Взлом Captcha - Разбираемся как ломают капчи

В последнее время ни один более или менее популярный сайт не обходится без использовании капчи. Эпоха «Веб 2.0» дала пользователям возможность изменять содержание сайтов, но такую возможность получили и спамеры. Ручное заполнение форм спамерам экономически невыгодно, поэтому они используют роботов, на пути которых и становится капча. САРТСНА - Com­pletely Automated Public Turing test to tell Computers and Humans Apart. Принцип капчи основан на сложности автоматического распознавания искаженного и зашумленного текста.

АДЕКВАТНОСТЬ ЗАЩИТЫ

При выборе капчи стоит исходить из основного правила построе­ния систем безопасности — стоимость взлома не должна превы­шать стоимость того, что может получить злоумышленник. Однако, в случае с капчей есть две проблемы, не позволяющие нам в полной мере реализовать это правило.

Во-первых, чрезмерное усложнение капчи может отпугнуть некоторую часть посетителей сайта, напри­мер, если заставлять их вводить код с изображения при добавлении каждого комментария (как это делают некоторые владельцы блогов в LiveJournal). Вторая проблема — «китайцы».

В интернете существует несколько сервисов, предлагающих услуги по ручному распознава­нию капчей жителями Китая и некоторых других стран, готовых рабо­тать за мизерную плату.

Часть этих сервисов заявляют, что обладают уникальными технологиями автоматического распознавания образов, однако, при ближайшем рассмотрении такие факты, как задержка в 30 секунд перед отправкой ответа и вероятность распознавания выше 90%, выдают их реальные схемы.

Стоимость распознавания 1000 экземпляров начинается от $1, что не так уж и много. Кроме того, существует давно известный способ бесплатного краудсорсин-га — подстановка капчи, требующей распознавания, на другой ресурс (как правило порно-сайт), пользователи которого, ничего не подозре­вая, будут вводить код с изображения. Эти факты ограничивают наши возможности по усложнению защиты.

Говоря об адекватности защиты, стоит разделить спам-роботов на автоматических и полуавтоматических. Автоматические робо­ты подобно роботам поисковых систем переходят с сайта на сайт и пытаются заполнить и отправить любую форму, которую встретят по пути. Если после отправки формы на странице появ­ляется отправленная информация, форма заносится в список и периодически «спамится».

Продвинутые версии таких роботов способны распознавать некоторые виды популярных капч, но большая часть капчей, особенно разработанные для сайта инди­видуально, таких роботов успешно останавливают. Собственно, автоматические роботы и являются основной угрозой для пода­вляющего большинства сайтов.

Сайты с большой посещаемо­стью или хотя бы хорошим рейтингом PageRank могут удостоить­ся персонального внимания спамеров, что может означать более «тонкую» настройку робота, использование «китайцев» или при­менение системы распознавания образов, пример которой будет рассмотрен чуть ниже в этой статье.

1|2|3|4|5|6|7|8