Betere methodes dan captcha. (mens v.s. computer)

[Onbekend]

Naar aanleiding van nieuws: Trojan maakt webmailaccounts aan voor versturen spam
heb ik dit topic geopend.

Voor de duidelijkheid wil ik erbij vermelden dat het om ideeën gaat. Het is in eerste instantie niet de bedoeling dat ik een vervanger voor een captcha wil gaan programmeren, maar dat hier gewoon over (nieuwe) methodes worden gediscusieërd om te kunnen controleren of bezoeker een mens of een stukje software is.

(Voor de rest van deze post noem ik weliswaar "letters", maar bedoel daarmee ook cijfers, bijzondere symbolen zoals @ en # en andere characters.)

---

Stukje inleiding:

Bij het registreren (bijvoorbeeld op een forum, webwinkel of e-mailaccount) wil de website eigenaar weten of een bezoeker wel echt een persoon is en geen programma die automatisch accounts aanmaakt.

In het begin werd iets met JavaScript een code gegenereerd (bots konden geen JavaScript uitvoeren) waarmee de bezoeker als een persoon werd geïdentificeerd werd.
Daarna kwam men met een plaatje waarin letters naast elkaar stonden. Dit was vrij effectief omdat de bots dan beeldverwerking moest gaan uitvoeren.
Nu zijn we in het stadium belandt waar de letters gedraait, verkleint en andere kleuren kunnen krijgen. Dit in combinatie met een wisselende achtergrond met lijnen en andere letters.
Er zijn ook varianten hier op zoals een stukje geluid met een gesproken stem te laten horen.

Zoals nieuwsbericht al aangeeft kunnen de bots de captcha's ontcijferen en, net zoals een gewone gebruiker, de letters invoeren en accounts aanmaken.

---

Nu heb ik een aantal mogelijke ideeën en wil dit graag aan jullie voorleggen en discussieëren wat de moelijkheidsgraad is en hoe het verbeterd kan worden.
Belangrijk is er om aan te denken dat het voor de gebruiker simpel moet zijn, terwijl het voor een computer zeer lastig moet zijn.

---

Idee 1: Gebruik maken van stippen die niet met elkaar verbonden zijn:

Dit zou gemakkelijk kunnen zijn doordat je maar op 1 kleur hoeft te concentreren.

Dit is al weer wat lastiger, maar de cijfers zijn nog steeds duidelijk te onderscheiden.

Hier heb ik in de achtergrond lichtblauwe stippen gezet. Dit zou voor een computer lastiger moeten zijn omdat hij dan moet bepalen welke stippen er wel of niet bij de letters horen.
Echter, dat laaste voorbeeld begint voor de standaard mens ook lastig te worden.

---

Idee 2: Een klein schuifpuzzeltje maken van bijvoorbeeld 3x3 vakjes dat uiteindelijk een plaatje moet gaan voorstelen.
Hierbij zijn er 9! / 2 = 9x8x7x6x5x4x3x2x1 / 2 = 181440 combinaties mogelijk waarvan er maar 1 juist is.

Het voordeel hiervan is dat een computer logisch moet gaan denken en vormen moet gaan herkennen zodat deze kan bepalen hoe de stukjes t.o. de andere stukjes moeten zitten. Dit kost (volgens mij) heel wat rekenwerk.

Het nadeel is dat als je als gebruiker niet in staat bent om zo'n puzzel op te lossen, het niet mogelijk is om je te registreren. Ook zal deze manier voor de gebruiker toch enige tijd kosten.
Verder moet je een kleine database gaan maken met puzzelplaatjes.

---

Dit waren twee ideetjes. Graag zie ik graag verbeteringen of nieuwe concepten voor captcha's.
Denk er wel om dat je met een paar belemmeringen zit:

1. Gebruikers kunnen verschillende talen spreken. Dus "Het regent pijpenstelen" en "It's raining cats and dogs" kunnen de meeste gebruikers niet met elkaar in verband brengen.
2. Sommige gebruikers zijn niet in staat om puzzels op te lossen of kunnen niet goed rekenen.
3. Het moet niet te moeilijk worden voor de gebruiker. Anders zullen ze zich niet registreren en verlies je een bezoeker.

[marcieking]

Het idee met de stippen is zeker niet slecht, maar bij de tweede sluit je mensen met kleurenblindheid uit, doordat die niet alle stippen kunnen zien.
De derde wordt voor mij al lastig, omdat je compleet willekeurige stippen toevoegt. Er zullen mensen zijn die dit gewoon niet snappen, vooral ouderen wiens gezichtsvermogen niet meer geweldig is.

[Verwijderd]

Idee 1: aangezien mensen dat kunnen 'lezen' kan een goedgeprogrammeerd 'virus' het ook lezen.. 't zijn en blijven dan standaardvormen (bijv. de 1) die doormiddel van kleurherkenning zo door de computer kan worden gelezen

Idee 2: Tja, er zullen toch een bepaald 'limiet' van plaatjes worden gebruikt.. En deze kunnen gewoon worden opgeslagen en makkelijk worden herkend door een programma.
Waterdicht bestaat volgens mij gewoon totaal niet.. Zolang de massa het moet kunnen gebruiken en begrijpen zullen programma's et ook kunnen lezen :-/

En bedenk ook dat er steeds meer en meer ouderen gebruik gaan maken van email etc; die willen niet een dergelijk systeem tegenkomen

[mithras]

Je gaat nu sowieso op de tour van "bezoekers moeten iets extra's doen". Er is ook nog een mogelijkheid "bots doen iets wat een bezoeker niet kan", waarbij dit topic een mooi voorbeeld is. Ook javascript oplossingen waarbij inputs verborgen worden vallen daaronder.

Over de gebruiksvriendelijkheid van die methodes valt te discussieren, het behoort zeker wel tot de mogelijkheden. En die zijn reeler dan die jij nu voorstelt. Want ik haak echt af bij jou "drie stippen captcha" en een schuifpuzzel ga ik al helemaal niet oplossen

[Defector]

Een versie die ik gehoord heb van een soort captcha met geluid of een vraag daar kunnen bots op moment nog vrij weinig mee. Maar mensen die ondervinden vrij weinig ongemak als je doormiddel van audio een vraag of code laat horen.

Het begint wel een probleem te worden want een deel van het gebruiks gemak gaat achteruit soms als ik een captcha zie op een site moet ik zelfs me best doen om de goeie code te zien. En de bots die worden steeds geavanceerder. Het begint een beetje te lijken op beveiligers van games/audio/films die steeds wat nieuws verzinnen. Maar die steeds worden achterhaald door de community/hackers

[netvor]

Wat je soms ziet zijn wat ik "basisschoolvragen" noem; bijvoorbeeld:

• Een rekensommetje. "Wat is drie plus zes?" of, wat lastiger, "ik heb twee appels en een peer. Hoeveel stuks fruit heb ik?"
• IQ-test-vraagjes. "Vlinder, Mug, Regenworm, Wesp: welke hoort niet in het rijtje thuis?"
• Trivia. "De hoofdstad van Zweden is..."

Bij al dit soort mogelijkheden heb je eigenlijk altijd het risico dat mensen de vraag niet begrijpen (te cryptisch / te onverwacht), of ze weten echt niet wat de hoofdstad van Zweden is (Onderschat Nooit De Domheid Van Uw Gebruikers ).

Verder hebben deze methode's (vooral nummer twee en drie) wel het voordeel enorm moeilijk (zoniet onmogelijk) te zijn voor bots. De enige zwakheid (wederom vooral bij nummers 2 en 3) is dat je bij een kleine database van vragen (< 50) gewoon even de vragen handmatig op kan lossen om vervolgens je bot automatisch de antwoorden in te laten vullen.

EDIT: en nog een voordeel is dat deze methodes iets meer accessibility-friendly zijn: geen javascript, geen plaatjes, geen audio, gewoon platte tekst.

[ Voor 7% gewijzigd door netvor op 16-08-2007 13:56 ]

[Defector]

het maakt in principe niet uit als je iets hebt wat door een aanpassing of wat je zegt 50 vragen te beantwoorden wel te gebruiken is door een bot. Want als iedere site/systeem van elkaar verschilt dan is het een heel werk om de bot daarop aan te passen. Wat een spammer dus nooit zal doen. Het wordt pas interesant voor hem als hij door zo min mogelijk aanpassingen zo veel mogelijk mensen kan bereiken.

Ik vind het trouwens humor dat de captcah oftewel "completely automated public Turingtest to tell computers and humans apart" nu gekraakt wordt door computers en het dus eigenlijk geen captcha meer is

[ Voor 20% gewijzigd door Defector op 16-08-2007 13:56 ]

[Yoozer]

Je gaat er even van uit dat er niet hordes Chinezen worden ingehuurd om elk soort captcha/beveiliging te kraken?

Elke basisschoolvraag heeft als probleem dat 'ie op taalverschillen kan struikelen; dat maakt het je internationale klanten niet makkelijk.

[netvor]

Daar dacht ik ook al aan, maar let wel dat er op het web al een heleboel sites zijn die er gewoon van uit gaan dat de bezoekers de taal in kwestie spreken. Bijvoorbeeld een blog in een bepaalde taal. Een captcha voor reacties op dat blog kan prima in die taal zijn, mensen die die taal niet spreken lezen het blog toch niet.

[KatirZan]

mijn idee achter dit is dat alles wel te kraken valt hoe moeilijker je het maakt, hoe groter de uitdaging

Ik zou zeggen : email-verificatie dmv het sturen van een activatie-mail waarna alsnog een soortvan captcha ingevult moet worden, maar pas na het ontvangen van deze mail.
Dit dus in combinatie met de stippen van hierboven zou volgens mij nog omslachtiger zijn om te "kraken"

[scorpie]

Er zijn ook gifjes voor captcha's waarbij op geen enkele frame alle letters van het woord staan, dat wordt al lastiger te kraken. Zoek maar op google naar animated captcha.

[Verwijderd]

KatirZan schreef op donderdag 16 augustus 2007 @ 13:59:
mijn idee achter dit is dat alles wel te kraken valt hoe moeilijker je het maakt, hoe groter de uitdaging

Ik zou zeggen : email-verificatie dmv het sturen van een activatie-mail waarna alsnog een soortvan captcha ingevult moet worden, maar pas na het ontvangen van deze mail.
Dit dus in combinatie met de stippen van hierboven zou volgens mij nog omslachtiger zijn om te "kraken"

Yups want je hebt sowieso al een email adres van je provider dus zou iedereen dat in theorie moeten kunnen

[netvor]

Probleem is dat veel mensen geen zin hebben om hun emailadres in te voeren als ze alleen even een reactie op een blog willen neerzetten. Ikzelf zou in dat geval meteen afhaken.

Trouwens een ander idee: als je je toch beperkt tot captcha's in een bepaalde taal kan je ook taalvraagjes stellen. Bijvoorbeeld in een taal met naamvallen (Duits, Fins, Slavische talen): "wat is de derde naamval van $woord ?"
Dit is te kraken (zie Babelfish) maar dat kost wel (te)veel moeite voor een attacker.

En tot slot hebben we ook nog de techniek die sommigen vast nog kennen van computergames uit de jaren '80: de "wat is het derde woord op de vierde regel op pagina vijf van de handleiding?" vraag. Je kan een url naar een random webpagina geven met het verzoek het zoveelste woord op te zoeken. Zeker als je dan verwijst naar dingen als de "rechterkolom" van de pagina kan een bot daar niets mee (die weet niet wat de rechterkolom is, ziet alleen wat <div>jes).

[Verwijderd]

Trouwens een ander idee: als je je toch beperkt tot captcha's in een bepaalde taal kan je ook taalvraagjes stellen. Bijvoorbeeld in een taal met naamvallen (Duits, Fins, Slavische talen): "wat is de derde naamval van $woord ?"
Dit is te kraken (zie Babelfish) maar dat kost wel (te)veel moeite voor een attacker.

En ik als gebruiker heb geen zin in dergelijke 'nadenkertjes' en ik denk dat een hoop mensen er geen nut in zien aangezien zij niet zichtbaar leiden onder dergelijke praktijken...

En die laatste techniek; dat kost een hoop tijd en er zullen behoorlijk wat mensen dan afhaken (en fact remains; je wilt zoveel mogelijk gebruikers aangezien deze voor advertentie inkomsten zorgen)

[DukeBox]

Met moeilijke captcha's moet je ook opletten dat je de invalide gebruiker misschien niet meer de mogelijkheid geeft met zijn aangepaste hardware te laten registreren. Wij maken zelf gebruik door bijvoorbeeld een activierings code door te sturen via SMS of spraak bericht.
Een andere eenvoudige optie is om bijv. 5 vakjes weer te geven en 5 codes weer tegeven, vervolgens vraag je bijv. code 4 in vakje 2 in te vullen. Deze techniek dwarsboomt niet de mindervalide software e.d. (maar het maakt het er ook niet makkelijker op helaas).
Een groot pluspunt is dat je ook minder afhankelijk bent van het IQ van je klant

[Onbekend]

Leuk, als die reacties.

@Yoozer: Chinezen zijn ook mensen, en hiertegen valt niets tegen te doen als ze grote hoeveelhedne accounts gaan aanmaken. Daarom ook de vermelding "mens v.s. computer".

Verder is kleurenblindheid inderdaad een probleem. Evenals volledig blinde mensen die geen plaatje kunnen zien, als dove mensen die geen geluidsfragment kunnen horen.
Maar je hebt ook andere punten. Bijvoorbeeld of de computer daadwerkelijk boxen aangesloten heeft staan en of de browser wel JavaScript aan heeft staan.

Het nadeel van cryptische vragen is dat het meestal taalafhankelijk is. Verder heb je een (flinke) database nodig die steeds uitgebreidt moet worden.

@mithras: Het is lastig te herkennen of iets een bot is of een gewone gebruiker. Door de gebruiker "iets extra's" te laten doen, kan je hem onderscheiden tussen de bots. Tegenwoordig kunnen de bots ook al JavaScript uitvoeren waardoor dat ook niet altijd meer veilig is.

En als een computer iets kan genereren is het ook wel te kraken. Maar uiteindelijk zal dat zoveel moeite kosten dat het niet meer loont.

[Not Pingu]

Heb em al eerder gepost, maar wat voor mij nog steeds werkt is een hele simpele challenge/response zonder gebruikersinteractie:

Genereer serverside een random key en sla deze op de server op. Pas vervolgens een bepaalde set operaties toe op deze key (bijv. omkeren, letters ophogen, whatever) die altijd 100% omkeerbaar is.
De bewerkte key stuur je in een hidden input veld naar de client.

Clientside pas je mbv. javascript de inverse toe van wat je op de server met de key hebt gedaan: je brengt hem dus weer terug in zijn originele staat.
Serverside lees je dan het hidden veld uit en kijk je of de key gelijk is aan het origineel.

De aanname hier is dat spambots geen volledige browserimplementatie zijn omdat dit nou eenmaal teveel rekenkracht zou kosten. Daarom hebben ze zelden een javascript-engine ingebouwd.

Tot nu toe werkt het perfect op een paar sites, waarvan er één de laatste dagen redelijk wat verkeer krijgt van spambots. Sinds het plaatsen van de beveiliging is er echter geen een doorgekomen.

[Kwastie]

nog een manier is:

3 plaatjes:

Klik op de auto

[ Voor 177% gewijzigd door Kwastie op 16-08-2007 14:29 ]

[Verwijderd]

% 33 slagingskans is voor louter een bot superhoog. Captchis zullen ze nooit krijgen zelfs blinden geen 100 %

[ Voor 74% gewijzigd door Verwijderd op 17-08-2016 13:03 ]

[netvor]

Verwijderd schreef op donderdag 16 augustus 2007 @ 14:13:
En ik als gebruiker heb geen zin in dergelijke 'nadenkertjes' en ik denk dat een hoop mensen er geen nut in zien aangezien zij niet zichtbaar leiden onder dergelijke praktijken...

En dat is precies de malaise waarin het captcha-concept momenteel verkeert: de bots zijn even slim als de gebruikers met als gevolg dat een effectieve captcha al snel te moeilijk of ingewikkeld is voor de gemiddelde gebruiker.

Doet me een beetje denken aan de situatie in de film Blade Runner, waar de Voight-Kampff test de enige manier is om een bot van een mens te onderscheiden.

[ACM]

Not Pingu schreef op donderdag 16 augustus 2007 @ 14:18:
Tot nu toe werkt het perfect op een paar sites, waarvan er één de laatste dagen redelijk wat verkeer krijgt van spambots. Sinds het plaatsen van de beveiliging is er echter geen een doorgekomen.

Het zal voor een dienst als Gmail geen oplossing zijn. De berekening is tenslotte erg simpel terwijl gmail zo groot is, dat het interessant genoeg is om speciale aandacht te besteden aan het doorbreken van hun anti-spam oplossing.
Dat lijkt me ook gelijk een deel van een oplossing tegen spambots voor de kleinere sites: allemaal een andere oplossing en/of uitvoering hebben, zodat een generieke "form solver" weinig tot geen effect heeft. En daarbij sowieso niet een oplossing van een van de grote jongens gebruiken.

[Onbekend]

Kwastie schreef op donderdag 16 augustus 2007 @ 14:21:
nog een manier is:

3 plaatjes:

Klik op de auto

Afgezien van de slagingskans van 33% moet er ook een lijst komen met plaatjes. Als je 25 tot 30 plaatjes hebt is dat redelijk veel.

Maar als 1 persoon "eventjes" ook dat lijstje nagaat (het zijn er maar 30) en dat lijstje doorstuurt naar alle spambots, hoeven die dingen alleen maar even de lijst af te gaan en ze zijn binnen.

[Not Pingu]

ACM schreef op donderdag 16 augustus 2007 @ 14:39:
[...]

Het zal voor een dienst als Gmail geen oplossing zijn. De berekening is tenslotte erg simpel terwijl gmail zo groot is, dat het interessant genoeg is om speciale aandacht te besteden aan het doorbreken van hun anti-spam oplossing.
Dat lijkt me ook gelijk een deel van een oplossing tegen spambots voor de kleinere sites: allemaal een andere oplossing en/of uitvoering hebben, zodat een generieke "form solver" weinig tot geen effect heeft. En daarbij sowieso niet een oplossing van een van de grote jongens gebruiken.

Het voordeel van deze methode is dan ook dat er heel makkelijk variatie aangebracht kan worden in wat je met je key uitvreet (zolang je het serverside en in javascript kunt coden).

Wat je zegt over grotere sites klopt idd, sterker nog: als een niet-gespecialiseerde OCR- of pattern recognition engine (voor het omzeilen van de alomaanwezige CAPTCHA's) geen probleem is, waarom zou het dan een probleem zijn om een volledig werkende javascript engine aan zo'n bot te hangen?

[smeaggie]

Ik denk dat er zoiezo een andere methode zal moeten opstaan. In deze video wordt kort verteld hoe captcha's vandaag de dag gekraakt worden, spoel door naar 4:30. Er bestaan inderdaad "captcha sweat shops", waar mensen de hele dag niks anders doen dan captcha's oplossen. Ook worden captcha's doorgegeven aan free pr0n sites, waar nietsvermoedende bezoekers captcha's oplossen voor de spammers... Dit laatste lijkt mij vooral een leuk probleem: zolang een test doorgegeven kan worden aan een bezoeker van een andere website zal de test niet 100% te vertrouwen zijn! Als een bot niet meer door de test heen komt zullen deze technieken wel meer en meer gebruikt gaan worden, waarmee er vraag komt naar een ander soort captcha, waarbij je bijvoorbeeld een referentie naar de eigen site moet oplossen ("wat is het derde menu item?"). Helaas ten koste van het gebruikersgemak vrees ik, en nog steeds geen oplossing tegen de "sweat shops"...

Losstaand van bovenstaand probleem een reactie op dit idee:

Kwastie schreef op donderdag 16 augustus 2007 @ 14:21:
nog een manier is:
3 plaatjes:
Klik op de auto

Dit zou wel kunnen in combinatie met google images. Gebruik de databank die door de ESP game is gehaald: daarin hebben gebruikers al tags aan plaatjes gehangen (zie zelfde video, doorspoelen naar 11:00). Dan heb je ineens erg veel keuze, en de plaatjes hoeven niet altijd dezelfde tag te hebben, wat het extra moeilijk maakt! Echter zit je weer met de bovenstaande problemen opgescheept...

[Onbekend]

Toevallig kwam ik gisteren de captcha tegen om een rekensommetje op te lossen op een phpbb-forum.
Er stond dit: 10 + 7 = ??
Ik denk niet dat dit effectief is tegen computers. Ze hoeven immers alleen de verschillende tekens uit te filteren, en als er een vraagteken staat, betekent dat er een sommetje opgelost moet worden.


Ook dacht ik nog aan een geheel andere methode dat de gebruiker op een bepaalde plaats moet klikken.

---

---

Dat er een melding staat van "Klik nu rechts van de knop "Zoek!" om te controleren dat dit geen automatische zoekactie is".

Of iets anders in de richting van "Klik nu op de tekst "TopicStarter:".


Het nadeel is weer dat dit taal afhankelijk, en website afhankelijk is.

[LauPro]

Net zoals bij virusscanners zijn dit soort technieken een constant gevecht.

Veel fora beperken hun zoekfunctie als ze daarvan teveel load krijgen. Dat is bij t.net niet het geval voor zover ik weet.

[Dr C]

[quote]netvor schreef op donderdag 16 augustus 2007 @ 13:51:
Wat je soms ziet zijn wat ik "basisschoolvragen" noem; bijvoorbeeld:

• Een rekensommetje. "Wat is drie plus zes?" of, wat lastiger, "ik heb twee appels en een peer. Hoeveel stuks fruit heb ik?"
• IQ-test-vraagjes. "Vlinder, Mug, Regenworm, Wesp: welke hoort niet in het rijtje thuis?"
• Trivia. "De hoofdstad van Zweden is..."

Wat is de hoofdstad van Amsterdam?