Le CAPTCHA : la vérification humaine dans les interactions en ligne

Introduction

La plupart d'entre vous ont déjà croisé un CAPTCHA : pensez à cet autobus ou à ce panneau d'arrêt qu'il fallait repérer pour prouver que vous étiez bien un humain. Mais qu'y a-t-il derrière ce test numérique et comment fonctionne-t-il ? Cet article vous explique tout ce qu'il faut savoir sur le CAPTCHA et sur le rôle essentiel de ces tests dans la lutte contre le pourriel et le moissonnage de données dans les environnements numériques d'aujourd'hui.

Qu'est-ce qu'un CAPTCHA ?

Le CAPTCHA, acronyme anglais de « test de Turing public entièrement automatisé permettant de distinguer les ordinateurs des humains », est bien plus qu'une suite de caractères et d'images qui mettent à l'épreuve votre dextérité et vos capacités cognitives. Il s'agit d'un outil essentiel pour distinguer les véritables utilisateurs humains des robots automatisés. De fait, dans le champ de bataille numérique actuel entre utilisateurs réels et robots, le rôle des systèmes de vérification n'a jamais été aussi important.

Pour bien saisir l'ampleur du phénomène, examinons quelques données tirées d'un récent rapport d'Imperva. Selon celui-ci, 47,4 % de tout le trafic Internet en 2022 provenait de robots, une proportion en hausse de 5,1 % par rapport à l'année précédente. Autre donnée intéressante : le trafic humain a reculé à 52,6 %, son plus bas niveau en près d'une décennie.

Qu'est-ce que cela signifie ? D'innombrables robots, largement pilotés par des polluposteurs et des cybercriminels, ciblent sans relâche différentes plateformes à coups de pourriels, de tentatives de vol de données et d'attaques par force brute. Voilà pourquoi il est si important de comprendre le CAPTCHA et la façon dont il nous protège contre cette nouvelle génération d'attaquants numériques.

Commençons par voir à quoi sert le CAPTCHA avant d'examiner son fonctionnement et les différents types de tests.

À quoi servent les CAPTCHA ?

Plus du tiers des 100 000 sites Web les plus visités utilisent ces systèmes de vérification humaine, et les secteurs qui y ont recours sont extrêmement variés : jeu vidéo, paiements, médias sociaux, divertissement et médias, pour ne nommer que ceux-là.

Les développeurs Web et les propriétaires de sites utilisent les CAPTCHA pour limiter l'activité des robots sur leurs plateformes. Les applications sont nombreuses et varient selon le type d'activité en ligne et le secteur. On y a généralement recours pour :

• Renforcer la sécurité – Ils peuvent servir de mesure de sécurité supplémentaire lors de l'authentification afin de limiter les attaques par force brute. Ils contribuent aussi à protéger les sites Web contre les attaques par DDoS en veillant à ce que seuls des humains puissent y accéder.
• Restreindre la création de comptes – Les robots inondent fréquemment les systèmes d'inscription, créant de faux comptes et grugeant les ressources des fournisseurs de services. Ces comptes contribuent en outre à la hausse de la fraude. Les tests de vérification humaine aident les fournisseurs en empêchant les robots de s'inscrire et de générer des comptes en masse.
• Prévenir le pourriel et les commentaires en masse – Les robots ciblent les forums, les formulaires de contact et les sites d'évaluation avec des commentaires indésirables. Ces commentaires servent souvent à des fins malveillantes : diffusion de maliciels et de campagnes d'hameçonnage, trollage ou perturbation, sabotage concurrentiel et manipulation des moteurs de recherche.
• Limiter le faussement des sondages – Ces systèmes de détection du vivant empêchent les robots de voter dans les sondages en ligne. En s'assurant que chaque vote provient d'un humain, ils découragent les votes multiples, puisque chaque envoi prend plus de temps à l'utilisateur.
• Contrer la revente de billets et de produits – Les billetteries en ligne et les détaillants utilisent souvent des systèmes de vérification pour empêcher les robots d'acheter des billets et des produits en grande quantité. Les revendeurs se servent de robots pour acheter en masse des produits très en demande et les revendre à prix fort.
• Empêcher l'extraction automatisée de données – Les tests de vérification numérique peuvent aussi empêcher les robots de moissonner les sites Web pour en extraire des données comme des prix, des adresses et des coordonnées.

Comment fonctionne un CAPTCHA ?

Maintenant que les bases sont posées, voyons comment fonctionne réellement la technologie derrière ces tests de détection humaine. De façon générale, les systèmes de vérification demandent à l'utilisateur de prouver qu'il est humain en démontrant une action ou une « intelligence » humaine. Cela peut prendre plusieurs formes : interpréter une image, un son, ou un groupe de lettres et de chiffres brouillés ou déformés d'une manière ou d'une autre.

Ajouter un test numérique revient essentiellement à ajouter de la friction pour vos utilisateurs, ce que les entreprises cherchent habituellement à éviter. Cette friction peut toutefois s'avérer bénéfique lorsqu'on souhaite ralentir les comportements malveillants ou limiter les actions automatisées. Dans certains contextes d'affaires, les organisations veulent surtout éviter les coûts qu'entraînerait l'absence de tels systèmes.

Par définition, ces tests sont entièrement automatiques et ne nécessitent généralement aucune intervention humaine pour leur administration ou leur entretien, ce qui présente d'énormes avantages sur le plan des coûts et de la fiabilité.

Les types de CAPTCHA

Plusieurs méthodes permettent de distinguer les humains des robots. La plupart des versions modernes se répartissent en trois grandes catégories : les tests textuels, les tests visuels et les tests sonores.

• Les CAPTCHA textuels reposent sur le principe voulant que les humains lisent un texte déformé bien mieux que les ordinateurs : on affiche donc une image déformée d'une suite de caractères que l'utilisateur doit déchiffrer pour prouver qu'il est humain. Le texte est habituellement gauchi, barré de lignes ou placé sur un arrière-plan bruité afin de compliquer la tâche des robots. Les systèmes de vérification textuels présentés ci-dessous ont été mis au point pour pallier les lacunes des versions antérieures et suivre la sophistication croissante de ces technologies.
  

• : Mis au point par des chercheurs de Yahoo, Gimpy est l'un des premiers systèmes de vérification humaine. Il utilise des images déformées de plusieurs mots superposés tirés d'un dictionnaire de 850 mots. L'utilisateur doit reconnaître trois mots pour réussir le test.
• EZ-Gimpy : version simplifiée de Gimpy, qui n'affiche qu'un seul mot déformé. Elle est plus facile à résoudre, tant pour les humains que pour les robots.
• Gimpy-r : connue sous le nom de Gimpy « rechargé », cette version évoluée présente des déformations et des brouillages plus complexes afin de contrer les solveurs automatisés perfectionnés.
• HIP de Simard : ce système demande à l'utilisateur de reconnaître des lettres et des chiffres dans des images déformées et bruitées.

Les CAPTCHA visuels exigent de reconnaître des objets ou des motifs dans des images. On peut par exemple demander à l'utilisateur de sélectionner toutes les portions de l'image contenant des voitures, des vélos ou des feux de circulation.Les CAPTCHA mathématiques demandent à l'utilisateur de résoudre de simples additions, soustractions ou multiplications pour prouver qu'il est humain. Dans le même esprit, certains systèmes recourent à des questions de culture générale pour s'assurer qu'il ne s'agit pas d'un robot.Les tests sonores ont été conçus pour les personnes ayant une déficience visuelle, qui peinent à lire un texte ou à voir des images. L'utilisateur entend une série de mots prononcés à voix haute qu'il n'a plus qu'à saisir pour réussir le test. Cette méthode profite souvent du fait que moins de robots sont dotés de fonctions de reconnaissance vocale que de reconnaissance d'images.Les CAPTCHA en 3D présentent des objets en trois dimensions que l'utilisateur doit manipuler. Ils demeurent plus rares, car leur génération exige davantage de ressources de calcul.Les CAPTCHA gestuels demandent à l'utilisateur d'effectuer des actions précises à la souris ou sur un écran tactile : glisser-déposer des objets à des endroits déterminés ou tracer des formes simples, par exemple.

Qu'est-ce que le reCAPTCHA ?

Google, l'entreprise à l'origine de ce système, définit le reCAPTCHA comme « un service transparent de détection de la fraude qui bloque les robots et autres attaques automatisées tout en laissant passer les utilisateurs légitimes ». L'idée maîtresse consiste à miser sur un algorithme fondé sur le risque qui utilise l'apprentissage automatique pour s'adapter à chaque interaction, avec un client comme avec un robot, sans imposer à l'expérience utilisateur la friction propre aux tests de vérification traditionnels.

On peut simplement demander à l'utilisateur de cocher une case indiquant « Je ne suis pas un robot », après quoi le reCAPTCHA analyse son comportement pour en déterminer l'authenticité.

Le reCAPTCHA offre habituellement un meilleur niveau de sécurité grâce au suivi des adresses IP, à l'analyse des témoins et à l'analyse du comportement des utilisateurs. Même si le résultat obtenu ressemble beaucoup à celui d'un CAPTCHA classique, on le considère généralement supérieur, tant sur le plan de l'expérience utilisateur que de la sécurité.

Les limites des CAPTCHA

Les CAPTCHA sont des outils précieux pour la sécurité d'Internet et remplissent plutôt bien leur mission : distinguer les véritables utilisateurs des robots automatisés. Cependant, avec l'essor de l'intelligence artificielle et de l'apprentissage automatique, ces tests défi-réponse peinent désormais à repousser des attaques plus sophistiquées, qui recourent aux technologies modernes pour tromper la reconnaissance d'images et les autres épreuves cognitives et visuelles.

Précisons d'abord la différence entre le CAPTCHA et le célèbre test de Turing, proposé par Alan Turing en 1950. Le premier vise expressément à distinguer les utilisateurs humains des robots, ce qui le différencie du test de Turing, lequel évalue la capacité d'un ordinateur à imiter l'intelligence humaine. Avec les progrès continus de l'intelligence artificielle et de l'apprentissage automatique, la zone grise entre les deux tests devient de plus en plus difficile à circonscrire. Cela met en lumière l'une des plus grandes limites des CAPTCHA et une série d'enjeux connexes pour ce mécanisme de défense très répandu.

Cela dit, examinons plus en détail les limites de cette technologie :

• Une frontière brouillée par l'IA – Avec l'évolution récente et l'accessibilité de l'IA et de l'apprentissage automatique, il est devenu nettement plus difficile d'identifier les utilisateurs humains au moyen de la reconnaissance d'images et d'épreuves visuelles, ce qui illustre la lutte permanente entre les concepteurs de CAPTCHA et les développeurs d'IA.
• L'exploitation par les cybercriminels – Les groupes cybercriminels déjouent cette technologie depuis des années, en misant sur des exploits ciblés, sur des plateformes de travail à la demande à bas prix et même sur des humains rémunérés pour résoudre les épreuves présentées aux utilisateurs.
• Les attaques par rejeu – Les attaques par rejeu utilisent des services malveillants pour recopier les épreuves CAPTCHA sur leur propre plateforme, les faire résoudre par leurs visiteurs, puis transmettre les réponses au site ciblé.
• L'entraînement de l'IA – Les systèmes défi-réponse sont récemment devenus des sources de données pour des projets d'entraînement de l'IA, ce qui renforce les algorithmes mêmes créés pour contourner leur logiciel.

L'élément clé à retenir est que les CAPTCHA ne sont pas des mécanismes d'authentification : ils s'apparentent davantage à des systèmes de détection du vivant. Lorsqu'ils sont ciblés par des acteurs malveillants, ils perdent rapidement leur efficacité, que ce soit par le recours à une main-d'œuvre bon marché ou à des logiciels automatisés plus perfectionnés. Il importe donc de les voir comme une couche de complexité supplémentaire destinée à ralentir les adversaires, et non comme un système de défense à part entière.

Les inconvénients du recours aux CAPTCHA

En raison de ces limites, certains sites Web explorent d'autres méthodes de détection des robots, comme l'analyse comportementale, les pots de miel ou d'autres systèmes d'authentification.

D'autres inconvénients alimentent cette tendance :

• Friction et désagrément pour l'utilisateur – L'un des aspects les plus problématiques de ce mécanisme de sécurité est la friction qu'il ajoute à l'expérience des personnes qui visitent un site Web ou accèdent à une ressource en ligne.
• Incidence sur les taux de conversion – Ces tests peuvent décourager des utilisateurs légitimes de mener une action à terme ou de conclure un achat, ce qui fait chuter le taux de conversion des entreprises.
• Enjeux et préoccupations d'accessibilité – Les tests de vérification numérique peuvent rendre la lecture du texte difficile, voire impossible, pour bien des utilisateurs, même lorsque leur acuité visuelle n'est pas atteinte. Ils sont encore plus problématiques pour les personnes ayant une déficience visuelle ou cognitive. Qui plus est, les solutions de rechange, comme les épreuves sonores, posent elles aussi des difficultés aux personnes ayant une déficience auditive.
• Les CAPTCHA qui reposent sur une langue précise ou sur des références culturelles peuvent également nuire aux utilisateurs d'autres pays ou d'autres cultures.
• De plus, les tests de détection des robots peuvent être difficiles à réussir sur un appareil mobile, en raison de la taille réduite de l'écran et de l'interface tactile.
• Faux positifs et faux négatifs – Des robots perfectionnés parviennent parfois à franchir ces épreuves avec succès, tandis que des utilisateurs légitimes peuvent être pris à tort pour des robots. La plus récente génération de ces systèmes est conçue pour résister aux programmes de reconnaissance de texte les plus avancés. Le compromis entre des épreuves plus complexes et une friction accrue mène généralement, avec le temps, à une situation où les humains réussissent moins bien que les robots à les résoudre.
• Coûts de calcul – La mise en place de tests défi-réponse peut accroître la charge des serveurs, exiger des ressources informatiques supplémentaires et ralentir la performance du site Web.
• Préoccupations relatives à la vie privée – Certains services suivent le comportement des utilisateurs afin de leur présenter de la publicité ciblée.

Conclusion

Au fil des ans, le CAPTCHA a offert aux entreprises en ligne un outil essentiel pour protéger leurs sites Web, leurs ressources en ligne et leur infrastructure numérique. À mesure que la technologie évolue, l'avenir de ces systèmes de vérification humaine sera vraisemblablement façonné par la lutte constante entre les experts en cybersécurité, les acteurs malveillants et les plus récentes avancées.

Plutôt que de s'en remettre uniquement à ces systèmes de détection du vivant, les sites Web pourraient adopter des mécanismes d'authentification plus robustes : MFA sans mot de passe, passkeys et systèmes d'authentification de nouvelle génération qui authentifient les utilisateurs grâce à la biométrie et à la cryptographie moderne, tout en éliminant les vulnérabilités liées à l'IA et à l'apprentissage automatique.

La solution Multi-Pass de KZero Passwordless offre exactement cela – une solution d'authentification de nouvelle génération qui intègre une biométrie d'empreinte digitale hors ligne et une cryptographie de pointe.

Prêt à franchir la prochaine frontière de l'authentification ? Réservez une démonstration ou une rencontre dès aujourd'hui et découvrez la puissance de Multi-Pass.

Thierry Gagnon



Thierry est cofondateur et directeur de la technologie de KZero Passwordless, et l'un des plus grands spécialistes mondiaux des réseaux de partage sécurisé de l'information. Fort d'une expertise en développement de systèmes automatisés, en bases de connaissances en cybersécurité, en analyse de maliciels et rétro-ingénierie ainsi qu'en renseignement sur les cybermenaces, nous sommes reconnaissants de...