Oito mecanismos. Um preço cada. A mesma medição, outra vez, daqui a três meses.
Toda a gente publica a percentagem de bots que bloqueou. Ninguém publica quanto custa passar — e menos ainda o publica outra vez seis meses depois, ao lado do número antigo, onde se veja o que mudou.
Esta página é isso: as mesmas oito classes de mecanismo, medidas nas
mesmas condições, em datas fixas. Cada medição é selada com um sha256 que
inclui o selo da anterior, de modo que nós também não lhe podemos mexer depois
de publicada. O seu browser verifica a cadeia inteira antes de lhe mostrar um número.
01Quanto vale, para quem o ataca, uma ação no seu sistema?
Uma conta criada, um voto, um lugar numa fila, um cupão resgatado, uma chamada de API. Ponha o valor que isso tem para o atacante — não o que lhe custa a si. É o único número que esta página lhe pede, não sai do seu browser, e é o que decide todas as linhas da tabela.
| Classe de mecanismo | Custo por ação admitida (V*) |
M | Via mais barata |
|---|
M = log10(V* / A). É quantas ordens de grandeza separam o custo de atacar do valor de atacar. M < 0 quer dizer que cada ação dá lucro a quem a compra — o mecanismo não está a defender, está a cobrar uma taxa. Entre 0 e 1 está no limiar, que na prática é o mesmo. A conta é feita aqui, no seu browser, a partir dos dois números publicados; não é uma citação do relatório.
02A entrada que não é nossa
Três das oito classes são limitadas pelo preço a que o resultado do desafio se revende no mercado. Esse preço não é uma medição nossa: é uma afirmação, com data e com dono. A regra desta casa é que uma cotação se cita — nunca se raspa —, e por isso ela chega aqui exactamente com o estado que tem. Troque-a por uma sua e a tabela inteira mexe-se.
03O selo, e porque é que ele é contra nós
Prometer que não se muda um número publicado é fácil. Este ficheiro torna a promessa verificável por quem não confia em nós, que é a única forma de confiança que interessa num número de segurança.
Descarregue serie.json hoje. Daqui
a três meses descarregue outra vez: as entradas antigas têm de ter o mesmo
sha256, byte a byte. Se não tiverem, mudámos uma medição depois de a
publicar, e fica provado — sem ser preciso acreditar em nada do que dizemos.
O selo acima é verificado pelo seu browser nesta página — o que ainda é a nossa página a dizer que está bem. A mesma cadeia re-executa-se fora dela, e o arnês que o faz está publicado como tudo o resto. Guarde a árvore com as pastas, porque é por elas que ele encontra a série:
/referencia/serie.json — o corpo de referência, selado em cadeia
/referencia/serie_dados.js — a mesma série, como módulo
/referencia/serie.js — quem verifica a cadeia antes de a mostrar
/referencia/pagina.js — o que esta página desenha
/dom_faz_de_conta.mjs — o DOM de faz de conta, para não ser preciso browser
/vetores_canonico.json — a forma canónica, gerada pelo motor
+ as oito páginas, cada uma no seu lugar: index.html e os index.html de medida/, teto/, agentes/, escala/, pedir/, referencia/ e horizonte/ (o arnês lê o menu de todas)
$ node teste_referencia.mjs
04O que se reproduz, o que não se reproduz
—
Uma previsão que se pode reescrever depois de se saber o resultado não é uma previsão. Esta está dentro da entrada selada acima: mudá-la parte a cadeia à vista de toda a gente. É o único sítio deste sítio onde nos comprometemos com um número futuro, e existe para que se possa provar que estávamos errados.
Nem tudo o que se mede é publicável — um corpus de CAPTCHAs resolvidos é o material mais sensível que esta ferramenta chega a tocar, e não sai de máquina nenhuma. Mas tudo o que se publica tem de ser verificável. É a mesma regra da Escala Intruso, e é o que esta página faz com o selo.