📘 תיעוד 26

אימות קריפטוגרפי של אנושיות

עודכן לאחרונה: 4 בספטמבר 2026

Cloudflare פיתחה חלופה לאימות CAPTCHA: אימות קריפטוגרפי של אנושיות (CAP).

CAP מאפשר להוכיח שאתה מבקר לגיטימי באתר על ידי נגיעה במפתח חומרה, במקום לפתור חידת CAPTCHA.

מאמר זה מספק תשובות לשאלות נפוצות על שימושיות ועל חששות פרטיות.

אפשר גם לבדוק את CAP באתר ההדגמה.

#שאלות פרטיות

התשובה לרוב חששות הפרטיות מסוכמת בטבלה הזו:

לא, Cloudflare לא יכולה לאסוף נתונים ביומטריים. תהליך ה-CAP שלנו משתמש ב-WebAuthn API, שמונע איסוף נתונים ביומטריים כברירת מחדל. כאשר המכשיר שלך מבקש אימות ביומטרי, למשל באמצעות חיישן טביעת אצבע, הכל מתרחש באופן מקומי.

לכן אנחנו אף פעם לא רואים את הנתונים הביומטריים שלך: הם נשארים על המכשיר שלך. אחרי שהמכשיר מאשר התאמה, הוא שולח רק הודעת attestation בסיסית. בפועל, המכשיר שולח הודעה שמוכיחה "כן, מישהו הזין נכון טביעת אצבע במכשיר מהימן זה", ולעולם לא שולח את טביעת האצבע עצמה.

כן, Cloudflare אוספת כמות מוגבלת של נתונים על המפתח שלך. אנחנו שומרים את יצרן המפתח ואת מזהה האצווה (לפחות 100,000 מפתחות בכל אצווה) לצורכי אימות. מנקודת המבט שלנו, המפתח שלך נראה כמו כל שאר המפתחות באצווה.

נמצא שחלק מהמפתחות החתומים בחתימה עצמית ומפתחות מיצרנים מסוימים אינם עומדים בדרישה הזו, ורצוי להימנע מהם אם מצמצמים את סיכון הפרטיות המקוון.

---

לפרטים נוספים על האופן שבו הגדרנו את האימות הקריפטוגרפי של אנושיות, ראה את פוסט הבלוג המבוא.

---

#אילו מכשירים מותרים ואילו לא?

#מכשירים מותרים

CAP תומך במגוון רחב של מאמתי חומרה:

• מאמתים ניידים (חוצי פלטפורמות):
  • נתמכים: כל מפתחות האבטחה שנמצאים ב-FIDO Metadata Service 3.0, אלא אם בוטלו מסיבות אבטחה.
  • דוגמאות: YubiKeys, HyperFIDO keys, Thetis FIDO U2F keys
• מאמתי פלטפורמה:
  • דוגמאות: Apple Touch ID ו-Face ID במכשירי iOS ניידים ובמחשבים ניידים עם macOS; מכשירי Android ניידים עם קוראי טביעת אצבע; Windows Hello

#מגבלות ידועות

רוב השילובים של דפדפני אינטרנט ומאמתים בעלי יכולת WebAuthn יעבדו, אבל יש כמה בעיות תאימות ידועות עם WebAuthn attestation שעלולות למנוע מ-CAP לפעול בהצלחה:

• CAP בסיסי:
  • שולחן עבודה של macOS: עבור TouchID, הדפדפן חייב להיות Safari
  • Android: הדפדפן חייב להיות Chrome
• CAP עם הוכחת אפס ידע:
  • מאמתי פלטפורמה של Apple (למשל, iPhone עם Touch ID/Face ID) אינם תואמים למערכת הוכחת אפס הידע. אם זה נכשל, תועבר מיד למסלול CAP הבסיסי בלי שתצטרך לבצע פעולה נוספת. מאחר ש-Apple משתמשת ב-Apple Anonymous Attestation שומר פרטיות כדי להראות שמאמת תקין תוך חסימת מעקב, השיטה הזו שומרת על רף פרטיות גבוה.

אנחנו מעדכנים את הרשימה הזו ככל שהמערכת האקולוגית מתפתחת וככל שאנחנו ממשיכים לבדוק שילובים שונים.

#האם האקרים יכולים לעקוף את האימות הקריפטוגרפי של אנושיות?

CAP הוא אחת מטכניקות רבות לזיהוי ולחסימה של בוטים. עד כה ראינו כמה ניסיונות לבדוק את מערכת האבטחה של CAP, כמו בדיקה אחת שבוצעה בקפידה ותועדה היטב. פוסט הבלוג שדן בבדיקה מציין במפורש שהשיטה הזו לא שוברת את מודל האיום של Cloudflare.

אין זה אומר ש-CAP שבור, אלא מראה שהוא מעלה את עלות המתקפה לעומת מודל ה-CAPTCHA הנוכחי.

#מה קורה אם איבדתי את המפתח?

אם אין לך את החומרה הנדרשת (כמו Yubikey), עדיין אפשר לפתור אתגר CAPTCHA רגיל (למשל, בחירת תמונות).

#מהם קודי השגיאה הנפוצים ומה משמעותם?

• Unsupported_att_fmt:
  • סיבה: המאמת שלך משתמש בפורמט attestation לא נתמך (שילוב של דפדפן ומפתח). זה קורה גם כשמשתמשים ב-Firefox ובוחרים באפשרות "anonymise your key".
  • פתרון: אם השגיאה הזו מתרחשת במהלך גרסת אפס הידע של CAP, תועבר אוטומטית לזרימת CAP הבסיסית. אם CAP הבסיסי נכשל, נסה שילוב אחר של מכשיר חומרה נתמך ודפדפן, או בחר ב-CAPTCHA.
• Unsupported_issuer:
  • סיבה: המפתח שלך אינו נתמך כרגע.
  • פתרון: השתמש במפתח נתמך.

#משאבים קשורים

• https://cloudflarechallenge.com (אתר הדגמה)
• היכרות עם האימות הקריפטוגרפי של אנושיות (בלוג)
• הרחבת האימות הקריפטוגרפי של אנושיות (בלוג)
• היכרות עם הוכחות אפס ידע (בלוג)