Cloudflareが「CAPTCHAの狂気」からの完全脱却を表明、物理セキュリティキーを使うシステムを提案

サービスを利用する際にユーザー自らが人間であることを証明するために、CAPTCHA(Completely Automated Public Turing test to tell Computers and Humans Apart)というテストのクリアを求められることがあります。Cloudflareが「CAPTCHAによる文字・画像の認識を完全に取り除く」と表明し、物理セキュリティキーを用いた新システム「Cryptographic Attestation of Personhood」を提案しました。

CAPTCHAは、ボットによるスパムの追加を削減するために、1997年に検索エンジンのAltaVistaによって開発されました。CAPTCHAは、画像認識が難しいようにわざとゆがめられたランダムな文字や数字の列を表示し、人間の手で入力させることでユーザーが人間であることを証明するというもの。CAPTCHAと同様のシステムはいくつも存在し、バスや消火栓の画像を選択させるreCAPTCHAはGoogleによって開発され、多くのウェブサービスで使われています。

Cloudflareのデータによれば、ユーザーがCAPTCHAの画像判別テストをクリアするのに平均で32秒かかるとのこと。全世界で46億人のインターネットユーザーが存在し、1人が10日ごとに1つのCAPTCHAをクリアしていると考えた場合、「人間が人間であることを証明するため」だけに合計500年分の時間が無駄になっているとCloudflareは主張しています。

CloudflareはCAPTCHAの問題点として、以下の4点を挙げています。

◆1：生産性

ユーザーが目の前のタスクを処理するために必要な時間を奪い、イライラさせます。

◆2：アクセシビリティ

CAPTCHAのテストをクリアするためには一定の身体的および認知的能力が求められます。例えば、視覚障害を抱えている場合、CAPTCHAのテストをクリアすることが困難になります。

◆3：文化的知識

例えば、テストで選ばされる「消火栓」はアメリカのものが多いですが、アメリカの消火栓がどんなものなのかは他国の人からは分かりづらいものがあります。「タクシー」は、ニューヨークでは一般的に黄色ですが、ロンドンでは黒塗りであることが多く、地域によってCAPTCHAのテストの難度が大きく変わります。

◆4：モバイルデバイスでのインタラクション

今やインターネットにアクセスするデバイスの多くが手元で簡単に操作できるスマートフォンとなっています。しかし、CAPTCHAのテストはスマートフォンの小さな画面でクリアするのは難しく、通信帯域やバッテリーの無駄にもなります。

CAPTCHAによってユーザーに時間的コストを費やさせることは企業にとってもコストになり、結果的にCAPTCHAが企業とユーザーの間に擦れ違いを生む原因になっていると、Cloudflareは指摘しています。

CAPTCHAからの完全脱却を唱えるCloudflareは、CAPTCHAの代替案として「Cryptographic Attestation of Personhood(人間性の暗号化証明)」という方法を提案しました。Cryptographic Attestation of Personhoodはパスワード不要のWebAuthnに基づいており、Windows・macOS・Ubuntu・iOS 14.5以降のすべてのブラウザ、Android 10以降のChromeで機能します。

Cryptographic Attestation of Personhoodは試験的に公開されており、以下のサイトでテスト可能。