- Seorang pengguna tunanetra menanyakan masalah akun aksesibilitas hCaptcha yang tidak mengatur cookie di Brave, tetapi tim dukungan memberi tahu bahwa penggunaan aksesibilitas tersebut tidak didukung, akunnya akan dihapus, dan pendaftaran ulang akan diblokir
- Saat itu hCaptcha menyediakan akun khusus yang melewati tantangan CAPTCHA lewat cookie alih-alih audio CAPTCHA, dan kemudian ditambahkan koreksi bahwa pembaruan setelahnya menghadirkan opsi CAPTCHA teks
- Di Firefox dan Chromium akun tersebut berfungsi, tetapi di Brave selama sekitar 1 tahun cookie tidak tersetel, dan di konsol JavaScript endpoint set cookie mengembalikan 401 Unauthorized
- Tim dukungan menilai pengguna itu bukan tunanetra sehingga melarang penggunaan akun aksesibilitas, dan bahkan setelah pengguna meminta pencabutan blokir dengan menyatakan bahwa dirinya benar-benar tunanetra, blokir tetap dipertahankan
- Sistem yang menyerahkan aksesibilitas pada jalur pintas terpisah dapat menyingkirkan pengguna nyata dari layanan ketika jalur pintas itu sewaktu-waktu diblokir secara sewenang-wenang
Cara bypass aksesibilitas hCaptcha
- hCaptcha adalah layanan CAPTCHA yang meminta pengguna menekan kotak centang lalu memilih gambar tertentu seperti rumah
- Saat itu hCaptcha tidak menyediakan audio CAPTCHA untuk tunanetra, dengan alasan hal itu akan membuat bot lebih mudah lolos
- Sebagai gantinya, ada mekanisme pemberian akun khusus kepada tunanetra untuk mengatur cookie sehingga mereka tidak perlu melalui tantangan CAPTCHA
- Kemudian ditambahkan pembaruan bahwa hCaptcha telah memiliki opsi CAPTCHA teks, tetapi ditegaskan bahwa kritik utama dalam tulisan ini tetap berlaku
Cookie tidak tersetel hanya di Brave
- Pengguna memakai Brave sebagai browser utama, dan selama sekitar 1 tahun akun aksesibilitas hCaptcha gagal mengatur cookie di Brave
- Akun yang sama berjalan normal di browser lain seperti Firefox dan Chromium
- Sesuai panduan, pengguna sudah memeriksa langkah dasar seperti mengizinkan cookie pihak ketiga, tetapi masalah tetap berlanjut di Brave, dan pesan kesalahan menyarankan untuk mengirim email ke tim dukungan jika masalah terus terjadi
Permintaan dukungan berubah menjadi kecurigaan
- Pengguna akhirnya mengirim email ke tim dukungan hCaptcha, dan tim dukungan memberikan prosedur pemecahan masalah dasar
- Untuk mempersempit masalah, pengguna memeriksa konsol JavaScript dan menyampaikan bahwa pemanggilan endpoint set cookie milik hCaptcha di Brave tampaknya mengembalikan
401 unauthorized - Pengguna memberikan informasi ini untuk membantu dukungan teknis, tetapi menduga hal itu mungkin memicu kecurigaan dari tim dukungan
Akun aksesibilitas dihapus dan pendaftaran ulang diblokir
- Saat berbicara dengan petugas dukungan, petugas lain mengirim balasan dengan inti sebagai berikut
- Cara penggunaan tersebut tidak didukung
- Tidak mendapatkan kredit untuk pass aksesibilitas
- Semua akun yang digunakan dengan cara seperti ini akan dihapus dari hCaptcha
- Jika pengguna mencoba mendaftar lagi untuk akun aksesibilitas, mereka akan diblokir
- Pengguna bingung karena merasa tidak melakukan sesuatu yang dilarang dan hanya berusaha agar layanan itu berfungsi di Brave
- Setelah itu tim dukungan menjelaskan bahwa pengguna bukan tunanetra, jadi tidak boleh menggunakan akun aksesibilitas
Setelah menyatakan bahwa dirinya benar-benar tunanetra
- Pengguna menyatakan bahwa dirinya memang tunanetra dan meminta blokir dicabut, tetapi tim dukungan mengirim jawaban standar bahwa pemblokiran akun akan tetap dipertahankan
- Akun itu memang benar-benar diblokir, dan pengguna mengatakan bahwa untuk melewati hCaptcha ia akhirnya berada dalam situasi harus melanggar syarat layanan dan memakai program pemecah otomatis
- Ini berujung pada peringatan bahwa perusahaan yang sengaja menyediakan produk yang tidak dapat diakses tidak layak dipercaya untuk secara andal menjaga jalur bypass aksesibilitas yang terpisah
- Jika pengelola situs web menggunakan hCaptcha, mereka didesak mempertimbangkan pengalaman ini, dan ditambahkan bahwa Cloudflare tampaknya sudah memakai sistemnya sendiri
1 komentar
Opini Hacker News
Saya juga tunanetra, dan hCaptcha itu yang terburuk
Cookie bodohnya kedaluwarsa, jadi hampir setiap kali bertemu hCaptcha saya harus menerima email dan menjalani proses untuk menyetel cookie
Kalau memakai beberapa perangkat dan browser, pengalaman penggunanya sangat mengerikan, dan saya rasa orang lain akan menyerah begitu saja
Bot bisa menyelesaikannya lebih mudah daripada tunanetra, atau mengalihdayakannya ke pekerja di negara dunia ketiga dengan biaya nyaris gratis. Contoh: Anticaptcha [0]:
Mereka menampilkan gambar-gambar sangat kecil yang nyaris tidak bisa dibedakan satu sama lain, dan justru mengesankan bahwa mereka berhasil membuatnya jauh lebih buruk daripada reCaptcha
CAPTCHA Google biasanya mengirim saya ke loop tanpa akhir dan selalu gagal meski sudah menjawab benar selama lebih dari 3 menit, sedangkan hCaptcha meloloskan saya setelah 1–3 soal dijawab dengan benar
Saya memakai cookie sesi, tetapi tidak ada alasan saya harus mengizinkan suatu perusahaan menanam cookie di sistem saya hanya untuk melewati CAPTCHA bodoh mereka
Dengan kata lain, saya seharusnya tidak perlu mengungkapkan apa pun kepada mereka. Seharusnya tidak masalah jika menurut mereka saya adalah AI
Kalau hanya melihat judulnya, masalah ini tampak jauh lebih ringan daripada kenyataannya
Menurut tulisan itu, hCaptcha berulang kali menuduh penulis berbohong secara kasar tanpa dasar, padahal penulisnya benar-benar tunanetra
Ini bukan pembelaan, melainkan penjelasan; sekaligus menunjukkan mengapa gagasan “jangan beri tunanetra cara melewati CAPTCHA, tetapi beri pengecualian hanya untuk tunanetra ‘sungguhan’ agar lolos ADA” benar-benar mustahil dan tidak dapat diskalakan
Bahkan perusahaan sebesar Google, Facebook, atau Amazon pun akan sulit menanggung beban sistem untuk menentukan siapa yang “benar-benar” tunanetra. Itu pun dengan mengabaikan pertanyaan seperti apa tepatnya definisi “tunanetra”
Hal seperti ini bukan masalah yang seharusnya baru muncul setelah diterapkan, melainkan gagasan yang semestinya dicegah bahkan sebelum masuk tahap desain setelah ditinjau 5 menit di rapat proposal
Jika ada sistem yang bisa menentukan secara sempurna karakteristik seperti “siapa yang tunanetra” dalam lingkungan dengan serangan adversarial yang ekstrem, benda itu akan jauh lebih berharga daripada sistem CAPTCHA itu sendiri
Gagasan ini hanya bisa berjalan jika sudah memiliki solusi yang lebih kuat daripada masalah yang ingin diselesaikan CAPTCHA, jadi secara logis sejak dasarnya memang tidak berdiri
Sebagian CAPTCHA makin menjadi diskriminatif. Tidak semua orang tinggal di dunia Barat dan bisa mengenali objek yang diminta CAPTCHA
Baru-baru ini saya juga melihat CAPTCHA yang meminta memilih bentuk dengan jumlah yang sama dengan jumlah conoids di layar; kalau Anda bertanya kepada orang-orang di jalan apa itu conoid, cukup banyak yang akan memasang wajah kosong
Meski begitu, sekarang saya jadi tahu ada juga orang yang menyebut marka seperti itu crosswalk
Sepertinya maksudnya adalah “tidak semua orang tinggal di Amerika Serikat”
Hidran kebakaran, taksi kuning, bus kuning juga sama sekali tidak terasa familier
Tentu saja, berkat imperialisme budaya Amerika lewat hal-hal seperti CAPTCHA, seluruh dunia harus mengetahui acuan budaya Amerika, jadi pada kenyataannya saya memang tahu
Sampai sekarang saya tidak tahu harus memilih sampai bagian mana dari objek, dan lampu lalu lintas pun ambigu. Saya tidak tahu apakah tiangnya termasuk atau tidak
Sepeda motor juga cukup sulit, dan sekali waktu ada foto yang penuh tangga, seingat saya saya menandai sekitar 15 kotak
Kamus Google menyebutnya istilah zoologi yang berarti “kurang lebih berbentuk kerucut”, panel Wikipedia menyebutnya dalam geometri sebagai permukaan garis lurus yang memenuhi kondisi tertentu, tetapi gambarnya sama sekali tidak intuitif
Hasil pencarian Merriam-Webster menyebut “struktur berbentuk kerucut, khususnya organel sel berongga berbentuk kerucut terpancung di ujung depan organisme”
Karena tampaknya sama sekali tidak terkait, saya membuka tab gambar, dan yang muncul hanya grafik-grafik rumit ala Mathematica yang tidak terlalu mirip kerucut
Orang lain di komentar HN juga tampaknya sama-sama tidak tahu
Bisa jelaskan apa yang Anda lihat di layar? CAPTCHA itu menganggap apa sebagai conoid? Apakah semacam kerucut lalu lintas?
Pelajaran pertama saat bersaing dengan Google seharusnya adalah “jangan memperlakukan pengguna lebih buruk daripada Google.” Kalau tidak, orang akan memakai Google saja
Dengan cara bisnis seperti itu, mengandalkan niat baik segelintir “orang yang sama sekali tidak mau memakai Google” bukanlah jalur menuju sukses
Sementara hCaptcha merusak reputasinya sendiri, dunia selebihnya akan terus memakai reCaptcha dan bahkan tidak peduli pada keberadaan hCaptcha
Sebagai tambahan, ejaannya bukan “intensional” melainkan intentional. Anggaplah sebagai “intent” + “-tion” + “-al”, bukan “in-” + “tension” + “-al”
Pada dasarnya penulisnya terlalu pintar untuk dianggap sebagai tunanetra
Sepertinya mereka berpikir, bagaimana mungkin orang tunanetra “melihat” konsol JavaScript?
Tentu saja, ungkapan “membuat screen reader membacakan isi konsol JavaScript” memang agak panjang
Saya juga terlalu sering mengalami hal seperti ini. Karena saya berada di tempat yang “tidak seharusnya” saya datangi atau melakukan hal yang “tidak seharusnya” saya lakukan, maka saya dianggap bukan tunanetra
Saya berharap eksperimen CAPTCHA segera diakhiri. Itu tidak berhasil
Verifikasi nomor telepon juga tidak bagus, tetapi setidaknya menaikkan biaya spam sampai batas tertentu. CAPTCHA tidak demikian. Hampir semua layanan CAPTCHA turnkey bisa dipecahkan dengan biaya receh
Memecahkan masalah spam dan lalu lintas berbahaya itu sulit, dan saya khawatir pada akhirnya akan mengerucut ke tiga kemungkinan
Pertama, pengguna menyerahkan anonimitas. Jika identitas dunia nyata diverifikasi dengan cukup baik, individu berbahaya bisa diblokir permanen dan bot bisa disaring dengan cukup efektif, tetapi anonimitas online akan hilang. Menurut saya, secara harfiah itu tidak bisa ditanggung
Kedua, penutupan platform. Pendekatan seperti Web Environment Integrity dan Private Access Tokens membuka jalan untuk menutup platform web. Sebagian besar pengguna web memakai Google Chrome atau Safari di perangkat dengan Secure Boot, sehingga seluruh rantai boot dapat dibuktikan. Seiring waktu, jumlah pengguna yang bisa menjalankan ini akan bertambah
Dalam masa depan seperti itu, web tidak lagi tetap terbuka secara bermakna. Alternatif akan makin kurang berguna; misalnya, meski machine learning tidak mencapai kecerdasan buatan umum sekalipun, ia akan mengalahkan semua CAPTCHA yang ada di depan mata, sehingga tanpa cara ini kemungkinan besar akan makin sulit masuk ke situs web
Ketiga, memperkuat tanggung jawab operator jaringan. Suka atau tidak, internet banyak terbantu oleh operator wilayah abu-abu dengan pengawasan atau transparansi yang lemah. Namun cara lain untuk menghilangkan lalu lintas berbahaya adalah membebankan lebih banyak tanggung jawab pada operator jaringan dan memutus operator yang tidak kooperatif dari internet. Ini juga kemungkinan besar tidak bagus, dan akan mendorong penyalahgunaan wewenang
Tetap saja ini rumit. Apa lagi yang bisa dilakukan? Mencoba mengurangi insentif lalu lintas berbahaya sulit dilakukan tanpa menurunkan nilai yang diberikan layanan, dan obfuscation bisa membuat lalu lintas berbahaya lebih sulit, tetapi sulit menghentikan pihak yang sangat bertekad
Bagaimanapun, rasanya era web terbuka pada dasarnya sudah berakhir. Web terbuka mungkin tetap ada, tetapi kemungkinan besar akan tertutupi oleh web baru yang jauh lebih tertutup
Di situs web kami, tanpa CAPTCHA bot mengisi puluhan formulir per hari. Jika CAPTCHA dipasang, jumlahnya menjadi 0
Biaya memecahkan CAPTCHA memang murah, tetapi di situs kami tampaknya tidak ada yang mau melewati hambatan kecil itu
CAPTCHA hanya berguna ketika ada biaya untuk menyelesaikannya. Ia menjadi sinyal biaya bahwa permintaan ini berasal dari manusia sungguhan, atau setidaknya entitas yang lebih besar daripada sepersemiliar manusia sungguhan. Artinya, ini bukan sistem spam yang sepenuhnya otomatis
Layanan pos juga memiliki biaya. Untuk mengirim sesuatu lewat pos, siapa pun harus membeli prangko. Biaya pengiriman adalah cara yang “alami” untuk mengatur lalu lintas dan mencegah spam
Dengan kombinasi struktur jaringan dan kripto, biaya pengiriman bisa dikenakan untuk setiap percobaan pengiriman atau percobaan login. Jika satu email spam atau satu tebakan login saja memerlukan 1 sen, itu akan menjadi biaya yang melarang bagi sebagian besar spam yang sepenuhnya otomatis
Unsur kripto dimaksudkan untuk memungkinkan transaksi seperti prangko yang bersifat setara tunai sambil tetap menjaga anonimitas akses ke dompet pribadi
Media sosial membunuh USENET, dan email telah mengelola masalah spam berkat penyaringan
Terlalu banyak pengguna yang akan mengeklik apa saja demi kesempatan memenangkan hadiah, dan dalam prosesnya menyetujui agar identitas mereka digunakan untuk spam
Hal-hal seperti Web Environment Integrity atau Private Access Tokens tidak akan pernah berfungsi dengan benar. Sebab spammer hanya perlu membobol satu model perangkat populer
Pihak yang mengusulkan hal seperti ini adalah penipu, atau perusahaan platform yang ingin menggunakannya untuk efek penguncian. Spammer menghabiskan sumber daya untuk membobol sistem, sementara pengguna biasa tidak mau menanggung ketidaknyamanan, sehingga pada akhirnya pesaing dan interoperabilitas akan diblokir
Tanggung jawab operator jaringan sudah banyak terjadi. Rentang IP bereputasi buruk diblokir. Namun ketika muncul botnet dari pengguna yang tersebar di banyak ISP, sebagian ISP berbeda kemauan dalam merespons, dan bahkan jika merespons pun tidak bisa menanganinya seketika; sebagian yang tidak peduli berada di yurisdiksi yang tidak bisa dikendalikan, tetapi terlalu besar untuk diblokir
Solusi terbaik mungkin adalah meminta sedikit sesuatu saat membuat akun, entah uang, kripto, atau proof of work. Pengguna biasa hanya membutuhkan beberapa akun yang akan dipertahankan lama, tetapi spammer membutuhkan banyak akun yang hampir segera diblokir, sehingga muncul struktur biaya asimetris yang diperlukan untuk sistem yang berfungsi
Saat itu pun tantangannya harus terus dibuat lebih sulit untuk mengimbangi perangkat lunak pengenal
Kini ia sudah berpindah ke wilayah yang lebih mudah diselesaikan mesin daripada manusia, sehingga tidak berguna lagi untuk tujuan aslinya
Sayangnya, sebagian besar opsi aksesibilitas tampaknya tidak benar-benar dibuat untuk digunakan
Jika itu pemerintah atau perusahaan besar, aksesibilitas masuk ke persyaratan dasar. Mereka harus bisa mengatakan, “Ya, kami dapat diakses,” dan jika tidak, opini publik akan ribut
Karena itu, dari daftar vendor mereka menyingkirkan pihak yang tidak mengatakan menyediakan aksesibilitas. Para vendor juga tahu ini dan pasti mengatakan bahwa mereka menyediakannya
Namun ini adalah fitur yang sulit dibuat dengan benar, dan hanya relevan untuk sebagian kecil basis pengguna. Setiap jenis disabilitas juga memerlukan dukungan yang berbeda. Tidak ada seorang pun di tim pengembang yang benar-benar memahami kebutuhannya dengan tepat
Orang yang membutuhkan aksesibilitas pergi ke tempat lain, atau menggerutu sambil bertahan sebisanya. Keduanya tidak muncul di dasbor metrik
Kombinasi ini mendorong shelfware. Barang yang dibeli lalu diletakkan di suatu rak, tetapi sebenarnya tidak digunakan
Jika saya memahaminya dengan benar, masalah aksesibilitas yang dibuat hCaptcha ini menghalangi akses orang tunanetra ini ke berbagai situs web?
Bukankah banyak pelanggan hCaptcha bisa menghadapi masalah dari sudut pandang ADA?
Jika penulis ingin menggugat, ini tampaknya hampir pasti menjadi kasus kemenangan yang jelas
Ketentuan layanan tidak sampai melindungi dari tanggung jawab ADA
Saya tidak mengerti mengapa CAPTCHA masih ada sampai sekarang
Kalau seseorang ingin melakukan scraping atau membuat otomasi, bukankah sebaiknya biarkan saja? Pada akhirnya mereka tetap harus menghormati sistem yang mengharuskan login
Ada juga manfaat privasi karena tidak mengekspos pengunjung ke layanan CAPTCHA yang melibatkan puluhan atau lebih sub-pemroses data
Bot membuat ribuan akun palsu dengan alamat email orang lain, dan email verifikasi yang kami kirim dilaporkan sebagai spam karena penerimanya merasa tidak pernah mendaftar
Akhirnya penyedia email menangguhkan akun kami karena banyaknya laporan spam
Saya pernah, dan dalam beberapa hari bot mulai mengirim spam melalui formulir itu
Saya memasang CAPTCHA kecil yang di-hardcode seperti “2+3=”, tetapi kalau skalanya lebih besar, itu tidak akan tertangani
Perlu juga dipikirkan pembuatan akun otomatis untuk spam pesan pribadi atau penyalahgunaan tier gratis
Otomasi atau scraping melewati itu
Coba hilangkan CAPTCHA dari formulir login, maka Anda akan melihat ratusan pengguna setiap hari yang harus dikirimi email “mohon konfirmasi alamat email Anda” tanpa alasan jelas
Keyakinan bahwa “mereka juga harus menghormati sistem yang mengharuskan login” memang bagus, tetapi jika Anda menjalankan sesuatu di internet, Anda akan tahu bahwa, sengaja atau tidak, orang akan terus menghantam sistem sampai tumbang
Bot semacam ini tidak mendukung CSS, jadi jika digabungkan dengan field formulir tersembunyi, hasilnya lebih baik
Namun jika serangannya tertarget, paling-paling itu hanya menaikkan tingkat pemblokiran bot dari 95% menjadi 99% sambil membuat pengguna sah menderita