Ersätt reCAPTCHA med honeypots

Hej xtQ,

Det stämmer att vi använder Google reCAPTCHA även vid inloggning och inte bara vid registering. Nu har jag inte använt reverse engineering för att ta reda på exakta data V2 "Jag är inte en robot", samlar in om oss och er vid inloggning. V3 bygger upp en historik om hur du klickar, rör musen på hemsidan m.m. för att kunna klassificera dig som en bot, medan V2 bara ska be dig lösa en bild eller ljudgåta (och träna deras AI).

Ifall V2 samlar in mer personlig användardata än så är inte vårt uppsåt med att använda deras verktyg. Vi laddar endast in verktyget på de sidor som skall använda den (inloggning, registering och nyhetsbrev) som ett extra lager skydd för att begränsa massiva inloggningsförsök (och registerna andra på våra nyhetsbrev), ovanpå andra osynliga lager skydd.

Vi jobbar ständigt med personlig integritet i de avtal vi tecknar gällande t.ex. teknik och annonsörer, att vi inte skall samla in mer data än nödvändigt för att tjänsterna skall fungera.

Tyvärr har jag inte kontrollerat hur mycket svårare vi gjort det för människor att använda vår tjänster genom denna implementation, och helt enkelt något vi behöver titta vidare på. Vårt mål är att minska på automatiska inloggningsförsök, inte bygga murar och inte vara välkomnade för alla som har svårigheter att lösa bild och ljudgåtor.

Att använda sig utav dolda fält kommer inte att hjälpa tyvärr, de automatiska inloggningsförsök vi stoppar ignorerar bara dessa fält.

Tack för dina synpunkter, vi kommer behöva ta en vända till internt om användningen utav reCAPTCHA eller liknande verktyg.

/ Johan

@Nima2001 Jag har tyvärr inte hunnit med att göra en analys av det verktyget du rekommenderade som en ersättare. Den mår vara mindre harmlös, men används också för AI analyser som @xtQ nämnde som ett problem.

Ger inte Google reCAPTCHA det resultatet vi önskar i testfasen kommer det självfallet tas bort och vi implementerar en annan lösning för att tackla den problematiken vi vill stävja.

Vi kontrollerar vilken del en användare stoppas i inloggningsfasen. Google reCAPTCHA är ju nu steg 1 i bot-kontroller, ifall vi ser en minskning i de andra stegen eller är det en onödig implementation. Vi har inga kakor eller liknande spårning, utan det går till vår backend i PHP (efter man trycker på "Logga in") och sedan genom ett par olika kontroller. Det är där vi loggar för att se vart det tar stopp.

Vi känner till hur många inloggade användare som besöker oss vid daglig basis och hur många som loggar in, så självklart mäter vi av ifall vi skulle fått ett stort tapp av användare.

Personligen anser jag inte att en undersökning behövs, det är ingen som gillar reCAPTCHA, så svaren där skulle vara att ta bort den.

Notera... Captchan är inte mer än en kryssruta när man använder en reklamblockerare, vilket gör den tämligen meningslös kan tyckas?

@Nima2001 Dina åsikter är noterade, vi utvecklar just andra saker och kommer titta på resultatet av det här testet så fort vi kan.

Varför inte just skapa en egen CAPTCHA-funktion, @jreklund? Eller varför inte använda projekt vars kod är öppen, till exempel den här: https://github.com/Gregwar/Captcha. Simpelt, snällt mot ens integritet som ni tydligen strävar efter (syns inte i och med reCAPTCHA) och funktionellt.

@Airikr Vi kan absolut utveckla en egen CAPTCHA. Dock kommer själva underhållet och vidareutvecklingen av sagd funktion leda till att vi inte kommer att hinna utveckla annat som vi bedömer som viktigare. Vi kommer att få fullt upp med att introducera andra tekniker allteftersom AI utvecklas. Vår tjänst kommer även fungera sämre än redan färdiga externa tjänster som rekommenderas tidigare i tråden.

När det kommer att implementera färdig källkod direkt i kärnan via Composer är inget som kommer att ske så länge jag står vid rodret, det är alldeles för osäkert och vi behöver säkerhetsgranska hela biblioteket samt de beroenden som den har.