Takřka každý vlastník webových stránek se s boty někdy v životě setkal. Ať už při pokusech nalogovat se skrze ukradené údaje či při snahách shodit celý web na několik hodin, nikdy se nejedná o příjemné setkání. Pro běžného uživatele má přítomnost botů na internetu také negativní dopad, především v nutnosti vyplňovat různé testy zaměřené právě proti botům, které jsou neskutečně otravné. Vzhledem k tomu, že za boty stojí celé internetové podsvětí, pravděpodobně se jich jen tak nezbavíme. I když startup Kasada pravděpodobně přišel s řešením.
Boti rádi řeší matematické problémy
Boti fungují na jednoduchém principu opakování činnosti do té doby, dokud nejsou hotoví se svým úkolem či zastaveni. Trik Kasady spočívá v tom, že boty přesvědčí, že jejich práce nikdy nekončí. Před načtením webové stránky podsune automatu malý, ale zato těžký matematický úkol. Ten neodolá a bude tento problém řešit namísto toho, aby dělal původní neplechu, kvůli které byl vytvořen.
Tento princip si v Kasadě vyzkoušeli v praxi na platformě Polyform. Jeden bot se pokoušel načíst stránku takřka 4 milionkrát, přičemž místo načítání stránky řešil nevyřešitelný matematický úkol v podobě náhodně generovaného JavaScript kódu. Tímto zasáhl tým z Kasady útočníka na tom nejcitlivějším místě – v jeho peněžence. Neustálým falešným načítáním totiž bot spotřebovává výpočetní výkon, který z logiky věci stojí elektrickou energii. Pro útočníky se tak udržování těchto botů stává nerentabilní.
Chybovost při rozpoznání uživatele od bota je nízká
Rozpoznání, zda návštěvník je, či není bot, trvá v řádech milisekund před samotným načtením webové stránky. Pokud produkt Kasady vyhodnotí, že se nejedná o lidského uživatele, začne botu servírovat neřešitelné matematické problémy takovým způsobem, aby nespustil poplach na straně útočníka, který by tak mohl zareagovat vypnutím či přesměrováním svých snah. Po nějaké době tímto způsobem buď dojdou botu zdroje, nebo se vyčerpá jeho maximální počet provedení akce.
We troll bots for a living. This one made 3.7M unsuccessful HTTP requests in 24 hrs, and we responded to each with a js cryptographic challenge, which effectively tarpits the bot by sucking up CPU resources. Expensive, Lambda CPU resources. This guy's AWS bill is going to be nuts pic.twitter.com/erfuvvQmru
— Johnny Xmas (@J0hnnyXm4s) January 4, 2019
Ačkoli by někdo mohl mít strach, že jej vychytávka od Kasady neprávem označí za robota, není třeba mít obavy. Chybovost je v tomto případě velmi nízká, konkrétně 0,07 procent špatných určení. Pokud se Kasadě nepodařilo správně určit bota, jednalo se tak v případě starých prohlížečů typu Internet Explorer, nebo špatných doplňků v prohlížeči, které vykazovaly určité vzorce chování typické pro roboty.
Botům, zdá se, zvoní umíráček
Konec botů na internetu není v nedohlednu, neboť Kasada už má svůj produkt na trhu mezi skutečnými zákazníky. Mezi ně patří nejčastěji hotely, finanční instituce či sázkové kanceláře, které se s falešnými a podvodnými přístupy potýkají nejvíce. V jednom takovém případě antibotový systém zrušil okolo 95 % návštěv nejmenované sázkové kanceláře, přičemž se ukázalo, že se skutečně nejednalo o chybu, ale o reálný počet falešných přístupů.
Kasada svou efektivitou dokonce dohnala jednoho majitele bota k velmi zoufalému kroku. Ten, jakmile se dozvěděl, kdo jeho botu hatí nekalé plány, odeslal Kasadě velmi nepříjemný e-mail. Odpověď byla na druhou stranu úsměvná – vzhledem k tomu, že Kasada znala identitu útočníka, tak zaslali na jeho adresu firemní tričko. Doufejme, že tyto snahy o vyčištění internetu nebudou ojedinělé a že se co nejrychleji rozšíří.
