Pular para o conteúdo principal

Introdução

🛡️ 1. Introdução​

O GKTinc (GuardianKey – This Is Not CAPTCHA!) é uma plataforma de proteção e dissuasão inteligente para aplicações web, projetada para mitigar ataques automatizados em larga escala — como força bruta, credential stuffing, enumeração de endpoints e negação de serviço — sem comprometer a experiência do usuário legítimo.

Diferentemente de soluções tradicionais baseadas em CAPTCHA visual, o GKTinc opera de forma transparente e silenciosa, aplicando mecanismos criptográficos, comportamentais e analíticos diretamente no fluxo da requisição HTTP. O objetivo não é “desafiar o usuário”, mas tornar ataques automatizados economicamente e computacionalmente inviáveis.

🔹 Dissuasão Básica (Basic Dissuation)​

Na sua camada fundamental, o GKTinc utiliza um desafio criptográfico executado no navegador via JavaScript, que deve ser resolvido automaticamente antes do envio da requisição sensível (como formulários de login).

Esse desafio:

  • Não possui interface visual
  • Não exige interação do usuário
  • Impõe um custo computacional irrelevante para humanos, mas significativo para bots em escala
  • É ajustado dinamicamente conforme o risco percebido da origem

Essa abordagem substitui CAPTCHAs tradicionais, que dependem de testes visuais, heurísticas frágeis e frequentemente impactam negativamente a usabilidade, além de já serem amplamente burlados por IA e serviços especializados.

🔹 Dissuasão Avançada (Enhanced Dissuation)​

A evolução do GKTinc introduz a Dissuasão Avançada, um módulo que transforma o sistema em um motor completo de proteção de aplicações web, combinando múltiplas camadas de análise e decisão em tempo real.

Além do desafio criptográfico, a Dissuasão Avançada incorpora:

  • Avaliação de risco baseada na reputação da origem (Threat Intelligence / OSINT)
  • Score dinâmico de risco por requisição
  • Políticas de acesso orientadas a grupos, com decisão automática de permitir ou bloquear
  • GeoFirewall, com controle por país
  • Análise comportamental, incluindo movimentação de mouse para detecção de automação
  • Análise de paths (GET) para identificação de padrões maliciosos
  • Análise de anomalias em requisições POST, utilizando Machine Learning para detectar desvios do comportamento esperado da aplicação

Com isso, cada requisição passa a ser avaliada de forma contextual, comportamental e reputacional, permitindo uma decisão precisa, auditável e proporcional ao risco, sem depender de intervenções visuais ou fricção desnecessária para o usuário legítimo.