Vanþekking vefsíðuhönnuða

 

Ég hef aldrei skilið þá meinbægni hönnuða spjallsíðna að krefjast þess að menn staðfesti athugasemdir sínar eða hvað eina með því að skrá tiltekna stafi sem birtast á skjánum. Morgunblaðið biður menn að leggja saman tvær tölur. Þess vegna valdi ég Moggabloggið og vegna þess að ég treysti þá blaðinu eða réttar sagt mbl.is sem menningarstofnun sem það er að vísu enn þótt blaðið hafi villst nokkuð af pólitískri leið sinni. Þá ber þess að geta að Morgunblaðið hreppti aðgengisverðlaun Öryrkjabandalagsins fyrir nokkrum árum enda varð það fyrst allra íslenskra fjölmiðla til þess að veita blindu og sjónskertu fólki aðgang að efni sínu. Ekki veit ég til að aðrir fjölmiðlar hafi gengið jafnötullega fram í þeim efnum og Morgunblaðið.

Skjálesarar lesa ekki tölur sem birtast sem myndir á skjá. Engum hefur tekist að skýra fyrir mér hvaða öryggi þessi heimskulega ráðstöfun þjónar, en ýmsir íslenskir vefir hafa apað þetta eftir hönnuðum síðna eins og Google. Google gefur mönnum hins vegar kost á að hlusta á upplesnar tölur sem birtast á skjánum. Upplesturinn er hins vegar svo ógreinilegur að menn þurfa að hafa sig alla við til þess að skilja það sem lesið er enda er muldur og skvaldur á bak við tölurnar.

 

Athugasemdir

[Gulli (IP-tala skráð) 19.9.2010 kl. 15:57]

Þetta er ákaflega einfalt, þetta er ruslpóstsía.

Með því að krefjast þess að fólk staðfesti póstinn með því að skrá inn það sem stendur í myndinni sem fylgir með innsláttarglugganum er nokkuð öruggt að það er manneskja sem slær inn póstinn, ekki svokallaður "robot" sem þræðir netið til að pósta rusli inn á athugasemdasvæði. Það er mjög erfitt fyrir róbótana að lesa myndirnar, sérstaklega þegar textinn er afskræmdur eins og er algengt og þess vegna þarf manneskja að slá inn textann.

Þetta er vissulega verulega slæmt fyrir sjóndaufa sem treysta á upplestur af síðunni en lausnin sem mbl.is notar er því miður ákafalega slök lausn, hún treystir algjörlega á það sem kallast á ensku "security by obscurity" eða "öryggi með þekkingarleysi" þar sem treyst er á að þeir sem myndu vilja brjótast inn á þetta þekki ekki einhvern hluta af vörninni, t.d. kunni ekki íslensku í þessu tilviki. Vandamálið er að það þarf ekki nema einn að búa til orðalista upp úr þessu og þýða fyrir ruslpóstarana og þá er fjandinn laus á blog.is.

[Arnþór Helgason, 19.9.2010 kl. 20:32]

Það sér á hvað þekking mín á tölvum er lítil og þakka ég þessa athugasemd. Eftir stendur þá að finna verður leiðir til þess að hindranir verði ekki óyfirstíganlegar þeim sem geta ekki nýtt sér venjulegan texta. Má þar m.a. nefna þá leið sem Google hefur farið með upplestri þeirra stafa sem birtast sem mynd á skjánum.

Hvað segja tölvunarfræðingar?

[Gulli (IP-tala skráð) 19.9.2010 kl. 21:01]

Það er vissulega nokkuð góð leið en því miður of dýr fyrir flesta, þ.e. þeir sem láta búa til vefsíðurnar eru yfirleitt ekki tilbúnir að borga fyrir slíkan aukakostnað. Ef einhver aðili á Íslandi byggi til slíkt kerfi sem hægt væri að nota án kostnaðar myndu líklega margir nýta það en þá er spurning hver er tilbúinn að fjármagna rekstur á slíku.

[Björn Patrick Swift, 20.9.2010 kl. 10:22]

Já, þessar stafaþrautir geta oft verið ansi snúnar. Miklu skiptir að þrautirnar séu vel gerðar og notendum gefinn kostur á því að fá aðra þraut, reynist núverandi þraut of þung, eða að fá orðin lesin upp.

Það getur verið kostnaðarsamt fyrir þá sem smíða heimasíður að útfæra slíka þjónustu sjálfir. Hinsvegar má nýta slíkar þjónustur sem þegar eru til, ókeypis. Til dæmis má nefna reCAPTCHA, háskólaverkefni sem Google tók nýverið yfir (sjá https://www.google.com/recaptcha).

[urtromach (IP-tala skráð) 20.9.2010 kl. 12:21]

Það er ekki nauðsynlegt að hafa þessar leiðinlegu stafaþrautir og sérstaklega á Íslandi. Því það finnast önnur ráð til að hamla á móti ruslpósti, og þarf notandi þá ekki að staðfesta neitt á undan, meðan tilraunir til athugasemda með sjálfvirkum hætti eins og ruslpóstur berst oftast með, eru stöðvaðar við dyrnar rétt eins og hér.

Þetta er eitthvað sem kannski mætti líta inn í ef stjórnendum hérna gefst svigrúm til, því aðrar aðferðir eru ekki minna áhrifaríkari, heldur geta þvert á móti verið öruggari, auk þess sem þær eru þægilegri fyrir notandann sem ekki þarf að staðfesta neitt.

Ég hélt til að mynda uppi bloggi knúnu með WordPress og setti upp plugin fyrir það sem gerði akḱúrat þetta með því að sía sérstaklega út þá sem höfðu ekki kökur eða javascript virkt í vafranum, en það er venjulega tilfellið í tilviki sjálfvirks ruslpósts. En þetta var svona helsta atriðið í vörninni, en meira var í boði og annað fíner.

[Björn Patrick Swift, 21.9.2010 kl. 14:06]

Ég átta mig ekki í fljótu hvað þú átt við þegar þú segir að þessar stafaþrautir séu sérstaklega ekki nauðsynlegar á Íslandi. Flestir "róbótar" sem setja ruslpóst í athugasemdir skipta sér ekki af því hvort viðkomandi síða sé Íslensk eða erlend. Það eina sem íslenskar síður hafa framyfir aðrar í þessu samhengi er, eins og Gulli bendir á, að flestir skilja ekki íslensku og því er hægt að setja inn einfaldari þraut líkt og "hvað er þrír plús fimm". Gulli benti þó réttilega á að þetta dugir einungis þangað til þeim hugnast að bæta "róbótinn" sinn þannig að hann skilji einfaldar íslenskar setningar - til dæmis með Google Translate eða slíku tóki.

Prufaðu til dæmis að fara á Google Translate og slá inn "hvað er þrír plús fimm." Google mun gefa þér svarið "what is three plus five." Prufaðu svo að slá "what is three plus five" í Google, og Google Calculator mun gefa þér svarið "three plus five = eight." (Þú gætir þurft að velja Goolgle.com in English neðst á síðunni, ef þú notar almennt google.is)

Sama má segja um aðferðir sem byggja á því banna notendur sem styðja ekki kökur eða JavaScript. Jafnvel þótt slíkt dugi hugsanlega í einhverjum tilfellum, þá er mjög einfalt að komast framhjá slíku, sé vilji fyrir hendi. Sem dæmi má nefna SMS gátt Já.is. Þeir beita ýmsum brögðum til þess að hindra að SMS séu send vélrænt. Meðal annars þarf að vera með kökur virkar, það þarf að vera virkt session og við hverja SMS sendingu er vafrinn beðinn um að leysa JavaScript stærðfræðiþraut. Þetta gerir það vissulega flóknara að senda vélrænt í gegnum ja.is, en þó alls ekki ómögulegt. Kjarni málsins er: ef þú ert með ferli sem krefst ekki "human interaction", þá getur "róbot" unnið sig framhjá því.

Hinsvegar hafa komið fram tillögur að ýmsum öðrum aðferðum en að leysa stafaþraut. Til dæmis að notanda sé birt mynd og hann beðinn að velja á milli þess hvort myndin sé fugl, fiskur eða tré (eða eitthvað í þá veru). Önnur aðferð er að sama myndin sé birt þrisvar hlið við hlið, en búið sé að snúa tveimur myndunum um nokkrar gráður. Notandinn er þá beðinn um að velja myndina sem snýr rétt. Hvort einhver þessara aðferða reynist notendum auðveldari, án þess þó að vera auðveldari fyrir róbóta að klekkja á, mun tíminn leiða í ljós.