Captcha

Rane "CAPTCHA" testove kao ove, generirane uz pomoć programa EZ-Gimpy, koristio je Yahoo!. Međutim, razvijena je tehnologija za čitanje ovog tipa CAPTCHA testova

Moderni CAPTCHA ne pokušava stvoriti iskrivljenu pozadinu i zakrivljenje teksta, već se usmjerava na otežavanje segmentacije dodavanjem zakrivljenih linija

Drugi način za otežavanje segmentacije je zgušnjavanje simbola. Ovo je oblik CAPTCHA-e kojeg trenutno koristi Yahoo!. Ovo se može pokazati teškim za pročitati čak i nekim ljudima, pa je u ovom primjeru teško reći je li lijeva riječ "klopsh" ili "kbpsh".

CAPTCHA ili Captcha (/ˈkæptʃə/) vrsta je autentikacije "izazov-odgovor" koji se koristi u računarstvu da bi odredilo je li korisnik čovjek ili računalo, s ciljem sprječavanja pristupa zlonamjernim računalnim programima. Proces najčešće podrazumjeva jedno računalo (server), koji traži od korisnika da odradi jednostavan test koji računalo može generirati i ocijeniti. Pretpostavka je da drugo računalo nije u stanju riješiti taj test, pa se svaki korisnik koji unese točan odgovor se smatra čovjekom. Uobičajeni CAPTCHA testovi traže od korisnika da unese nekoliko simbola (najčešće slova i/ili brojeva) koji su prikazana na slici, koja je na neki način iskrivljena. Zbog toga se ponekad naziva "obrnuti Turingov test", jer podrazumijeva stroj koji cilja na prepoznavanje ljudi, za razliku od originalnog turingovog testa kojeg izvode ljudi da bi prepoznali računala.

Skraćenica CAPTCHA nastala je 2000. godine, a osmislili su je Luis von Ahn, Manuel Blum, Nicholas J. Hopper (svi sa Carnegie Mellon University), i John Langford (tada u IBM-u). Skraćenica dolazi od engleskog Completely Automated Public Turing test to tell Computers and Humans Apart (u prijevodu: potpuno automatizirani javni Turingov test za razlikovanje računala od ljudi).

Carnegie Mellon University je pokušao zaštititi ovu riječ, no od zahtjeva su odustali 21. travnja 2008. Trenutno, tvorci CAPTCHA-a preporučuju korištenje sustava reCAPTCHA kao službene implementacije.

Svojstva

CAPTCHA sustav je sredstvo za automatsko generiranje novih izazova koje:

• suvremeni softver nije u stanju točno riješiti
• većina ljudi može uspješno riješiti
• se ne oslanja na pretpostavku da je ovaj tip CAPTCHA -a novi za napadača

Iako checkbox "klikni ovdje ako nisi bot" može poslužiti za razlikovanje ljudi od računala, to nije CAPTCHA jer se oslanja na činjenicu napadač nije potrošio nešto vremena da provali u određenu formu. Metode "klikni ovdje" su vrlo lake za probijanje.

Uskraćivanje algoritma može povećati integritet ograničenog skupa sustava, kao u praksi sigurnosti kroz neshvatljivost. Najvažniji faktor u odlučivanju treba li algoritam biti otvoreni ili ograničen je veličina sustava.

Iako algoritam koji izdrži testiranje stručnjaka za sigurnost može biti smatran konceptualno sigurnijim od netestiranog algoritma, netestirani algoritmi specifični za ograničen broj sustava su ujedno i manje interesantni i onima koji se upuštaju u zloporabu. Razbijanje CAPTCHA-e najčešće zahtijeva određeni trud specifičan upravo za tu CAPTCHA implementaciju, pa osoba koja planira zloporabu može zaključiti da taj CAPTCHA nije vrijedan truda.

Povijest

Moni Naor je prvi koji je teoretizirao o načinima provjere dolazi li zahtjev od osobe ili od bota. Primitivni CAPTCHA test su 1997. razvili Andrei Broder, Martin Abadi, Krishna Bharat i Mark Lillibridge, da bi spriječili internet botove da dodaju URL-ove od njihovih pretraživača.

Da bi slike učinili otpornijim na OCR (engl. Optical Character Recognition), tim je simulirao situacije, koristili su primjere iz priručnika za skener gdje su prikazani znakovi krivo očitani uz pomoć OCR-a. 2000. godine, Luis von Ahn i Manuel Blum smislili su izraz 'CAPTCHA', koji je podrazumijevao općeniti program za razlokivanje ljudi od računala. Osmislili su višestruke primjere CAPTCHA-e, uključujući prve naširoko korištene CAPTCHA-a, one koje je u početku koristio Yahoo!.

Primjene

CAPTCHA se koristi za prevenciju protiv automatskog softvera koji može poduzeti akcije s ciljem snižavanja kvalitete danog sustava, bilo zloporabom, bilo trošenjem resursa. CAPTCHA mogu štiti sustave ranjive prema e-mail spamu, kao što su webmail servisi Gmail, Hotmail, i Yahoo! Mail.

CAPTCHA su do sada aktivno korišteni ta sprječavanje automatskog postiranja na blogove, internet forume i wikije, bez obzira radi li se o komercijalne promocije ili uznemiravanja i vandaliziranja (troliranja).

CAPTCHA se također koristi i kao limitator kod pretjerane uporabe resursa, pa se kod npr. prevelikog broja akcija u jedinici vremena, pred korisnika može postaviti zahtjev da se riješi CAPTCHA test prije nastavka rada.

Dostupnost

S obzirom da se CAPTCHAs oslanja na vizualnu percepciju, korisnici koji ne mogu čitati CAPTCHA-u (zbog raznih ograničenja, npr. teškoća u čitanju) neće moći proći ovaj CAPTCHA-test. Stoga internet stranice koje koriste CAPTCHA-u mogu korisniku omogućiti i audio test, uz vizualni, što je i službena preporuka na CAPTCHA stranicama. Ova kombinacija predstavlja do sada najdostupniji postojeći CAPTCHA test.

Pokušaji da se CAPTCHA učini još dostupnijim

No, čak i audio i vizualni CAPTCHA testovi mogu biti nedostatni za neke korisnike, koji su npr. i slijepi i gluhi. Pokušaji uključuju postavljanje jednostavnih matematičkih pitanja ("Koliko je 1+1?") ili pitanja na koje svi znaju odgovor ("Koje je boje nebo za vedrog dana?"). No, ovi testovi ne zadovoljavaju neke osnovne zahtjeve kao što su automatsko generiranje, a i napadač s iskustvom ih lako probije. Stoga ove testove ne možemo nazivati CAPTCHA jer ne daju sigurnost koju pruža CAPTCHA.

Zaobilaženje CAPTCHA-e

Postoji nekoliko pristupa pri pokušajima da se zaobiđe CAPTCHA:

• iskorištavanje bugova koji dopuštaju napadaču da posve zaobiđe CAPTCHA test,
• poboljšanje softvera za prepoznavanje znakova ili
• korištenje jeftine radne snage za prolaženje testova (en:Human-based computation
• sirova sila - višestruki uzastopni napadi

Nesigurna implementacija

Kao i svaki drugi sigurnosni sustav, greške u dizajnu mogu spriječiti postizanje teoretske sigurnosti u praksi. Mnoge implementacije CAPTCHA-e, posebno one koje nisu pregledali sigurnosni eksperti, ranjive su na napade.

Neki se CAPTCHA zaštitni sustavi mogu zaobići i bez uporabe OCR-a, jednostavno uz pomoć ponovne uporabe session ID-a poznate CAPTCHA slike.

Pravilno dizajnirana CAPTCHA ne dozvoljava višestrike pokušaje prolaska testa. Ovo sprječava ponovno korištenje ispravnih testova i pogađanje iz više pokušaja nakon neprolaska na testu.. Druge CAPTCHA implementacije koriste hash (kao što je MD5 hash) rješenja kao ključ koji se šalje klijentu da validira CAPTCHA-u. Ponekad je CAPTCHA tako mali, da se njgov harh kod može probiti.

Nadalje, hash može pomoći u pokušaju probijanja temeljam OCR-a. Sigurnija schema bi bila ona sa korištenjem HMAC-a.

Na kraju, neke implementacije CAPTCHA-e koriste konačni (mali) broj slika. S vremenom, kada napadač prikupi dovoljno slika, CAPTCHA se može probiti jednostavnom usporedbom hash-a CAPTCHA-e sa hashom nekom od pohranjenih slika.

Računalno prepoznavanje znakova

Do sada je prevedeno niz istraživanja s ciljem probijanja vizualnog CAPTCHA testa, a neki od njih su bili uspješni. Programi koji su razbijali CAPTCHA se temelje na ovim funkcionalnostima:

1. Redukcija šuma - odstranjivanje pozadinskog šuma
2. Segmentacija (procesiranje slika) - podjela slike na regije od kojih svaka sadrži po jedan znak
3. Klasifikacija: identificiranje znakova u svakom dijelu slike

Koraci 1 i 3 su lak zadatak za računala. Jedini korak gdje je čovjek i dana jači od računala je segmentacija.

Ovaj članak ili dio članka, djelomično ili uopće nije preveden s engleskog jezika. Slobodno pomozite u prijevodu vodeći računa o stilu i pravopisu. Izvornik se možda nalazi na popisu drugih jezika.

Vanjske poveznice

• Kategorija Captcha na Open Directory Project (Dodaj URL)