- Ein blinder Nutzer fragte nach einem Problem, bei dem in Brave das Cookie für das Accessibility-Konto von hCaptcha nicht gesetzt wurde; der Support teilte ihm jedoch mit, dass diese Nutzung der Accessibility-Funktion nicht unterstützt werde, sein Konto gelöscht werde und eine erneute Registrierung blockiert werde
- Damals bot hCaptcha statt eines Audio-CAPTCHAs spezielle Konten an, die CAPTCHA-Challenges per Cookie umgingen; später wurde eine Korrektur ergänzt, dass inzwischen eine Text-CAPTCHA-Option hinzugekommen sei
- In Firefox und Chromium funktionierte das Konto, doch in Brave wurde etwa ein Jahr lang kein Cookie gesetzt; in der JavaScript-Konsole gab der Set-Cookie-Endpunkt 401 Unauthorized zurück
- Der Support entschied, der Nutzer sei nicht blind, und verhinderte deshalb die Nutzung des Accessibility-Kontos; auch nachdem der Nutzer erklärte, tatsächlich blind zu sein, und um Aufhebung der Sperre bat, blieb die Sperre bestehen
- Ein System, das Barrierefreiheit einer separaten Umgehungslösung überlässt, kann echte Nutzer vom Zugriff auf Dienste ausschließen, sobald diese Umgehung willkürlich blockiert wird
hCaptchas Accessibility-Umgehung
- hCaptcha ist ein CAPTCHA-Dienst, bei dem Nutzer nach dem Anklicken einer Checkbox bestimmte Bilder auswählen müssen, etwa Häuser
- Damals bot hCaptcha kein Audio-CAPTCHA für blinde Menschen an und begründete das damit, dass Bots dadurch leichter bestehen könnten
- Stattdessen gab es ein Verfahren, bei dem blinde Menschen ein spezielles Konto erhielten, das ein Cookie setzte und sie ohne CAPTCHA-Challenge passieren ließ
- Später wurde ein Update ergänzt, dass hCaptcha inzwischen eine Text-CAPTCHA-Option habe; die im Text vorgebrachte Kritik bleibe jedoch weiterhin gültig
Cookie wird nur in Brave nicht gesetzt
- Der Nutzer verwendete Brave als Hauptbrowser, und etwa ein Jahr lang konnte sein hCaptcha-Accessibility-Konto in Brave kein Cookie setzen
- Dasselbe Konto funktionierte in anderen Browsern wie Firefox und Chromium normal
- Auf Anweisung prüfte er grundlegende Maßnahmen wie das Zulassen von Third-Party-Cookies, doch in Brave blieb das Problem bestehen; die Fehlermeldung verwies darauf, dem Support eine E-Mail zu schicken, falls das Problem weiterhin auftrete
Supportanfrage führt zu Verdacht
- Schließlich schrieb der Nutzer dem hCaptcha-Support eine E-Mail, und der Support nannte grundlegende Schritte zur Fehlerbehebung
- Um das Problem einzugrenzen, prüfte der Nutzer die JavaScript-Konsole und teilte mit, dass der Aufruf von hCaptchas Set-Cookie-Endpunkt in Brave offenbar
401 unauthorizedzurückgebe - Der Nutzer gab diese Information, um beim technischen Support zu helfen, vermutete aber, dass genau dies beim Support Verdacht geweckt haben könnte
Löschung des Accessibility-Kontos und Sperre für erneute Registrierung
- Während der Nutzer mit einem Supportmitarbeiter im Austausch war, schickte ein anderer Supportmitarbeiter eine Antwort mit folgendem Tenor
- Diese Art der Nutzung werde nicht unterstützt
- Für den Accessibility-Pass würden keine Credits erhalten
- Alle Konten, die auf diese Weise genutzt würden, würden von hCaptcha gelöscht
- Wenn der Nutzer versuche, sich erneut für ein Accessibility-Konto zu registrieren, werde er blockiert
- Der Nutzer war verwirrt, weil er nichts Unerlaubtes getan habe, sondern lediglich versucht habe, es in Brave zum Laufen zu bringen
- Später erklärte der Support, der Nutzer sei nicht blind und dürfe deshalb kein Accessibility-Konto verwenden
Nach dem Einwand, tatsächlich blind zu sein
- Der Nutzer erklärte, dass er tatsächlich blind sei, und bat um Aufhebung der Sperre; der Support schickte jedoch eine formelhafte Antwort, dass die Kontosperre bestehen bleibe
- Das Konto war tatsächlich gesperrt, und der Nutzer sagte, er sei nun in der Lage, die Nutzungsbedingungen brechen und ein automatisches Lösungsprogramm verwenden zu müssen, um hCaptcha zu bestehen
- Daraus leitete er die Warnung ab, man solle einem Unternehmen, das absichtlich ein nicht zugängliches Produkt anbietet, nicht vertrauen, eine separate Accessibility-Umgehung zuverlässig aufrechtzuerhalten
- Er fordert Website-Betreiber, die hCaptcha einsetzen, auf, diese Erfahrung zu berücksichtigen, und ergänzt, dass Cloudflare offenbar bereits ein eigenes System nutze
1 Kommentare
Hacker-News-Kommentare
Ich bin ebenfalls sehbehindert, und hCaptcha ist das Schlimmste
Dieser dumme Cookie läuft ab, sodass ich fast jedes Mal, wenn ich auf hCaptcha stoße, wieder eine E-Mail bekommen und den ganzen Vorgang zum Setzen des Cookies durchlaufen muss
Wenn man mehrere Geräte und Browser benutzt, ist das eine besonders furchtbare User Experience, und ich denke, andere geben dann einfach auf
Bots können das entweder leichter lösen als Sehbehinderte oder die Aufgabe für fast nichts an Arbeitskräfte in der Dritten Welt auslagern. Beispiel: Anticaptcha [0]:
Es zeigt winzige Bilder, die sich kaum voneinander unterscheiden lassen, und es ist schon fast beeindruckend, dass man es geschafft hat, es noch deutlich schlechter als reCaptcha zu machen
Google-CAPTCHAs schicken mich meist in eine Endlosschleife und scheitern immer, selbst wenn ich sie über mehr als 3 Minuten korrekt löse, während hCaptcha mich durchlässt, wenn ich nur 1 bis 3 richtig löse
Session-Cookies benutze ich, aber es gibt keinen Grund, irgendeinem Unternehmen zu erlauben, auf meinem System Cookies zu platzieren, nur damit ich deren dummes CAPTCHA umgehen kann
Anders gesagt: Ich sollte ihnen überhaupt nichts offenlegen müssen. Es sollte egal sein, wenn sie mich für eine KI halten
Nur anhand des Titels wirkt das Problem viel weniger gravierend, als es tatsächlich ist
Dem Artikel zufolge hat hCaptcha den Autor mehrfach unhöflich und ohne Grundlage der Lüge bezichtigt, obwohl er tatsächlich sehbehindert ist
Das ist keine Verteidigung, sondern eine Erklärung, aber zugleich zeigt es auch, warum die Idee „Wir geben Sehbehinderten keine Möglichkeit, CAPTCHA zu umgehen, machen aber für die ‚wirklich‘ Sehbehinderten eine Ausnahme, damit wir das ADA erfüllen“ völlig unmöglich und nicht skalierbar ist
Selbst Unternehmen in der Größenordnung von Google, Facebook oder Amazon dürften Schwierigkeiten haben, die Last eines Systems zu tragen, das entscheidet, wer „wirklich“ sehbehindert ist. Das gilt sogar dann, wenn man Fragen wie die ignoriert, was „Sehbehinderung“ überhaupt genau bedeutet
So etwas hätte nicht erst nach dem Rollout als Problem auffallen dürfen, sondern schon nach fünf Minuten in einer Vorschlagsbesprechung abgewürgt werden müssen, bevor es überhaupt in die Entwurfsphase kommt
Gäbe es in einer Umgebung mit extrem starken adversarialen Angriffen ein System, das Eigenschaften wie „wer ist sehbehindert“ perfekt bestimmen kann, dann wäre das ein viel wertvolleres Gut als das CAPTCHA-System selbst
Diese Idee funktioniert nur, wenn man bereits eine stärkere Lösung besitzt als das Problem, das CAPTCHA überhaupt lösen soll, und ist deshalb logisch von Grund auf nicht tragfähig
Manche CAPTCHAs werden zunehmend diskriminierend. Nicht alle leben im Westen und können die Objekte erkennen, nach denen ein CAPTCHA fragt
Kürzlich habe ich sogar eins gesehen, bei dem man die Form auswählen sollte, deren Anzahl der Zahl der Konoide auf dem Bildschirm entsprach; wenn man Leute auf der Straße fragt, was ein Konoid ist, werden einen ziemlich viele nur leer ansehen
Immerhin weiß ich jetzt, dass manche Leute solche Markierungen inzwischen crosswalk nennen
Wahrscheinlich war eigentlich gemeint: „Nicht alle leben in den USA“
Bei Hydranten, gelben Taxis und gelben Schulbussen habe ich ebenfalls überhaupt kein Bild vor Augen
Natürlich kenne ich sie in der Praxis trotzdem, weil man dank des amerikanischen Kulturimperialismus durch Dinge wie CAPTCHAs weltweit mit US-kulturellen Maßstäben vertraut sein muss
Ich weiß bis heute nicht, wie weit man ein Objekt auswählen muss, und selbst bei einer Ampel ist unklar, was dazugehört. Gehört der Mast dazu oder nicht?
Motorräder sind auch ziemlich schwierig, und einmal bekam ich ein Bild voller Treppen und habe wohl etwa 15 Kästchen markiert
Das Google-Wörterbuch sagt, es sei ein zoologischer Begriff für „ungefähr kegelförmig“, und das Wikipedia-Panel sagt, in der Geometrie sei es eine Regelfläche, die bestimmte Bedingungen erfüllt, aber selbst die Abbildung ist überhaupt nicht intuitiv
Das Merriam-Webster-Suchergebnis sagt „eine konusförmige Struktur, insbesondere ein abgeschnittenes konusförmiges hohles Zellorganell am Vorderende eines Organismus“
Das wirkt alles völlig unpassend, also habe ich auf den Bilder-Tab geklickt, und dort kamen nur komplexe Mathematica-artige Diagramme heraus, die Kegeln nicht besonders ähnlich sehen
Auch andere Leute in den HN-Kommentaren scheinen genauso wenig zu wissen, was das ist
Kannst du beschreiben, was du auf dem Bildschirm gesehen hast? Was hielt das CAPTCHA für ein conoid? So etwas wie Verkehrshütchen?
Die erste Lehre im Wettbewerb mit Google sollte sein: „Behandle die Nutzer nicht noch schlechter als Google.“ Sonst benutzen die Leute einfach Google
Sich trotz eines solchen Geschäftsgebarens auf das Wohlwollen einer kleinen Minderheit von „Ich nutze Google auf keinen Fall“-Leuten zu verlassen, ist kein Weg zum Erfolg
Während hCaptcha seinen Ruf ruiniert, wird der Rest der Welt weiter reCaptcha benutzen und sich nicht einmal für die Existenz von hCaptcha interessieren
Nebenbei: Die richtige Schreibweise ist intentional, nicht „intensional“. Man sollte es als „intent“ + „-tion“ + „-al“ verstehen und nicht als „in-“ + „tension“ + „-al“
Der Autor war im Wesentlichen zu klug, um sehbehindert zu sein
So nach dem Motto: Wie sollte ein Sehbehinderter denn in die JavaScript-Konsole „schauen“?
Natürlich ist „Ich habe mir den Inhalt der JavaScript-Konsole vom Screenreader vorlesen lassen“ etwas lang
Mir passiert so etwas viel zu oft. Ich bin an Orten, an denen ich „nicht sein sollte“, oder tue Dinge, die ich „nicht tun sollte“, also kann ich angeblich nicht sehbehindert sein
Ich hoffe, das CAPTCHA-Experiment ist bald vorbei. Es hat nicht funktioniert
Eine Verifizierung per Telefonnummer ist auch nicht gut, erhöht aber zumindest die Kosten für Spam ein Stück weit. CAPTCHA tut das nicht. Fast alle schlüsselfertigen CAPTCHA-Dienste lassen sich für ein paar Cent lösen
Das Problem von Spam und bösartigem Traffic zu lösen ist schwierig, und ich fürchte, am Ende läuft es auf drei Möglichkeiten hinaus
Erstens: die Aufgabe der Anonymität der Nutzer. Wenn man reale Identitäten ausreichend verifiziert, kann man bösartige Personen dauerhaft sperren und Bots ziemlich effektiv herausfiltern, aber dann verschwindet die Online-Anonymität. Meiner Meinung nach ist das buchstäblich nicht tragbar
Zweitens: die Schließung der Plattform. Ansätze wie Web Environment Integrity und Private Access Tokens ebnen den Weg dazu, die Webplattform zu schließen. Die meisten Webnutzer verwenden Google Chrome oder Safari auf Geräten mit Secure Boot, sodass sich die gesamte Boot-Kette nachweisen lässt. Mit der Zeit wird die Zahl der Nutzer wachsen, die das ausführen können
In so einer Zukunft bleibt das Web nicht mehr in einem sinnvoll offenen Zustand. Alternativen werden immer weniger nützlich werden, und selbst wenn maschinelles Lernen keine allgemeine künstliche Intelligenz erreicht, wird es wahrscheinlich alle heute existierenden CAPTCHAs klar übertreffen, sodass es ohne diese Methode immer schwieriger wird, auf Websites zu gelangen
Drittens: mehr Verantwortung für Netzwerkbetreiber. Ob es uns gefällt oder nicht, das Internet profitiert stark von Betreibern in einer Grauzone mit schwacher Aufsicht oder Transparenz. Eine weitere Möglichkeit, bösartigen Traffic zu beseitigen, wäre jedoch, Netzwerkbetreibern mehr Verantwortung aufzuerlegen und unkooperative Anbieter vom Internet zu trennen. Auch das wird wahrscheinlich unschön sein und Machtmissbrauch fördern
Trotzdem ist es knifflig. Was kann man sonst tun? Selbst wenn man versucht, die Anreize für bösartigen Traffic zu senken, ist das schwierig, ohne den Wert des Dienstes zu mindern, und man kann bösartigen Traffic durch Obfuskation zwar erschweren, aber entschlossene Gegner lassen sich damit kaum aufhalten
So oder so fühlt es sich an, als wäre die Ära des offenen Webs faktisch vorbei. Das offene Web kann weiter existieren, wird aber wahrscheinlich von einem neuen, sehr viel stärker geschlossenen Web überschattet
Auf unserer Website füllen Bots ohne CAPTCHA täglich Dutzende Formulare aus. Mit CAPTCHA sinkt das auf 0
Auch wenn es billig ist, CAPTCHA zu knacken, scheint auf unserer Website niemand bereit zu sein, diese kleine Hürde zu überwinden
CAPTCHA ist nur nützlich, wenn das Lösen Kosten verursacht. Es ist ein Kostensignal, dass diese Anfrage von einem echten Menschen stammt, oder zumindest von etwas, das mehr ist als ein Milliardstel eines echten Menschen. Das bedeutet, dass es sich nicht um ein vollständig automatisiertes Spam-System handelt
Auch der Postversand kostet etwas. Wer etwas per Post verschicken will, muss Briefmarken kaufen. Transportkosten sind ein „natürlicher“ Weg, Traffic zu regulieren und Spam zu verhindern
Mit einer Kombination aus Netzwerkarchitektur und Kryptowährung könnte man bei jedem Sendeversuch oder Login-Versuch Transportkosten erheben. Wenn eine Spam-Mail oder ein Login-Rateversuch auch nur 1 Cent kostet, wird das für die meisten vollautomatischen Spam-Systeme untragbar teuer
Das Kryptowährungs-Element dient dazu, bargeldähnliche Transaktionen wie Briefmarken zu ermöglichen und zugleich die Anonymität des Zugangs zu privaten Wallets zu bewahren
Soziale Medien haben USENET getötet, und E-Mail hat das Spamproblem dank Filterung in den Griff bekommen
Es gibt auch viel zu viele Nutzer, die für die Chance auf einen Gewinn auf alles klicken und dabei zustimmen würden, dass ihre Identität für Spam missbraucht wird
Dinge wie Web Environment Integrity oder Private Access Tokens werden niemals richtig funktionieren. Spammer müssen nur ein einziges populäres Gerätemodell knacken
Wer so etwas vorschlägt, ist entweder ein Betrüger oder eine Plattformfirma, die es für Lock-in-Effekte nutzen will. Spammer investieren Ressourcen, um das System zu brechen, während normale Nutzer Unannehmlichkeiten nicht tolerieren, sodass am Ende Konkurrenten und Interoperabilität ausgesperrt werden
Verantwortung von Netzwerkbetreibern geschieht bereits in erheblichem Maß. IP-Bereiche mit schlechtem Ruf werden blockiert. Aber wenn Botnetze aus Nutzern entstehen, die über viele ISPs verteilt sind, unterscheiden sich einige ISPs in ihrer Bereitschaft zu reagieren, andere können selbst bei Reaktion nicht sofort handeln, und manche, denen es egal ist, sitzen in Rechtsräumen, die sich nicht kontrollieren lassen, aber zu groß sind, um sie zu blockieren
Die beste Lösung wäre wahrscheinlich, beim Erstellen eines Kontos einen kleinen Betrag in Geld, Kryptowährung oder Proof-of-Work zu verlangen. Normale Nutzer brauchen nur ein paar langlebige Konten, während Spammer eine große Zahl von Konten brauchen, die fast sofort gesperrt werden, wodurch die für ein funktionierendes System nötige asymmetrische Kostenstruktur entsteht
Schon damals musste man die Aufgaben immer schwieriger machen, um der Erkennungssoftware voraus zu bleiben
Jetzt hat sich das in einen Bereich verschoben, in dem Maschinen es leichter lösen als Menschen, sodass es für den ursprünglichen Zweck nutzlos geworden ist
Leider wirken die meisten Barrierefreiheitsoptionen so, als seien sie gar nicht dafür gedacht, tatsächlich benutzt zu werden
Bei Behörden oder Großunternehmen gehört Barrierefreiheit zu den Grundanforderungen. Man muss sagen können: „Ja, wir sind barrierefrei“, sonst gibt es öffentlichen Ärger
Deshalb streicht man aus der Lieferantenliste jeden heraus, der nicht behauptet, Barrierefreiheit anzubieten. Die Anbieter wissen das und sagen daher zwangsläufig, dass sie sie anbieten
Aber es ist eine schwer ordentlich umzusetzende Funktion, und sie betrifft nur einen kleinen Teil der Nutzerbasis. Je nach Art der Behinderung ist auch unterschiedliche Unterstützung nötig. Niemand im Entwicklungsteam versteht die tatsächlichen Anforderungen wirklich richtig
Menschen, die Barrierefreiheit brauchen, gehen entweder woanders hin oder schlagen sich zähneknirschend irgendwie durch. Keines von beidem taucht in den Kennzahlen-Dashboards auf
Diese Kombination fördert Shelfware. Es wird zu etwas, das man kauft und irgendwo ins Regal stellt, aber in Wirklichkeit nicht benutzt
Wenn ich das richtig verstanden habe, verhindert das von hCaptcha verursachte Barrierefreiheitsproblem, dass dieser blinde Nutzer auf mehrere Websites zugreifen kann?
Könnte das für viele Kunden von hCaptcha nicht ein Problem im Sinne des ADA sein?
Falls der Autor klagen möchte, scheint das fast ein eindeutiger Erfolgsfall zu sein
Die Nutzungsbedingungen schließen eine Haftung nach dem ADA nicht aus
Ich verstehe nicht, warum es CAPTCHAs überhaupt noch gibt.
Wenn jemand etwas scrapen oder automatisieren will, warum lässt man ihn nicht einfach? Schließlich sollte man das Login-System respektieren.
Außerdem hat es einen Datenschutzvorteil, Besucher nicht einem CAPTCHA-Dienst mit Dutzenden nachgelagerten Datenverarbeitern auszusetzen.
Bots haben tausende Fake-Konten mit den E-Mail-Adressen anderer Leute erstellt, und unsere Bestätigungs-E-Mails wurden als Spam gemeldet, weil die Empfänger sich nie registriert hatten.
Am Ende hat unser E-Mail-Anbieter unser Konto wegen zu vieler Spam-Beschwerden gesperrt.
Ich habe das getan, und schon nach wenigen Tagen fingen Bots an, über dieses Formular Spam zu verschicken.
Ich habe ein triviales, fest einprogrammiertes CAPTCHA wie „2+3=“ eingebaut, aber in größerem Maßstab wäre das nicht beherrschbar gewesen.
Man muss auch an Spam per Privatnachricht oder an automatisch erstellte Konten zum Missbrauch eines Free-Tiers denken.
Automatisierung oder Scraping umgeht das einfach.
Wenn man CAPTCHAs aus dem Login-Formular entfernt, merkt man schnell, dass man plötzlich jeden Tag hunderte Nutzer abfangen muss, denen man grundlos E-Mails mit „Bitte bestätigen Sie Ihre E-Mail-Adresse“ schicken muss.
Der Glaube, dass „auch sie das Login-System respektieren sollten“, ist schön und gut, aber wenn man irgendetwas im Internet betreibt, merkt man, dass Menschen absichtlich oder unabsichtlich so lange auf Systeme einprügeln, bis sie zusammenbrechen.
Diese Bots unterstützen kein CSS, daher funktioniert das in Kombination mit versteckten Formularfeldern noch besser.
Bei gezielten Angriffen bringt es allerdings oft nur etwas, die Bot-Blockierungsrate von 95 % auf 99 % zu erhöhen, während legitime Nutzer darunter leiden.