Badacz skutecznie zautomatyzował łamanie testu reCAPTCHA

Jonathan Wilkins z firmy iSEC Partners znalazł sposób na automatyczne rozwiązywanie testu reCAPTCHA. Ten popularny mechanizm, przejęty we wrześniu br. przez Google, służy przede wszystkim do blokowania spambotów, uniemożliwiając im zaśmiecanie serwisów WWW i blogów reklamowymi komentarzami, a nawet wstrzyknięcia wrogiego kodu.

Stworzony przez Wilkinsa atak korzysta z techniki OCR (optycznego rozpoznawania znaków) oraz innych metod. Dzięki temu rozpoznaje zniekształcone znaki umieszczane w obrębie elementów graficznych i automatyzuje proces przepisywania liter oraz cyfr do pól tekstowych. Wilkins twierdzi, że odsetek udanych ataków wynosi 17,5%.

Na pierwszy rzut oka to niewiele. Z drugiej strony przy milionach prób obejście niecałej jednej piątej kombinacji i tak da spamerom dostęp do setek tysięcy użytkowników. Dodatkowo mogą oni stosunkowo szybko wrócić do tych profili, których zabezpieczenia nie zostały złamane i próbować ponownie, do skutku.

Google stwierdziło, że dane do testów pozyskano na początku 2008 roku. Nie uwzględniały one usprawnień, które firma z Mountain View wprowadziła w ciągu ostatnich kilku miesięcy. „Zauważyliśmy, że reCAPTCHA jest dużo bardziej odporna niż dawniej, jednocześnie pozostaje przyjazna dla użytkownika (…)” – podał rzecznik Google.

Największą słabością reCAPTCHY jest to, że usługa korzysta ze słów, które można znaleźć w słowniku. Dzięki temu hakerzy mogą łatwo weryfikować dane pozyskane za pomocą zautomatyzowanych skryptów. Dodatkowo system akceptuje pojedyncze błędy wynikające z podobieństwa liter (na przykład „l” zamiast „t”).

Artykuł, w którym badacz przedstawia wyniki swoich prac dostępny jest tutaj (plik PDF, 350 KB).

Źródło: TheRegister.co.uk

Podoba Ci się ten tekst? Powiedz o tym innym na Fb: lub na G+:

publikuj:

wydrukuj

skomentuj »

Polecamy

Reklama

Komentarze

Aby dodać komentarz, musisz podać swój nick, treść komentarza oraz poprawnie przepisać oba słowa z obrazka (słowa muszą być rozdzielone spacją).
W treści komentarza można używać języka formatowania BBcode.