CAPTCHA

CAPTCHA （/ˈkæp.tʃə/ KAP -chə ）は、ボット攻撃やスパムを防ぐために、ユーザーが人間であるかどうかを判断するためにコンピューティングで使用されるチャレンジ・レスポンス型のチューリングテストの一種です。 ^{[ 1 ]}

この用語は、2003 年にLuis von Ahn、Manuel Blum、Nicholas J. Hopper、John Langfordによって造語されました。^{[ 2 ]}これは、「Completely Automated Public Turing test to tell Computers and Humans Apart 」の頭文字をとったものです。^{[ 3 ]}歴史的に一般的な CAPTCHA のタイプ ( reCAPTCHA v1として表示) は、1997 年に並行して作業していた 2 つのグループによって初めて発明されました。この形式の CAPTCHA では、歪んだ画像から文字または数字のシーケンスを入力する必要があります。テストは、人間によって実施される標準的なチューリング テストとは対照的に、コンピュータによって実施されるため、CAPTCHA は逆チューリング テストと呼ばれることもあります。^{[ 4 ]}

広く利用されている CAPTCHA サービスには、GoogleのreCAPTCHA ^{[ 5 ] [ 6 ]}と Intuition Machines の hCaptcha ^{[ 7 ] [ 8 ]}があります。主要な Web サイト セキュリティ サービス プロバイダーであるCloudflare は、2021 年に、平均的な人が典型的な CAPTCHA チャレンジを完了するのに約 32 秒かかると報告しました^{[ 9 ]。}ただし、2018 年にスタンフォード大学が行った以前の推定では、解決に約 10 秒というより短い時間が報告されていました^{[ 10 ] 。}

CAPTCHA の目的は、ボットが人間が使用することを目的としたサービスを利用するのを防ぎ、サービス拒否攻撃を防ぎ、収集された使用情報の改ざんを防ぎ、虚偽情報の自動入力を防ぎ、データスクレイピングを防ぐことです。多くの Web サイトは、ボットの侵入を防ぐために CAPTCHA を効果的に使用しています。CAPTCHA は、ほとんどのロボットができないのに対し、人間は完了できるように設計されています。^{[ 11 ]}最新の CAPTCHA は、ユーザーが人間であることを証明するために、インターネット上でのユーザーの行動を調べます。^{[ 12 ]}理想的には、疑わしいIP アドレスから Web ページを要求したり、多数のページにアクセスしたり、リンクを素早くクリックしたりするなど、ユーザーの行動がボットの行動に似ている場合にのみ CAPTCHA テストが表示されます。

reCAPTCHAやhCAPTCHAなどの人気のあるCAPTCHAサービスは、画像ラベル付けなどのタスクでAI用のデータセットを生成するために人間を利用する公共ツールとして機能するという二重の目的があったことも示唆されている。^{[ 13 ] [ 14 ]}

1980年代から1990年代にかけて、ユーザーはコンピュータがテキストを判読できないようにしたいと考えていました。^{[ 15 ]}最初にそうした人々はハッカーで、キーワードで自動的に監視されていると思われるインターネットフォーラムに機密性の高いトピックを投稿していました。そのようなフィルターを回避するために、彼らは単語を似た文字に置き換えました。HELLOは|-|3|_|_()やなどになり、フィルターではすべて)-(3££0を検出できませんでした。これは後にleetspeakとして知られるようになりました。^{[ 16 ]}

CAPTCHA の最も初期の商用利用の 1 つはGausebeck–Levchin テストでした。2000 年に、idrive.com はCAPTCHA を使用してサインアップ ページを保護し始め、特許を出願する準備をしました。 ^{[ 17 ] [ 15 ]} 2001 年に、PayPal は不正防止戦略の一環としてこのようなテストを使用し、人間に「プログラムが認識しにくい歪んだテキストを再入力」するように求めました。^{[ 18 ]} PayPal の共同創設者兼 CTO のMax Levchin は、この利用の商用化に貢献しました。AltaVistaは、不正なアカウント登録から保護するために初期の CAPTCHA スキームを実装しました。^{[ 19 ] [ 20 ] [ 21 ]}

CAPTCHA技術の普及例であるreCAPTCHAは、2009年にGoogleに買収されました。^{[ 22 ]} Googleは、ユーザーに対するボット詐欺を防止するだけでなく、2011年にreCAPTCHAとCAPTCHA技術を使用して、ニューヨーク・タイムズのアーカイブとGoogleブックスの書籍をデジタル化しました。 ^{[ 23 ]}初期バージョンでは、ユーザーが単語を書き写したり、トラフィック画像にラベルを付けたりすることが必要でしたが、現在のreCAPTCHAの実装は、キャンバスフィンガープリンティングなどを通じてユーザーの行動と属性に関するデータを収集し、^{[ 24 ]}このデータを使用してどのユーザーがボットであるかを評価することに基づいています。画像ラベル付けの課題は、ユーザーが「高リスク」と判断された場合にのみ表示されます。CloudflareのTurnstileも同様の機能を持ち、広く使用されています。^{[ 13 ]}マウスの動きはreCAPTCHAのリスク分析に影響を与えないようです。^{[ 24 ]}

2026年、GoogleはreCAPTCHAソフトウェアの新バージョンでは、ユーザーがスマートフォンでQRコードをスキャンする必要があり、AndroidユーザーはスマートフォンにGoogle Playサービスがインストールされている必要があると発表した。これにより、Google Playサービスがインストールされていないスマートフォン（GrapheneOSやLineageOSなど）では、これらのCAPTCHAを解決することは不可能になる。^{[ 25 ]}

CAPTCHAは自動化されており、管理に人間のメンテナンスや介入はほとんど必要なく、コストと信頼性の面でメリットがあります。^{[ 26 ]}

テキストベースのCAPTCHAは、タスクを完了するために、不変認識、セグメンテーション、構文解析という3つの異なる能力を同時に使用する必要があるように設計されています。 ^{[ 27 ]}

• 不変認識とは、文字の形状に大きな変化があっても文字を認識できる能力を指します。^{[ 28 ]}
• セグメンテーションとは、文字を一つずつ分離する能力のことで、CAPTCHAではこれが難しくなっています。
• 解析とは、CAPTCHAを全体的に理解し、各文字を正しく識別する能力を指します。^{[ 29 ]}

これらの問題はそれぞれ単独でもコンピュータにとって大きな課題となる。したがって、これら3つの技術が組み合わさることで、CAPTCHAはコンピュータにとって解くのが難しくなる。^{[ 30 ]}

CAPTCHAは主にセキュリティ上の理由で使用されますが、人工知能技術のベンチマークタスクとしても機能します。Ahn、Blum、Langfordによる記事^{[ 31 ]}によると、「CAPTCHAによって生成されたテストを通過するプログラムは、未解決の難しいAI問題を解決するために使用できます」^{[ 32 ]} 。彼らは、セキュリティ手段として難しいAI問題を使用することの利点は2つあると主張しています。問題が未解決のままで、人間とコンピュータを区別するための信頼できる方法が残るか、問題が解決され、難しいAI問題も同時に解決されるかのどちらかです。^{[ 31 ]}

テキストの読み取り、またはその他の視覚認識タスクに基づく CAPTCHA は、盲人または視覚障害のあるユーザーが保護されたリソースにアクセスすることを妨げます。^{[ 33 ] [ 34 ]} CAPTCHA は機械が読み取れないように設計されているため、スクリーン リーダーなどの一般的な支援技術ツールでは解釈できません。そのため、CAPTCHA を使用すると、PayPal、Gmail、Orkut、Yahoo!、多くのフォーラムやウェブログ システムなどの一般的な Web ベースのサービスの大部分を使用することができない少数のユーザーが除外されます。^{[ 35 ]}特定の法域では、サイト所有者が特定の障害者を差別する CAPTCHA を使用している場合、訴訟の対象となる可能性があります。たとえば、CAPTCHA を使用すると、サイトが米国のセクション 508と互換性がなくなる可能性があります。

CAPTCHAは視覚的なものである必要はありません。音声認識などの難しい人工知能の問題は、CAPTCHAとして使用できます。reCAPTCHAなどの一部のCAPTCHA実装では、ユーザーが音声CAPTCHAを選択できるようになっていますが、2011年の論文では、当時普及していた方式を破る技術が実証されています。^{[ 36 ]}

ProtectWebFormは、CAPTCHAの作業を容易にするための改善方法を提案し、「Smart CAPTCHA」と名付けました。^{[ 37 ]}開発者はCAPTCHAとJavaScriptを組み合わせることを推奨されています。ほとんどのボットにとってJavaScriptの解析と実行は困難であるため、CAPTCHAフィールドを埋め、画像とフィールドの両方を人間の目から隠す組み合わせ方法が提案されました。^{[ 38 ]}

別の方法として、簡単な数式をユーザーに表示し、検証として解を入力させる方法があります。これらはソフトウェアで簡単に突破されてしまいますが、グラフィック画像が不適切なシナリオに適しており、画像ベースのCAPTCHAよりも視覚障害者にとってアクセシビリティがはるかに高いです。これらはMAPTCHA（M = "mathematical"）と呼ばれることもあります。ただし、計算障害などの認知障害のあるユーザーには難しい場合があります。^{[ 39 ]}

論理パズルや雑学クイズなどの課題もCAPTCHAとして使用できます。それらの対策に対する耐性に関する研究があります。^{[ 40 ]}

CAPTCHA を回避する主な方法は 2 つあり、1 つは安価な人的労働力を使って CAPTCHA を認識すること、もう 1 つは機械学習を使って自動解決ツールを構築することです。^{[ 41 ]}元 Google の「クリック詐欺対策責任者」であるShuman Ghosemajumder氏によると、CAPTCHA を自動的に解決するサービスは多数存在します。^{[ 42 ]}

機械学習に基づく攻撃

初期の CAPTCHA の設計や評価には体系的な方法論がありませんでした。^{[ 30 ]}その結果、CAPTCHA の長さが固定されているケースが多く、そのため、どこで分割を行うべきかを推測する自動化タスクを構築することが可能でした。また、初期の CAPTCHA の中には単語のセットが限られているものもあり、テストを不正に操作するのがはるかに容易でした。さらに、画像の背景の混乱に過度に依存するという間違いを犯したものもありました。いずれの場合も、これらの設計上の欠陥を利用してタスクを完了できるアルゴリズムが作成されました。しかし、CAPTCHA に少し変更を加えるだけで、それらのアルゴリズムは無効になりました。reCAPTCHA のような最新の CAPTCHA は、文字の現在のバリエーションが一緒に圧縮されているため分割が難しく、自動化タスクを阻止しています。^{[ 43 ]}

2013年10月、人工知能企業Vicariousは、最大90%の文字認識率で最新のCAPTCHAを解くことができる汎用CAPTCHA解決アルゴリズムを開発したと主張した。^{[ 44 ]}しかし、初期のCAPTCHAの先駆者でありreCAPTCHAの創設者であるLuis von Ahnは、「数ヶ月ごとにこのようなものを見かけるので、感心するのは難しい」と述べた。Vicariousの主張と同様の主張は2003年以降50件あった。^{[ 45 ]}

2014年8月にUsenix WoOTカンファレンスで、Burszteinらは強化学習に基づく初の汎用CAPTCHA解決アルゴリズムを発表し、多くの一般的なCAPTCHAスキームに対するその有効性を実証した。^{[ 43 ]}

2018年10月のACM CCS'18会議で、Yeらは、2018年に上位50の人気ウェブサイトで使用されている11種類のテキストCAPTCHAスキームすべてを一貫して解決できる深層学習ベースの攻撃を発表しました。効果的なCAPTCHAソルバーは、わずか500個の実際のCAPTCHAを使用してトレーニングできます。^{[ 46 ]}

一部の研究者は、提示された画像の中から単純な物体を識別することをユーザーに求める画像認識CAPTCHAなど、代替案を提案している。これらの方式を支持する論拠は、物体認識のようなタスクはテキスト認識よりも複雑であるため、機械学習に基づく攻撃に対してより耐性があるはずだという点にある。

Chew らは、第 7 回国際情報セキュリティ会議 (ISC'04) で、画像認識 CAPTCHA の 3 つの異なるバージョンを提案し、ユーザー調査でその提案を検証した研究を発表しました。異常 CAPTCHA というバージョンが最適であり、人間のユーザーの 100% が 42 秒以内に 90% 以上の確率で異常 CAPTCHA を通過できることが示唆されています。^{[ 55 ]} Datta らは、 ACM Multimedia 2005 会議で、画像認識 CAPTCHA の体系的な方法を提案する IMAGINATION (IMAge Generation for INternet AuthenticaTION) という論文を発表しました。画像は歪められているため、画像認識手法では認識できません。^{[ 56 ]}

マイクロソフトの研究チーム（ジェレミー・エルソン、ジョン・R・ドゥサー、ジョン・ハウエル、ジャレッド・ソール）は、猫と犬を区別するようにユーザーに求める動物種画像認識アクセス制限（ASIRRA）を開発しました。マイクロソフトは、2008年にウェブサイトで使用できるベータ版を提供していました。^{[ 57 ]}彼らは、「ASIRRAはユーザーにとって簡単で、99.6%の確率で30秒以内に解決できます。経験的に、ユーザーはテキストベースのCAPTCHAよりもASIRRAの使用体験の方がはるかに楽しいと感じているようです」と述べています。このソリューションは、2007年に第14回ACMコンピュータおよび通信セキュリティ会議（CCS）の議事録に掲載された論文で説明されました。^{[ 58 ]}このサービスは2014年10月に停止されました。 ^{[ 59 ]}

偽のCAPTCHAはマルウェアを配信するために使用されています。攻撃者は「検証疲れ」を利用して、人々を騙してコンソールコマンドをコピーして実行させ、スパイウェアなどの悪意のあるコードをダウンロードしてインストールし、パスワード、モバイルウォレットの詳細、その他の個人情報を盗みます。このような詐欺の試みは、他のものよりも成功する頻度が高いと報告されています。^{[ 60 ] [ 61 ] [ 62 ]}

• ボット対策
• 防衛戦略（コンピューター）
• 人間であることの証明
• 作業証明

• von Ahn, L.; Blum, M.; Langford, J. (2004). "人間とコンピュータを（自動的に）区別する" (PDF) . Communications of the ACM . 47 (2): 57–60 .

• 人間が関与していることの検証、またはチューリングテストによる識別、モニ・ナオール、1996年。
• CAPTCHAへのアクセス不能性：Web上の視覚的チューリングテストの代替手段、W3Cワーキンググループノート。
• CAPTCHA の履歴( PARCより)
• CAPTCHAのリバースエンジニアリング アブラム・ヒンドル、マイケル・W・ゴッドフリー、リチャード・C・ホルト、2009年8月24日