitud fija y, por lo tanto, se podían construir tareas automatizadas para hacer conjeturas fundamentadas sobre dónde debía tener lugar la segmentación. Otros CAPTCHA iniciales contenían conjuntos limitados de palabras, lo que hacía que la prueba fuera mucho más fácil de manipular . Otros cometieron el error de depender demasiado de la confusión del fondo en la imagen. En cada caso, se crearon algoritmos que lograron completar la tarea explotando estas fallas de diseño. Sin embargo, pequeños cambios en el CAPTCHA podían frustrarlos. Los CAPTCHA modernos, como reCAPTCHA , se basan en variaciones actuales de caracteres que se encuentran fusionados, lo que dificulta su segmentación, y han evitado las tareas automatizadas. ^{[ 43 ]}

En octubre de 2013, la empresa de inteligencia artificial Vicarious afirmó haber desarrollado un algoritmo genérico para resolver CAPTCHA capaz de resolver CAPTCHA modernos con tasas de reconocimiento de caracteres de hasta el 90 %. ^{[ 44 ]} Sin embargo, Luis von Ahn , pionero de los primeros CAPTCHA y fundador de reCAPTCHA, declaró: «Me cuesta impresionarme, ya que veo estos sistemas cada pocos meses». Desde 2003 se habían realizado 50 afirmaciones similares a la de Vicarious. ^{[ 45 ]}

En agosto de 2014, en la conferencia Usenix WoOT, Bursztein et al. presentaron el primer algoritmo genérico de resolución de CAPTCHA basado en aprendizaje por refuerzo y demostraron su eficiencia frente a muchos esquemas de CAPTCHA populares. ^{[ 43 ]}

En octubre de 2018, en la conferencia ACM CCS'18, Ye et al. presentaron un ataque basado en aprendizaje profundo que podía resolver de forma consistente los 11 esquemas de captcha de texto utilizados por los 50 sitios web más populares de 2018. Un solucionador de CAPTCHA eficaz puede entrenarse con tan solo 500 CAPTCHA reales. ^{[ 46 ]}

Algunos investigadores han propuesto alternativas, como los CAPTCHA de reconocimiento de imágenes, que requieren que los usuarios identifiquen objetos sencillos en las imágenes presentadas. El argumento a favor de estos sistemas es que tareas como el reconocimiento de objetos son más complejas que el reconocimiento de texto y, por lo tanto, deberían ser más resistentes a los ataques basados ​​en aprendizaje automático.

Chew et al. publicaron su trabajo en la 7.ª Conferencia Internacional de Seguridad de la Información, ISC'04, proponiendo tres versiones diferentes de CAPTCHA de reconocimiento de imágenes y validando la propuesta con estudios de usuarios. Se sugiere que una de las versiones, el CAPTCHA de anomalías, es la mejor, ya que el 100 % de los usuarios humanos pueden superar un CAPTCHA de anomalías con al menos un 90 % de probabilidad en 42 segundos. ^{[ 55 ]} Datta et al. publicaron su artículo en la Conferencia ACM Multimedia 2005, titulado IMAGINATION (IMAge Generation for INternet AuthenticaTION), proponiendo una forma sistemática de CAPTCHA de reconocimiento de imágenes. Las imágenes están distorsionadas, por lo que los métodos de reconocimiento de imágenes no pueden reconocerlas. ^{[ 56 ]}

Un equipo de investigadores de Microsoft ( Jeremy Elson , John R. Douceur, Jon Howell y Jared Saul) desarrolló un sistema de reconocimiento de imágenes de especies animales para restringir el acceso (ASIRRA), que pedía a los usuarios que distinguieran gatos de perros. Microsoft puso a disposición de los sitios web una versión beta de este sistema en 2008. ^{[ 57 ]} Afirmaron que «Asirra es fácil de usar; los humanos pueden resolverlo el 99,6 % de las veces en menos de 30 segundos. De forma anecdótica, los usuarios parecían encontrar la experiencia de usar Asirra mucho más agradable que un CAPTCHA basado en texto». Esta solución se describió en un artículo de 2007 para las Actas de la 14.ª Conferencia ACM sobre Seguridad Informática y de Comunicaciones (CCS). ^{[ 58 ]} El servicio se cerró en octubre de 2014. ^{[ 59 ]}

Se están utilizando CAPTCHA falsos para distribuir malware . Los ciberdelincuentes se aprovechan de la "fatiga de verificación" para engañar a las personas y que copien y ejecuten comandos de consola que descargan e instalan código malicioso, como spyware , con el fin de robar contraseñas, datos de monederos móviles y otra información personal. Se informa que estos intentos de fraude tienen más éxito que otros. ^{[ 60 ] [ 61 ] [ 62 ]}

• Prevención de bots
• Estrategia de defensa (informática)
• Prueba de personalidad jurídica
• Prueba de trabajo

• von Ahn, L.; Blum, M.; Langford, J. (2004). "Distinguir a humanos y computadoras (automáticamente)" (PDF) . Communications of the ACM . 47 (2): 57– 60.

• Verificación de la presencia humana en el proceso, o identificación mediante la prueba de Turing , Moni Naor, 1996.
• Inaccesibilidad de CAPTCHA: alternativas a las pruebas de Turing visuales en la web , nota de un grupo de trabajo del W3C .
• Historial de CAPTCHA de PARC .
• Ingeniería inversa de CAPTCHAs. Abram Hindle, Michael W. Godfrey, Richard C. Holt, 24 de agosto de 2009.