"Wenn es Schlosser gibt, wozu soll man dann die Tür abschließen?"

Nur weil etwas Einschränkungen hat, heißt das nicht, dass es nutzlos ist. Diese Dienste kosten Geld, vielleicht mehr Geld, als ein automatisch registriertes Konto wert ist. Es gibt auch Klassen von Angreifern, die keinen Zugriff auf diese Art von Diensten haben. InfoSec ist oft ein Zahlenspiel, und Capthas sind eine billige (nicht perfekte) Möglichkeit, den Guten größere Zahlen zu geben.

Ihre verknüpften Quellen scheinen kostenpflichtige Captcha-Dienste zu sein. Diese machen Captchas sicherlich weniger effektiv, aber sie machen sie sicherlich nicht nutzlos.

Schauen wir uns die Zahlen an, da dies ein Zahlenspiel ist.

Vor kurzem hatte mein Unternehmen ein Brute-Force-Problem, bei dem eines unserer mit dem Internet verbundenen Portale brutal erzwungen wurde. Sie versuchten jeden Benutzer, den sie kannten, nacheinander, versuchten 3 Passwörter und gingen dann zum nächsten Benutzer. Sie machten durchschnittlich etwa 2000 Versuche pro Sekunde. Wir haben dieses Problem gelöst, indem wir ein Captcha-Portal vor die Anmeldeseite gestellt haben.

Ihre verknüpften Quellen geben jeweils eine Lösungszeit von ~ 7 Sekunden für jedes Captcha an und geben 0,50 USD pro 1000 Bild an.

Um denselben Angriff gegen meinen Server auszuführen, würden sie zwei signifikante Effektivitätstreffer erzielen -

Erstens würden sie 2000 Versuche in 7 Sekunden und nicht in 1 Sekunde lösen. Dies ist offensichtlich nur 1/7 so schnell. Sie brauchen 7x länger, um ein funktionierendes Passwort zu finden. Dies ist nicht astronomisch hoch, und wenn es kostenlos wäre, könnte es sich trotzdem lohnen.

Zweitens würden sie 1 Dollar pro sieben Sekunden Angriffszeit zahlen (0,5 pro 1000 Captchas, 2000 pro sieben Sekunden gelöst - 1 US-Dollar pro sieben Sekunden). Wenn sie diesen Angriff für einen Tag ausführen, haben sie ~ 12000 Dollar verloren. (60 * 60 * 24/7)

Das Hauptziel bei Brute-Force-Konten wie diesen besteht darin, Informationen zu stehlen, die verkauft oder für spätere Angriffe verwendet werden sollen. Die Rendite auf den Konten, die sie an einem Tag erhalten, wird fast nie 12000 US-Dollar betragen. Der Angriff wird unwirtschaftlich, es sei denn, Sie greifen etwas sehr sehr Wichtiges an.

Funktionsweise von Captchas

Die Idee eines Captchas besteht darin, eine Aufgabe zu finden, die für eine Maschine schwierig, für einen Menschen jedoch einfach ist. Dies ist gemeint, um eine Aktion zu verteidigen, die nur ein Mensch ausführen sollte.

Die Idee ist nicht unbedingt, alle Bots zu stoppen, sondern die Bots zu verlangsamen, indem der Angriff auf die Site in mindestens einer teurer wird der folgenden Möglichkeiten:

• Rechenleistung
• Preis
• Preis
• Zeit

Wenn die Bots eine höhere haben Dies kann verwendet werden, um sie zu erkennen, und an diesem Punkt können weitere Abwehrmechanismen eingesetzt werden.

Captcha-Typen

• 1 eines Fragenpools stellen
  • Dies ist für einen Menschen einfach, kann aber auch für ein System mit natürlicher Sprachverarbeitung einfach sein.
• Lesen von Basistext
  • Dies ist Die Erkennung optischer Charater ist im Vergleich zu anderen Herausforderungen relativ einfach.

• Lesen von modifiziertem Text
  • Dies erschwert das Lesen für Maschinen, aber auch für Menschen und Einige Untersuchungen haben ergeben, dass Maschinen eine höhere Lösungsrate als Menschen haben.

• Lesen von Fotos
  • Dies kann schwierig sein, gibt es aber Algorithmen, die dies können
• Objekte in Fotos identifizieren
  • Dies ist viel schwieriger, siehe Googles Herausforderung für Vögel und Fahrräder Ein Beispiel für eine Aufgabe für einen Menschen, die für eine Maschine viel schwieriger ist.

Captcha-Breaking-Services

Captcha-Breaking-Services funktionieren nach einer der folgenden Methoden:

• Es wird versucht, einen Algorithmus zu schreiben, um die Herausforderungen zu meistern.

  Bei einigen älteren Captchas ist dies der Fall Möglicherweise ist dies möglich, aber für viele neuere Unternehmen wären Durchbrüche in Forschungsbereichen erforderlich, um dies mit angemessener Genauigkeit zu erreichen.

• Der Versuch, die Verteidigung des Captcha zu durchbrechen

  Dies funktioniert gegen einige schlecht implementierte Captchas, ist jedoch im Vergleich zu anderen Angriffen relativ selten.

• Verwenden von Menschen zum Brechen des Captchas

  Dies fügt a hinzu Kosten, was bedeutet, dass die Kosten pro Aktion, obwohl sie immer noch gebrochen werden können, um Größenordnungen höher sind als ohne ein vorhandenes Captcha.