Che cos'è ReCaptcha e come aggirarlo

ReCaptcha è un sistema CAPTCHA sviluppato da Google. Serve come test per discernere se la richiesta di un sito web viene fatta da un umano o da un bot. A differenza dei moduli captcha più semplici, ReCaptcha impiega algoritmi più avanzati e complessi per analizzare e verificare le interazioni degli utenti.

Ecco come potrebbe essere presentato un captcha standard:

Tipico esempio di ReCaptcha:

Dopo aver selezionato la casella di controllo, l'accesso al sito potrebbe essere concesso immediatamente; tuttavia, in alcuni casi, potrebbe apparire un'ulteriore finestra di verifica, come questa:

ReCaptcha funge da funzione di sicurezza sui siti web, fornendo protezione contro gli attacchi automatici. Ecco alcuni modi in cui la tecnologia ReCaptcha viene implementata nello sviluppo web:

• Nei moduli di registrazione e di login per impedire le iscrizioni e i login automatici;
• Nelle pagine di recupero password per salvaguardare da reset di password non autorizzati;
• Nei moduli di feedback e di commento per bloccare l'invio di spam;
• Nei moduli di pagamento e di ordinazione per proteggere le transazioni dai bot;
• Per proteggere le API, come i sistemi di pagamento, da query automatizzate.

ReCaptcha svolge un ruolo cruciale online, in quanto aiuta a proteggere i siti web dallo spam e da attività automatiche indesiderate, come la creazione di account falsi e l'invio di massa attraverso moduli di feedback e commenti. Inoltre, protegge i siti dai bot che tentano di entrare negli account degli utenti, preservando così i dati riservati degli utenti del sito.

Come funziona ReCaptcha

ReCaptcha impiega varie tecniche per identificare i comportamenti sospetti sui siti web. Tra queste, il monitoraggio delle modalità di interazione degli utenti con il sito, come la velocità di digitazione dei campi dati, i movimenti del mouse, il tempo trascorso su una pagina e altre metriche comportamentali. Utilizza inoltre l'analisi statistica degli indicatori di attività, come la frequenza delle richieste, ed esamina il traffico di rete, compresi gli indirizzi IP utilizzati per accedere al sito.

Ecco come funziona ReCaptcha:

1. Quando vengono rilevati modelli indicativi di attività sospette, ReCaptcha si attiva. Gli utenti incontrano la casella di controllo "Non sono un robot" e devono cliccarla.
2. Dopo aver fatto clic sulla casella di controllo, ReCaptcha valuta il comportamento dell'utente sulla pagina web, compresi i movimenti del puntatore del mouse, i clic e le dinamiche di digitazione.
3. Analizza quindi i dati del browser e del sistema operativo dell'utente per determinare se si tratta di un browser autentico o di uno script automatizzato.
4. Se i controlli iniziali sono inconcludenti, ReCaptcha v2 potrebbe presentare un'ulteriore sfida, come l'identificazione di oggetti nelle immagini. Tuttavia, in ReCaptcha v3, i test basati sulle immagini non vengono più utilizzati.
5. Se l'utente completa correttamente la sfida, può continuare a utilizzare il sito. Se il compito viene risolto in modo errato, ReCaptcha può richiedere un nuovo tentativo o presentare una nuova sfida. I blocchi si verificano raramente, solo in caso di problemi di sicurezza significativi o di evidenti tentativi di eludere le protezioni.

ReCaptcha incorpora algoritmi di apprendimento automatico per analizzare le risposte e conduce analisi statistiche per confrontare le risposte della sessione corrente con quelle precedenti.

Ragioni della comparsa di ReCaptcha

Considerando i principi operativi di ReCaptcha e i metodi che utilizza per identificare le attività sospette degli utenti su un sito web, possiamo individuare diversi motivi comuni per la sua attivazione. Questi includono un'impronta digitale sospetta dell'utente, un volume insolitamente elevato di richieste che si discostano dal normale comportamento umano e il rilevamento di attività dannose sul sito.

Impronta sospetta del browser

Un'impronta digitale, spesso definita come impronta digitale di un browser, raccoglie dati identificativi del browser e del dispositivo su cui è installato. Questi includono diversi parametri, come ad esempio:

• intestazioni HTTP;
• Risoluzione dello schermo;
• Fonts installati sul dispositivo;
• Tecnologie come WebGL o Flash che il browser è in grado di supportare;
• Indirizzo IP.

A ogni richiesta vengono inviati al server finale diversi tipi di intestazioni HTTP, che vengono esaminate dai sistemi di sicurezza. Alcune di queste intestazioni includono:

• User-Agent: fornisce informazioni sul software o sul dispositivo da cui è stata inviata la richiesta;
• Referer: indica l'URL della pagina web precedente da cui è stata effettuata la transizione;
• Set-cookie: trasporta i dati della sessione, le preferenze dell'utente e lo stato dell'autorizzazione;
• Accept-language: specifica le lingue preferite dall'utente.

Quando i bot vengono utilizzati per automatizzare le azioni su un sito web, le informazioni contenute in queste intestazioni possono essere errate, formattate in modo insolito o addirittura mancanti, il che può rendere sospetta l'impronta digitale del browser.

Inoltre, il sistema di sicurezza di un sito spesso analizza la posizione dell'utente in base al suo indirizzo IP. Se questa posizione non sembra coerente con un particolare provider Internet o non è in linea con le posizioni utilizzate nelle sessioni precedenti, il sito potrebbe richiedere una sfida ReCaptcha. Questa tecnologia è anche in grado di identificare gli indirizzi IP associati a servizi VPN noti e mantiene le proprie blacklist di determinati intervalli di indirizzi IP. La presenza di un captcha serve spesso a bloccare l'accesso tramite anonimizzatori e a proteggere da accessi non autorizzati.

Abuso del traffico del sito web

L'abuso di traffico comprende varie azioni di manipolazione volte a falsare le statistiche dei siti web e a interrompere le normali operazioni. Ecco alcuni esempi tipici di abuso di traffico:

• Impiego di un software speciale per simulare le visite a un sito Web;
• Alterare i dati nelle intestazioni HTTP per travisare le fonti del traffico;
• Impiego di strumenti automatizzati per gonfiare artificialmente il numero di clic su annunci pubblicitari;
• Distribuzione di link al sito attraverso commenti di spam, su piattaforme di social media o forum;
• Deviazione del traffico destinato a un sito web verso un'altra risorsa.

Queste attività vengono spesso svolte per danneggiare una risorsa a scopo di guadagno personale. Ad esempio, reindirizzando il traffico, gli autori possono catturare illecitamente i dati degli utenti, che potrebbero poi essere utilizzati per scopi non autorizzati, infangando così la reputazione del sito web. Inoltre, l'uso di clickbot può gonfiare le spese pubblicitarie del proprietario di un sito web o generare profitti illegittimi da click fraudolenti.

L'implementazione di ReCaptcha è una contromisura a tali abusi, volta a limitare le attività dei bot. Questa tecnologia aiuta a prevenire alcune forme di abuso del traffico e complica l'esecuzione di attacchi automatizzati, poiché i bot o gli script non sono generalmente in grado di riconoscere e risolvere efficacemente le sfide captcha. Tuttavia, è importante notare che ReCaptcha da solo non è sufficiente a combattere completamente gli abusi di traffico. In genere viene utilizzato insieme ad altre misure di sicurezza, come l'analisi del comportamento degli utenti o l'impiego di sistemi di rilevamento delle intrusioni, per migliorare la protezione complessiva del sito.

L'elevato numero di richieste

Su un sito web possono verificarsi diverse azioni che caricano pesantemente il server generando un elevato volume di richieste. Queste attività includono:

• Attacchi di forza bruta: consistono nel tentativo di indovinare password, codici PIN o chiavi di crittografia per ottenere un accesso non autorizzato. Vengono eseguiti utilizzando un software appositamente progettato per automatizzare il processo di prova di diverse combinazioni di password fino a quando non viene trovata quella corretta.
• Scarichi eccessivi di file: richieste multiple di download di pagine pesanti o di file di grandi dimensioni possono sovraccaricare il server, portando al fallimento della risorsa web e a tempi di caricamento prolungati delle sue pagine.
• Spamming: comporta l'invio di un grande volume di e-mail, commenti, messaggi di feedback e altri tipi di contenuti utilizzando un software automatico, che aumenta significativamente il numero di richieste inviate al server.
• Web scraping: si riferisce all'estrazione automatica di dati dalle pagine di un sito web utilizzando vari programmi e script. Il web scraping può portare a problemi quali la violazione del copyright, la violazione dei termini del sito web e un ulteriore carico sui server.

In questi scenari, ReCaptcha serve come meccanismo per frenare l'afflusso di richieste. Presentando sfide difficili da aggirare per il software automatico, ReCaptcha ostacola efficacemente ulteriori azioni automatizzate, riducendo così il numero di richieste e alleggerendo il carico sul server.

Metodi per aggirare ReCaptcha

Date le caratteristiche e i principi operativi della tecnologia ReCaptcha, un modo efficace per aggirarla è modificare la propria impronta digitale online. Inoltre, è possibile utilizzare servizi speciali per risolvere automaticamente i captcha; questi servizi possono essere integrati nel software per gestire le sfide captcha senza l'inserimento manuale. Per ottenere risultati ottimali, si consiglia di combinare più metodi per aggirare ReCaptcha, sfruttando approcci sia tecnologici che strategici per ridurre al minimo il rilevamento e mantenere l'accesso alle risorse web desiderate.

Autenticazione dell'account Google

Quando si incontra un captcha durante l'utilizzo dei servizi di Google, come Google Search, Google Scholar o YouTube, un metodo semplice per aggirarlo spesso consiste nell'accedere al proprio account Google. Google utilizza le informazioni sull'account dell'utente e i suoi modelli di attività per discernere se l'utente è una persona reale o un bot. Questo approccio può essere efficace anche su altri siti web che supportano l'autenticazione di Google, in quanto sfrutta la credibilità consolidata dell'utente legata al suo account Google per facilitare l'accesso e aggirare le sfide captcha.

Tuttavia, ReCaptcha può ancora apparire per un utente autenticato se viene rilevato un numero eccessivo di richieste o altre attività sospette. Questo garantisce che l'utente sia reale e non un bot, contribuendo a mantenere la sicurezza della risorsa web.

Utilizzo dei servizi di risoluzione CAPTCHA

Per affrontare ReCaptcha, è possibile utilizzare servizi specializzati che si integrano con il software dell'utente e offrono API per automatizzare le soluzioni captcha. Questi servizi possono anche essere disponibili come plugin per il browser. Tuttavia, è importante notare che tali servizi non riducono la frequenza dei ReCaptcha, ma si limitano a fungere da strumento supplementare per le situazioni in cui altri metodi non riescono a bypassare i captcha.

Il mercato offre un'ampia gamma di servizi progettati per la risoluzione automatica dei captcha. Alcuni si affidano interamente all'input manuale, mentre altri utilizzano un mix di intelligenza artificiale e verifica umana per ottenere risultati più rapidi. Ecco tre dei servizi più popolari per la risoluzione di ReCaptcha.

2Captcha

Questo servizio funziona secondo il principio della risoluzione manuale dei captcha e può risolvere tutti i captcha attuali di Google, riconoscendoli su qualsiasi sito web. La funzione di bypass dei captcha è facilitata dall'integrazione con l'API del servizio.

Nel servizio 2Captcha, il pagamento si basa sul numero di captchas risolti, con una tariffa di 1,00 € per 1.000 captchas riconosciuti. Secondo gli sviluppatori del servizio, il tempo medio per risolvere un captcha standard è di circa 6 secondi.

DeathbyCAPTCHA

DeathbyCAPTCHA può essere integrato in applicazioni web o software tramite un'API. Questo servizio utilizza una combinazione di tecnologia di riconoscimento ottico dei caratteri e di input umano manuale per la risoluzione dei captcha, operando su un modello ibrido. Lo sviluppatore sostiene che il servizio raggiunge un'accuratezza di soluzione del 90%, con un tempo medio di risposta di 8-10 secondi. Inoltre, è disponibile una funzione speciale che garantisce il 100% di accuratezza; quando viene attivata, un compito captcha viene inviato a tre diversi operatori per garantire il massimo livello di precisione nei risultati.

I prezzi variano in base al tipo di captcha da risolvere, con la tariffa attuale per la risoluzione di ReCaptcha fissata a 2,89 dollari per 1.000 captcha risolti correttamente. È importante notare che agli utenti non vengono addebitati i costi per i compiti che non vengono risolti con successo.

AZcaptcha

Questo servizio utilizza algoritmi di intelligenza artificiale per automatizzare completamente il processo di risoluzione dei captcha. AZcaptcha raggiunge un tasso di efficienza superiore al 90% nella risoluzione di ReCaptcha. Offre diversi pacchetti, tra cui alcuni che prevedono la risoluzione di captcha illimitati per un determinato periodo. I prezzi partono da 1 dollaro per 1.000 captcha di Google risolti.

Inoltre, AZcaptcha dispone di estensioni per Google Chrome e Firefox che consentono agli utenti di automatizzare la risoluzione dei captcha durante la navigazione in Internet.

Dato che l'accesso a un account Google non garantisce l'elusione dei captcha su tutti i siti web e che i servizi di risoluzione dei captcha si limitano a risolvere il problema piuttosto che a prevenirlo, l'uso di browser anti-detect e di server proxy può essere una strategia più efficace per aggirare ReCaptcha.

L'uso di browser anti-rilevamento

I browser anti-detect sono progettati specificamente per impedire il tracciamento dei dati di un utente reale online. Sono ampiamente utilizzati in settori come l'ottimizzazione SEO, il marketing SMM e l'e-commerce, dove la possibilità di creare e gestire più account da un'unica interfaccia è fondamentale per portare a termine efficacemente le attività.

Questi browser offrono funzioni specializzate che aiutano a configurare azioni automatiche per aggirare i captchas e ridurre al minimo il rischio di blocco dell'utente:

• Modifica dell'impronta digitale del browser. Gli utenti possono regolare vari parametri della loro impronta digitale, come le intestazioni HTTP, il tipo di dispositivo, le dimensioni dello schermo e altri dati mentre operano all'interno di un browser anti-rilevamento.
• Integrazione con servizi di terze parti per la risoluzione dei captcha. I browser anti-rilevamento supportano API che consentono la risoluzione automatica dei captcha, integrandosi perfettamente con servizi di terze parti.
• Emulazione del comportamento dell'utente. Questi browser sono dotati di strumenti che imitano le azioni umane reali sui siti web, come i movimenti del mouse e i modelli di digitazione. Questa funzionalità aiuta a mantenere un profilo più basso anche quando vengono eseguite azioni automatizzate.
• Integrazione proxy. L'utilizzo di un pool di server proxy e la gestione della distribuzione delle richieste possono aiutare a prevenire i captchas ed evitare potenziali blocchi.

Sono disponibili cinque browser anti-rilevamento che offrono ampie funzionalità per alterare l'impronta digitale e aggirare efficacemente i captchas.

Dolphin {Anty}

Il browser dispone di strumenti specializzati per la collaborazione di gruppo, che consentono di creare numerosi profili di browser con impronte digitali uniche per ciascuno. Inoltre, supporta lo scripting direttamente all'interno del browser per automatizzare le attività ripetitive, riducendo in modo significativo la necessità di immissioni manuali di routine.

Dolphin {Anty} fornisce l'accesso a un ampio database di impronte digitali reali, riducendo notevolmente la probabilità di incontrare captchas. Questa caratteristica aiuta a prevenire il collegamento di profili creati e gestiti all'interno dello stesso spazio di lavoro, migliorando l'efficacia e la sicurezza delle operazioni condotte attraverso il browser.

Multilogin

Il browser Anti-Detect vanta diverse caratteristiche fondamentali progettate per migliorare la privacy e l'efficienza degli utenti. Una di queste è la possibilità di creare rapidamente profili unici, ovvero profili del browser che vengono eliminati automaticamente una volta chiuso Multilogin. Questi profili sono ideali per l'esecuzione di attività temporanee o di breve durata.

Inoltre, il browser include una funzionalità per disabilitare automaticamente i plugin potenzialmente pericolosi che potrebbero portare a fughe di dati reali dell'utente. Quando si configura un proxy, Multilogin legge automaticamente i suoi parametri e imposta i valori appropriati, comprese le lingue del browser, i fusi orari e le impostazioni di geolocalizzazione. Inoltre, il browser dispone di un "CookieRobot" che scansiona automaticamente i siti web e raccoglie i cookie, semplificando ulteriormente l'esperienza dell'utente.

Nel complesso, queste funzioni contribuiscono a creare un'impronta digitale credibile, che a sua volta riduce la probabilità di incontrare captchas, facilitando così sessioni di navigazione più fluide e sicure.

GoLogin

Il browser Anti-Detect vanta diverse caratteristiche uniche, come una versione web che consente agli utenti di lanciare e modificare i profili su un server cloud, oltre a un'applicazione mobile disponibile per Android.

GoLogin dispone anche della funzione "Warpcore", particolarmente utile per il lavoro di squadra. Questa funzione consente agli utenti di gestire i profili utilizzando diverse versioni del browser Orbita e le corrispondenti versioni del motore del browser. Warpcore garantisce la coerenza del nucleo del browser, eliminando le discrepanze che possono sorgere quando i membri del team utilizzano versioni diverse di GoLogin e Orbita. Questa uniformità aiuta a prevenire il rilevamento degli account, a ridurre i captchas da impronte digitali sospette e a evitare il blocco degli account, rendendolo uno strumento essenziale per mantenere operazioni fluide e sicure in tutte le attività del team.

AdsPower

Per creare un'impronta digitale realistica del browser che riduca al minimo la presenza di captchas, AdsPower offre diverse caratteristiche vantaggiose:

• "Cookie Robot": questo strumento visita automaticamente i siti web e raccoglie i cookie;
• Permette di importare i segnalibri da Google Chrome in singoli profili del browser o contemporaneamente in tutti i profili;
• Emula l'input manuale quando si incolla il testo dagli appunti nei campi del browser.

Queste funzioni consentono di regolare in modo dettagliato le impostazioni dei singoli profili del browser anti-rilevamento, contribuendo in modo efficace a evitare i captcha.

Incogniton

Incogniton è stato progettato sia per l'uso in team che individuale. Il browser offre una funzione "Cookie Collector" che raccoglie automaticamente i cookie e supporta un'ampia personalizzazione delle impostazioni delle impronte digitali. Funziona con due browser integrati: Sun Browser, basato su Chromium, e Flower Browser, che utilizza il motore di Firefox.

Una caratteristica interessante di Incogniton è la funzione OCR integrata. Questo strumento consente agli utenti di estrarre facilmente il testo dalle immagini e di incollarlo come testo modificabile, aumentando la versatilità e l'utilità del browser.

Tutti i browser anti-detector prevedono vari piani tariffari, ognuno dei quali offre diverse funzionalità. Esaminiamoli in dettaglio attraverso una tabella comparativa.

Utilizzo di server proxy

Un server proxy può aiutare a bypassare i captchas nascondendo il vero indirizzo IP quando si invia una richiesta. Ciò è particolarmente utile per attività come lo scraping di dati o l'acquisto di prodotti da negozi online. Per questi scopi, vengono utilizzati software speciali - scrapers e sneakerbots, che durante il loro lavoro inviano un gran numero di richieste ai server finali, motivo per cui è comparso ReCaptcha.

Integrando un proxy in tale software, l'utente può eliminare o ridurre la frequenza di comparsa dei captcha. Ma è importante considerare che per funzionare efficacemente, il proxy deve avere una rotazione - il processo di modifica dell'indirizzo IP o la presenza di un pool di server statici. In questo caso, l'attività eccessiva non verrà registrata per un indirizzo IP e non verrà identificata come sospetta dal sistema di sicurezza della risorsa web. In questo contesto, è opportuno menzionare due categorie principali di server proxy: statici e dinamici, e discuterne in dettaglio.

Proxy statici per aggirare il CAPTCHA

I proxy statici sono indirizzi IP fissi che rimangono invariati a meno che l'utente non modifichi le impostazioni o li disabiliti. Gli utenti possono anche configurare manualmente la rotazione di questi proxy utilizzando software speciali, come sneakerbots, browser anti-detect e scrapers. A tal fine, l'utente deve acquistare un pool di indirizzi IP, caricarli nel software e impostare un intervallo di tempo per la loro modifica.

Questa categoria comprende due tipi di proxy:

• Datacenter proxy IPv4/IPv6;
• Proxy ISP.

È importante notare che questi proxy non sono ugualmente efficaci per aggirare i captchas, il che è legato alle loro origini.

I proxy dei centri dati IPv4/IPv6 sono ospitati in centri dati privati. Non sono collegati a veri e propri fornitori di servizi Internet e quindi non sono elencati nei registri degli indirizzi IP di Internet. Quando viene controllato un indirizzo IP di questo tipo, il sistema di sicurezza non è in grado di verificare l'esistenza di un provider e di un host reali, e spesso è necessario risolvere un captcha.

I proxy ISP, invece, sono situati su server gestiti dai provider di Internet, quindi i captcha sono meno frequenti con il loro utilizzo. Tuttavia, l'invio di un elevato volume di richieste da un indirizzo IP di questo tipo potrebbe comunque far scattare i captchas, poiché questo livello di attività è insolito per un utente regolare.

Proxy dinamici per aggirare i CAPTCHA

I proxy dinamici sono caratterizzati dalla rotazione degli indirizzi IP e offrono agli utenti opzioni per la modifica degli indirizzi IP, come la rotazione basata sul tempo o su ogni nuova richiesta di URL. Con questo tipo di proxy, non è necessario acquistare un pool di indirizzi IP. L'acquisto di un singolo proxy o di un piano di traffico garantisce invece l'accesso a un pool di indirizzi IP a rotazione.

Questa categoria comprende due tipi di proxy:

• Residenziale;
• Mobile.

I proxy residenziali sono situati sui computer degli utenti reali connessi a Internet. Essi godono di un elevato livello di fiducia da parte dei sistemi di sicurezza delle risorse web, in quanto sono in grado di verificare il reale provider, l'host e la geolocalizzazione del dispositivo. La natura dinamica di questi proxy consente loro di aggirare i limiti di richiesta imposti dalle risorse web ai singoli indirizzi IP, riducendo in modo significativo la probabilità di attivare i captchas.

I proxy mobili sono situati su dispositivi che utilizzano le reti mobili per l'accesso a Internet. L'uso dei proxy mobili impedisce generalmente la comparsa di captchas e blocchi, grazie al modo specifico di funzionamento delle reti mobili:

1. Un utente avvia una richiesta di accesso a Internet da un dispositivo mobile.
2. Questa richiesta viaggia attraverso un dispositivo NAT all'interno della rete dell'operatore mobile.
3. Il dispositivo NAT modifica l'indirizzo IP di origine e le porte della richiesta in dati pubblici associati alla rete dell'operatore mobile.
4. La richiesta modificata, ora con un indirizzo IP e porte disponibili al pubblico, viene inviata a Internet.
5. Quando il server restituisce una risposta, il dispositivo NAT utilizza le informazioni sulla porta per instradare correttamente la risposta verso il dispositivo specifico della rete locale dell'operatore mobile.

Il NAT, o Network Address Translation, è un meccanismo utilizzato nelle reti mobili per tradurre gli indirizzi IP privati in un indirizzo IP pubblico. Ciò consente a più dispositivi di condividere un unico indirizzo IP pubblico fornito dalla rete mobile. Il processo aiuta a conservare lo spazio per gli indirizzi IPv4 e consente un utilizzo più efficiente degli indirizzi IP nelle reti mobili.

Grazie a questo principio operativo, un elevato volume di richieste da un singolo indirizzo IP mobile è considerato un comportamento normale e i sistemi di sicurezza web non lo segnalano come attività sospetta.

Di conseguenza, i proxy mobili emergono come il mezzo più efficace per aggirare i captcha, particolarmente utile per le azioni automatizzate o per accedere a risorse con misure di sicurezza rigorose. Sono ideali per l'uso in browser anti-detect, sneakerbot e parser, eliminando la necessità di servizi aggiuntivi per la risoluzione dei captcha.

In conclusione, per bypassare efficacemente i captcha nelle operazioni multi-account e in quelle automatizzate come il web scraping è spesso necessaria una combinazione di diverse strategie. L'approccio più efficace prevede in genere l'utilizzo di un browser anti-detect insieme a proxy dinamici. Questa configurazione consente di alterare completamente l'impronta digitale, imitando il comportamento di vari utenti su una risorsa web, evitando così i modelli di rilevamento che attivano ReCaptcha.