Recaptcha - kan iemand dat uitzetten a.u.b.?

[mrmrmr]

Die debiele Google recaptcha zijn toch niet steeds opnieuw nodig bij inloggen? Ik ben geen spammer en ik heb een al jaren bestaand account. Ik wordt daar ontzettend chagrijnig van. Kan iemand dat zsm uitzetten?



Dank u.

[maarud]

Vanaf waar log je in? Thuis? Of ergens anders? Misschien deel je het IP-adres met mensen die helaas wel spammen...

[mrmrmr]

maarud schreef op donderdag 29 maart 2018 @ 08:29:
Vanaf waar log je in? Thuis? Of ergens anders? Misschien deel je het IP-adres met mensen die helaas wel spammen...

Vanaf mijn eigen IP. Er is geen misbruik, mijn netwerk is 100% zeker niet besmet en staat achter een loggende firewall.

Google gebruikt domme methoden om te bepalen of er risico is.

[crisp]

Je hebt een Duits IP en daardoor trigger je sneller de captcha-vereiste. Maar volgens mj is het niet de bedoeling dat je die al meteen de eerste inlogpoging krijgt. Is dat wel het geval?

Edit: ik zit scheef te kijken, het is gewoon een NL IP. Ik zie wel meerdere inlogs per dag. Ik ga even checken wat de 'cooldown' tegenwoordig is voordat je de captcha krijgt.

[ Voor 33% gewijzigd door crisp op 29-03-2018 09:05 ]

[mrmrmr]

Ik heb een gewoon Nederlands IP bij een grote Nederlandse provider.

Ja, ik krijg het iedere keer bij opnieuw inloggen.

[crisp]

Als ik de code zie zou je de captcha pas moeten krijgen bij meer dan 2 inlogpogingen in korte tijd. Ik haak @ACM even aan die betrokken is geweest bij recente aanscherpingen van de inlog restricties (ivm spammers en brute-force inlogpogingen).

[ACM]

crisp schreef op donderdag 29 maart 2018 @ 09:13:
Als ik de code zie zou je de captcha pas moeten krijgen bij meer dan 2 inlogpogingen in korte tijd. Ik haak @ACM even aan die betrokken is geweest bij recente aanscherpingen van de inlog restricties (ivm spammers en brute-force inlogpogingen).

Dat klopt, maar dat betekent twee dingen:
- 2x fout inloggen vanaf jouw ip (wat wellicht onwaarschijnlijk is)
- 2x fout inloggen op jouw account (wat iemand anders dus ook kan doen)

Als je het echter _elke_ keer direct al krijgt, zijn beide scenario's wel onwaarschijnlijk. Tijdens het testen kregen wij echter steeds gewoon pas na 2x fout inloggen de captcha...

Waar log je in? En kan je uitleggen hoevaak je inlogt? (blijkbaar heel vaak, anders zou niet hier klagen). Wellicht gebruik je het systeem op een door ons onvoorziene manier, waardoor je extra gehinderd wordt

[mrmrmr]

Ik log in vanaf mijn werkstation. Ik bewaar geen cookies als ik de browser sluit, het komt regelmatig voor dat ik meer dan eens op een dag inlog.

Het gebeurt zelden dat ik verkeerd inlog en vrijwel nooit 2 x. Er zijn andere gebruikers met een nick die op die van mij lijkt, maar het is niet erg waarschijnlijk dat ze per ongeluk mijn nick gebruiken. Het wachtwoord is overigens zodanig sterk dat brute forcen gegarandeerd mislukt.

Als ik ongevraagd advies mag geven: maak het slimmer, ga bijvoorbeeld na of het een vaak geziene gelukte inlog is (koppel inlognaam en IP) en besluit op grond daarvan of er risico is en gebruik dan pas een externe check.

Technisch kun je bijvoorbeeld een SHA-2/SHA-3 hash opslaan van inlognaam en IP met een teller. Bijvoorbeeld de top 5.

[ Voor 38% gewijzigd door mrmrmr op 29-03-2018 10:25 ]

[Kees]

Ah, je gebruikt een stokoude browser, dat helpt ook niet. Dat detecteren wij ook en daarom zijn we nog strenger.

[ Voor 33% gewijzigd door Kees op 29-03-2018 10:35 ]

[ACM]

mrmrmr schreef op donderdag 29 maart 2018 @ 09:25:
Ik log in vanaf mijn werkstation. Ik bewaar geen cookies als ik de browser sluit, het komt regelmatig voor dat ik meer dan eens op een dag inlog.

Het komt zo te zien doordat jouw browser/OS met Tweakers verbindt volgens een oude wijze... Het bleek dat het overgrote deel van de login-kraak-pogingen ook met die oude wijze gebeuren en omgekeerd dat het aantal "niet robot"-bezoekers (zoals jij) een heel klein deel is van de "bezoekers" die die oude wijze gebruiken.

En daarom hebben we voor die situatie toch maar gekozen voor bescherming van profielen en daar direct al een captcha-check voor ingevoerd.

In jouw geval zou dus upgraden naar een moderner OS en/of browser werken... Maar dat moet je natuurlijk maar net kunnen en willen.

Als ik ongevraagd advies mag geven: maak het slimmer, ga bijvoorbeeld na of het een vaak geziene gelukte inlog is (koppel inlognaam en IP) en besluit op grond daarvan of er risico is en gebruik dan pas een externe check.

Technisch kun je bijvoorbeeld een SHA-2/SHA-3 hash opslaan van inlognaam en IP met een teller. Bijvoorbeeld de top 5.

De meeste mensen loggen slechts enkele keren per jaar in... Wat hier bovendien extra lastig is, is dat je de captcha al krijgt voor je uberhaupt een gebruikersnaam mag invoeren, dus dat moet dan ook helemaal anders.
Het is al met al denk ik wat teveel inspanning om voor een beperkt aantal mensen te doen.

Maar die oude-methode-check is met het resetten van wachtwoorden een stuk minder nodig geworden, dus we gaan die voorlopig even uitzetten

[ Voor 3% gewijzigd door ACM op 29-03-2018 10:36 ]

[mrmrmr]

Door die check uit te zetten werkt het wel?

Edit: ik heb het getest en het is weg. Zo houden graag!

Mijn browser is up to date, heeft nieuwe features, wordt ondersteund en wijd verspreid gebruikt door meerdere versies van opeenvolgende besturingsystemen, zelfs de laatste heeft het nog.

Het zou kunnen dat de browser met nieuwe methoden werkt, maar dat een browser versie check geen onderscheid maakt.

[ Voor 81% gewijzigd door mrmrmr op 29-03-2018 11:42 ]

[NMe]

mrmrmr schreef op donderdag 29 maart 2018 @ 11:14:
Mijn browser is up to date, heeft nieuwe features, wordt ondersteund en wijd verspreid gebruikt door meerdere versies van opeenvolgende besturingsystemen, zelfs de laatste heeft het nog.

Windows 10 heeft inderdaad nog IE11 maar dat is meer vanwege de vele websites in vooral de zorg- en bankensector die alleen op IE werken. Intussen is de meest recente versie van IE11 2 jaar en 2 maanden oud en lang en breed vervangen door Edge, welke niet voor niks is begonnen met tellen bij versie 12.

Edit: ik heb het getest en het is weg. Zo houden graag!

Ik zou er niet op rekenen dat de beveiliging van alle accounts op Tweakers permanent beperkt wordt omdat er een gebruiker is die een 9 jaar oud OS gebruikt en een browser die al 2 jaar geen updates heeft gezien en die daarnaast ook nog eens na elke browsersessie zijn cookies weggooit. Die twee dingen stroken namelijk bepaald niet met elkaar: zo veel om je privacy geven dat je je cookies al niet bewaart op je eigen pc maar tegelijkertijd een browser gebruiken die al sinds januari 2016 geen beveiligingsupdates heeft gehad is op zijn zachtst gezegd raar te noemen.

[Zebby]

De uitzonderingen kosten altijd de meeste moeite/geld : )
Er zijn in deze tijd voldoende moderne browsers die privacy als #1 hebben, ik stel voor te migreren naar een van deze concurrenten.

[Sissors]

NMe schreef op donderdag 29 maart 2018 @ 18:23:
[...]

Windows 10 heeft inderdaad nog IE11 maar dat is meer vanwege de vele websites in vooral de zorg- en bankensector die alleen op IE werken. Intussen is de meest recente versie van IE11 2 jaar en 2 maanden oud en lang en breed vervangen door Edge, welke niet voor niks is begonnen met tellen bij versie 12.


[...]

Ik zou er niet op rekenen dat de beveiliging van alle accounts op Tweakers permanent beperkt wordt omdat er een gebruiker is die een 9 jaar oud OS gebruikt en een browser die al 2 jaar geen updates heeft gezien en die daarnaast ook nog eens na elke browsersessie zijn cookies weggooit. Die twee dingen stroken namelijk bepaald niet met elkaar: zo veel om je privacy geven dat je je cookies al niet bewaart op je eigen pc maar tegelijkertijd een browser gebruiken die al sinds januari 2016 geen beveiligingsupdates heeft gehad is op zijn zachtst gezegd raar te noemen.

Correct me if wrong, maar IE11 heeft toch gewoon recent nog beveiligingsupdates gehad? Zie: https://support.microsoft...ate-for-internet-explorer

[ACM]

mrmrmr schreef op donderdag 29 maart 2018 @ 11:14:
Mijn browser is up to date, heeft nieuwe features, wordt ondersteund en wijd verspreid gebruikt door meerdere versies van opeenvolgende besturingsystemen, zelfs de laatste heeft het nog.

Het zou kunnen dat de browser met nieuwe methoden werkt, maar dat een browser versie check geen onderscheid maakt.

In het geval van IE11 (en daarvoor 10, 9, 8...) hangen een deel van de browser features af van de windows-versie. Zo was/is er onderscheid in welke aspecten van SSL/TLS-varianten werden ondersteund en geldt nu in ieder geval nog dat bijvoorbeeld HTTP/2 alleen vanaf windows 10 in IE11 beschikbaar is.

Anders gezegd, bij IE geldt niet dat als je de nieuwste versie hebt, dat je dan ook gegarandeerd de nieuwste (beveiligings)functies hebt

[mrmrmr]

@ACM
IE11 is in 2015 voorzien van nieuwe functionaliteit voor Windows 7,8.x,10 en server versies en het ontvangt security patches, inclusief patches voor onveilige crypto. Het ondersteunt o.a. HTML5 (natuurlijk volgens de Microsoft methode). En ze worden nog jaren ondersteund.

HTTP 2 is wel erg nieuw om nu al te besluiten HTTP 1.1 maar bij het grof vuil te zetten. Ik snap dat je bij wilt blijven enzo en extra veiligheid is zeker ook nooit weg, maar er is nog een enorme installed base en die blijft voorlopig wel even.

Weet je wel zeker dat de inlogmethode niet werkt? Ik weet niet wat je doet precies. Als je het toepassen van een methode af laat hangen van een slechte ondersteuningscheck (er zijn meer slechte checks in omloop dan goede), bijvoorbeeld heel grof op een bepaalde hoofdversie of een externe check (data graaiers: vies, bah) die geblockt wordt, dan is de kans aanwezig dat het wel werkt, maar dat de check die je uitvoert het niet doet.

Ik gebruik diverse browsers voor diverse taken, die niet gemixt kunnen worden. Een OS update (als dat iets zou oplossen) is ook geen optie wegens dev werkstation.

Hoe dan ook, wat mij hier echt interesseert is dat er geen hoepeltjes worden ingesteld om doorheen te springen, daar heb ik (excusez les mots) echt een enorme schijthekel aan. Als mens ben ik geen trekpop die je ongestraft kunstjes kunt laten doen. Voor domme tijdrovende en irritante taken heb ik een computer. Die heeft (nog) geen gevoel. Ik mep terug als je me lang genoeg treitert.

@NMe
IE11 zit in Windows 7, 8, 8.1 en 10. Edge is wel default in 10. IE11 wordt wijd gebruikt en het wordt elke maand geupdate en de versienummers zijn geen constanten. Het OS heeft er weinig mee te maken. Het is een ondersteund OS en wordt door velen gebruikt, ongetwijfeld ook door veel Tweakers bezoekers. Terecht, de overige besturingsystemen zijn rommel en voorzien van steeds meer datagraaierij. Je kunt wel raden dat in mijn volgende OS (zodra dat eindelijk kan) geen woordje "Windows" voorkomt. En een andere browser komt niet af van een datagraaier. Zelfs aan Firefox moet je ook flink sleutelen om alle calls home uit te schakelen. Maar goed, dit is sowieso niet de oplossing.

Het gaat hier om het instellen van een "beschermingsmaatregel" (Recaptcha) die in feite een pesterij is. Er is geen sprake van het downgraden van inlogbeveiliging, je blijft de best beschikbare inlogmethode kiezen per gebruiker. Het zijn twee verschillende issues met twee verschillende oplossingen.

Bij Recaptcha gebruik bij inloggen -wat pas een week of zo aanstaat- gaat het met name over beveiliging tegen DDoS en wachtwoord raden (dictionary/brute forcing) van een bestaand account. Zelfs met Recaptcha (wat ik niet aanraad), kun je daar veel slimmer mee opgaan. Je hoeft niet meteen al een Recaptcha te tonen voordat je inlogt. Dat was wat er gebeurde. Je kunt dat bijvoorbeeld doen na enkele foute inlogpogingen. Of je stelt server side een wachttijd in.
Je kunt controleren of je een gebruiker met een browser hebt of een bot die bijvoorbeeld niet eens javascript of HTML5 begrijpt.

Anti-spam maatregelen moeten zodanig worden gekozen dat je niet het kind met het badwater weggooid - altijd. Het is niet voor niets dat slechte anti-spam methoden zoals Bayes (in email spam filters) waarbij false positives een statistische garantie zijn, worden gecombineerd met andere ongerelateerde methoden om de zekerheid te vergroten. Je kunt dus vele factoren controleren om te zien of je te maken hebt met een aanvaller of met een legitieme gebruiker. Dat geeft een grote mate van zekerheid.

Stuur me maar een PM als je hier meer over verder wilt weten.

[NMe]

mrmrmr schreef op zaterdag 31 maart 2018 @ 03:00:
Anti-spam maatregelen moeten zodanig worden gekozen dat je niet het kind met het badwater weggooid - altijd.

Jij gebruikt een oude browser die op een achterhaalde manier met websites praat maar daar is niks mis mee en websites moeten maar tot het einde der dagen rekening houden met die achterhaalde browser? Die maatregel beschermt alle gebruikers en hoe zeer je ook het probleem elders wil zoeken dan bij je eigen keuze, dat doet er niets aan af dat je het hele probleem niet zou hebben gehad als je een up to date browser had gebruikt. Dat je daarnaast ook je sessie niet bewaart maakt het vervolgens vervelender voor je.

Je hebt hier een combinatie van twee edge cases en slechts één van die twee dingen aanpassen zou genoeg zijn om permanent geen gezeur te hebben - op Tweaker én elders: ofwel je browser updaten naar iets dat nieuwer is dan twee jaar oud ofwel je sessie bewaren zodat je niet meerdere keren per dag hoeft in te loggen.

De beveiliging van álle accounts terugschroeven vanwege één gebruiker met een zeldzame edge case, dat is pas het kind met het badwater weggooien.

[Compizfox]

@mrmrmr Ik ben het in principe met je eens dat de CAPTCHA beter na een foute inlogpoging getoond zou kunnen worden. Verder heb ik zelf ook een hekel aan de nieuwe ReCaptcha, omdat het je veel te veel irritante puzzeltjes laat oplossen. (ik heb third-party cookies uitstaan zodat Google me niet op andere sites kan tracken, waardoor ik die ReCaptcha altijd krijg).

Maar ik wil wel graag even reageren op een aantal vreemde opvattingen:

mrmrmr schreef op zaterdag 31 maart 2018 @ 03:00:
@ACM
IE11 is in 2015 voorzien van nieuwe functionaliteit voor Windows 7,8.x,10 en server versies en het ontvangt security patches, inclusief patches voor onveilige crypto. Het ondersteunt o.a. HTML5 (natuurlijk volgens de Microsoft methode). En ze worden nog jaren ondersteund.

Moah, IE11 ondersteunt in principe HTML5, maar wel heel magertjes. Een hoop features zijn niet beschikbaar.

Terecht, de overige besturingsystemen zijn rommel en voorzien van steeds meer datagraaierij. Je kunt wel raden dat in mijn volgende OS (zodra dat eindelijk kan) geen woordje "Windows" voorkomt. En een andere browser komt niet af van een datagraaier. Zelfs aan Firefox moet je ook flink sleutelen om alle calls home uit te schakelen. Maar goed, dit is sowieso niet de oplossing.

OK, goed dat je je bewust bent van privacyrisico's, maar ik vind het dan erg vreemd dat je dan bewust IE in plaats van Firefox gebruikt. Ik ken geen (grote) browser die beter is voor je privacy dan Firefox; alleen het feit al dat het vrije software is maakt dat het in dit opzicht automatisch wint van IE (of Chrome).

Anti-spam maatregelen moeten zodanig worden gekozen dat je niet het kind met het badwater weggooid - altijd. Het is niet voor niets dat slechte anti-spam methoden zoals Bayes (in email spam filters) waarbij false positives een statistische garantie zijn, worden gecombineerd met andere ongerelateerde methoden om de zekerheid te vergroten. Je kunt dus vele factoren controleren om te zien of je te maken hebt met een aanvaller of met een legitieme gebruiker. Dat geeft een grote mate van zekerheid.

Wut, Bayesiaanse filtering is een "slechte anti-spam methode"? Je weet dat vrijwel alle moderne spamfilters op dit principe berust zijn? Bovendien heeft de methode niets te maken met het probleem dat je hier noemt; ook zonder Bayesiaanse filtering heb je false positives. False positives en negatives zijn inherent een statistische garantie bij spamfiltering, ongeacht op welke manier je het doet. De kunst is natuurlijk wel om het spamfilter niet te strak af te stellen, om false positives zoveel mogelijk te voorkomen.

[mrmrmr]

@NMe
IE 11 is niet achterhaald. Dat er zijn veel gebruikers zijn is een feit. Veel gebruikers = geen edge. Als je denkt dat er wel een edge case om een andere reden, is er waarschijnlijk iets aan de hand wat ergens aanpasbaar is en dus direct oplosbaar.

Vergelijk met dit fictief probleem: stel je test SSL terwijl TLS 1.2 beschikbaar is en SSL uit staat. In zo'n geval moet je niet afhaken na een falende SSL test, maar met TLS verder gaan.

Er wordt geen beveiliging teruggeschroeft. Er zijn betere en intelligentere oplossingen beschikbaar voor DDoS/kraak bescherming. Die zorgen juist in de breedte voor betere bescherming.

Ik heb een aantal oplossingen aangedragen en ik hoop dat iemand daar iets mee doet. Ik snap dat IE niet de droombrowser van een ontwikkelaar is en dat je fel anti bent. Je kunt de BofH methode gebruiken om gebruikers van een veel gebruikte browser op andere gedachten te brengen, maar dan krijg je boze gebruikers.

[mrmrmr]

Compizfox schreef op zaterdag 31 maart 2018 @ 03:27:
@mrmrmr Ik ben het in principe met je eens dat de CAPTCHA beter na een foute inlogpoging getoond zou kunnen worden. Verder heb ik zelf ook een hekel aan de nieuwe ReCaptcha, omdat het je veel te veel irritante puzzeltjes laat oplossen. (ik heb third-party cookies uitstaan zodat Google me niet op andere sites kan tracken, waardoor ik die ReCaptcha altijd krijg).

Dank, dat vind ik ook. Mijn methode is o.a. filtering van crap domeinen en cookies weggooien. In principe kunnen alle cookies als tracking cookies worden gebruikt. Ook zonder cookies: veel sites gebruiken Google scripts vanaf Google servers voor bepaalde functies. Of Google Analytics. Of icoontjes van Facebook en Twitter. Allemaal mooi voor de developers, webmasters en de marketing dept., maar niet zo mooi voor de privacy van de gebruiker. De bekende discussie, ik wil hem niet opnieuw starten.

Maar ik wil wel graag even reageren op een aantal vreemde opvattingen:

Moah, IE11 ondersteunt in principe HTML5, maar wel heel magertjes. Een hoop features zijn niet beschikbaar.

Klopt, maar ik schreef al: het komt uit Redmond en daar hebben ze een eigen "smaak". Niet fijn natuurlijk.

OK, goed dat je je bewust bent van privacyrisico's, maar ik vind het dan erg vreemd dat je dan bewust IE in plaats van Firefox gebruikt. Ik ken geen (grote) browser die beter is voor je privacy dan Firefox; alleen het feit al dat het vrije software is maakt dat het in dit opzicht automatisch wint van IE (of Chrome).

Ik gebruik meerdere browsers en die zijn verschillend ingericht voor specifieke taken. Zoals ik schreef, zelfs Firefox is niet goed voor je privacy vanwege de vele home calls. Je moet flink aan de slag om die allemaal uit te zetten. Niet geschikt voor eindgebruikers. Het is een wijd verbreide doorvertelde mening ook onder beheerders en zelfs hier een daar wat security specialisten dat Firefox goed is voor privacy. Aan de ene kant klopt dat (zelfs Tor gebruikt het in flink aangepaste vorm), maar bij een default install is dat niet zo, ook niet als je de beperkte GUI gebruikt om een paar dingen uit te zetten. Dat was wat ik zei. Ik zei niet dat slechter is dan IE of iets dergelijks. Ik gebruik ze allebei voor verschillende niet-compatible doeleinden. Dat heeft met mijn werk te maken.

Wut, Bayesiaanse filtering is een "slechte anti-spam methode"? Je weet dat vrijwel alle moderne spamfilters op dit principe berust zijn? Bovendien heeft de methode niets te maken met het probleem dat je hier noemt; ook zonder Bayesiaanse filtering heb je false positives. False positives en negatives zijn inherent een statistische garantie bij spamfiltering, ongeacht op welke manier je het doet. De kunst is natuurlijk wel om het spamfilter niet te strak af te stellen, om false positives zoveel mogelijk te voorkomen.

Zoals ik schreef, Bayes is een methode die per definitie statistisch onbetrouwbaar is, dat is zelfs de premisse van de methode. Daar kan geen discussie over zijn, het is een feit. By design zijn er behoorlijk wat false positives bij Bayes alleen, en veel minder bij de scoring methode. Van Bayes heb je minder goede en goede implementaties en varianten. Scoring is een manier om meerdere meerdere detectie-elementen te combineren en zo tot meer zekerheid te komen, dàt was het punt dat ik maakte.

Overigens is onafhankelijke scoring niet de beste antispam methode. Het is in feite dom, want het is een onafhankelijke optelling van kenmerkscores, zonder te kijken wat die kenmerken zijn, zoals een mens zou doen. Er zijn tegenwoordig veel betere methoden van spam detectie met vrijwel geen false positives. False positives zijn niet erg handig in email, dan moet je als gebruiker alsnog je spam folder controleren of die mail wordt al tegengehouden op de scanner. De tijd dat je nog weg kon komen met een slecht functionerende spam filter ligt al een tijdje achter ons. Er zijn natuurlijk nog wel gratis mail providers en providers die SpamAssassin installeren en er verder niet naar omkijken, maar het is een ander verhaal in bedrijven. Je kunt je niet veroorloven mail te missen van een grote (potentiele) klant. Een goede spam filter betaalt zich terug.

Maar goed, waar het mij om ging was dat je met intelligente detectie via een combinatie van kenmerken verder komt dan met methoden die de gebruiker het werk laten doen en ze en passant irriteert. Dat geldt ook voor bijvoorbeeld "wasstraten" van DDoS aanvallen. Dat kun je op de goede en de verkeerde manier doen. Een groot anti-DDoS bedrijf uit de VS doet het (deels) op de verkeerde manier.

Er zijn ook spam "filters" die op elk bericht een mail naar de verzender sturen en vragen om op een link te klikken om te bevestigen. Dus ook naar alle valse afzenderadressen (envelope from of From header) die de spammer gebruikt. Iemand met zo'n filter vraagt dus aan derden en kennissen of ze alsjeblieft als spam filter willen dienen.

[ACM]

@mrmrmr Je hebt hele verhalen geschreven met hints dat het allemaal beter kan... maar bedenk wel dat wij slechts een eindige voorraad tijd en kennis tot onze beschikking hebben. En bovendien dit soort dingen tijdens een aanval zullen (moeten) doen.

Je kan klagen over die captcha, maar het werkte wel. In dit concrete voorbeeld was bijvoorbeeld 'na 1 foute inlogpoging' ook al niet goed, want de kans was juist erg groot dat er direct al een goede login werd gedaan. Op ip limieteren werkte niet voldoende goed omdat de brute-forcer heel veel losse ip's gebruikte... dus nog steeds een grote kans had om niet geblokkeerd te worden.

Verder was Recaptcha niet nieuw, dat gebruiken we al jaren bij de login-pagina. We konden daardoor heel eenvoudig tijdens die brute-force aanval de grenzen voor het verschijnen van de captcha aanpassen en ons zo ineens tegen die aanval beschermen.

Helaas bleek door het grote aantal one-hits dat pas na de eerste foute poging de captcha tonen niet voldoende was, dus zijn we naar herkenningspunten gaan kijken die zelfs vooraf al een captcha konden geven zonder dat we enige kennis van de bezoeker hadden. We hebben uiteraard gezocht naar herkenningspunten die naast eenvoudig in te bouwen ook een grote kans op true-positives gaven met een kleine op false-positives.

Je kan ranten op het feit dat dat een slechte beveiligingscheck is, maar het werkte wel en was een kwestie van een paar uur sleutelen. Allerlei complexe zaken met bijhouden en herkennen van betrouwbare ip's vs niet-betrouwbare, 2-factor authentication, etc, dat zijn zaken die we niet zomaar even tussendoor kunnen toevoegen. Bovendien is de kans groot dat dat veel meer impact heeft op de gebruikerservaring dan een paar eenvoudige maatregelen.

En dan terugkerend op die "slechte check", hij werkte wel... dus vanuit ons beoogde doel was ie helemaal niet slecht Het is helaas wel zo dat ie niet 0 false-positives had.

Voor de toekomst; aangezien we niet kunnen voorspellen op wat voor manier we in de toekomst aangevallen gaan worden (het is zelfs niet altijd op de logins gericht), zullen we ook bij toekomstige aanvallen vooral grijpen naar eenvoudige - snel te implementeren - oplossingen zodat we de aanval zsm kunnen afslaan. En helaas zal dat vrijwel altijd gepaard gaan met enkele false-positives

Daarbij zal ook gelden dat hoe meer iemand "lijkt" op zo'n aanvaller, hoe groter de kans op false-positives is

[Hero of Time]

mrmrmr schreef op zaterdag 31 maart 2018 @ 04:26:
Vergelijk met dit fictief probleem: stel je test SSL terwijl TLS 1.2 beschikbaar is en SSL uit staat. In zo'n geval moet je niet afhaken na een falende SSL test, maar met TLS verder gaan.

Als een programma eerst met lagere encryptiemethodes gaat proberen te verbinden en pas bij een fout naar een hoger niveau gaat, is het een onveilige, enorm slecht geschreven applicatie. Daar is geen enkele discussie over mogelijk.

IE11 zit in Windows 7, 8, 8.1 en 10. Edge is wel default in 10. IE11 wordt wijd gebruikt en het wordt elke maand geupdate en de versienummers zijn geen constanten. Het OS heeft er weinig mee te maken. Het is een ondersteund OS en wordt door velen gebruikt, ongetwijfeld ook door veel Tweakers bezoekers.

Windows krijgt elke maand updates ja, maar IE zelf echt niet. En het percentage gebruikers dat daadwerkelijk IE gebruikt valt in het niets vergeleken met het gebruik van FF en Chrome.

Functioneel gezien komt IE11 uit 2013. De engine zelf is dus al zo'n 4,5 jaar oud. Dat is antiek in softwareland. De enige reden dat er in 2015 wat functioneel is verandert, is omdat toen Windows 10 uit kwam. En die functionele veranderingen zijn alleen beschikbaar in W10. Om ze naar Windows 7 te brengen, het OS wat jij gebruikt, is veel te ingrijpend om te doen en sloopt in feite het OS zelf, zo verweven zit het in het OS.

Dus, feitelijk zit je met een browser van 4 jaar oud te werken. Je hebt dan alles aangepast naar je eigen wens, maar heb je zelf ook maar nagedacht om voor Tweakers een uitzondering te maken in je verwijderwoede? Ben je ook van al dit geneuzel af. Want kijk maar eens op https://tweakers.net/my.tnet/sessions/ hoeveel sessies je nog hebt. Als je elke keer bij het afsluiten van je browser cookies weggooit en meerdere keren per dag Tweakers bezoekt, waarbij je dus weer je browser start en moet inloggen, zal je ondertussen over de 100 sessies moeten zitten. Zo vaak heb je dus opnieuw moeten aanmelden, terwijl dat helemaal niet nodig was geweest als je zelf maar 1 instelling verandert in je browser. Dan hoeven de ontwikkelaars hier niet uren of dagen aan het werk om een probleem, wat niet eens een probleem is maar een vervelende situatie wat een gebruiker helemaal zelf heeft veroorzaakt op te lossen.

[mrmrmr]

Ik reageerde inhoudelijk op de rant van iemand met een rode nick die iets teveel een persoonlijke aanval doet zonder echte onderbouwing met feiten en niet de indruk maakt het probleem op te willen lossen anders dan dat ik dat maar zelf moet doen. Dat valt me tegen. Ja, ik was fel en -laten we zeggen- geirriteerd door die Recaptcha's, maar ik reageer met onderbouwing en -voor zover het mogelijk is omdat er geen detailinformatie is gegeven- met mogelijke oplossingen.

100% detectiegarantie:

virusscan.bat
echo Scan loopt...
echo pause
echo Virus gevonden!

Een aloude antivirus grap onder antivirus researchers. Detectie is niet het probleem, false positives zijn het probleem dat je oplost. De waarde zit in accuratesse.

Ik snap dat je snel dingen wilt kunnen doen bij een aanval, maar dit altijd gebruiken is niet een fijne methode, je jaagt gebruikers tegen je in het harnas. Het is op te lossen op een betere manier, vooraf, zonder dat je je zorgen hoeft te maken over snel ingrijpen. Het kan altijd nog op de plank blijven liggen voor noodgevallen. Het verbetert ook nog eens de weerbaarheid. Misschien weet je zo snel niet hoe en lijkt het je tijdrovend: ik heb al een paar tips gegeven in de richting waarin je het kunt zoeken. Er zijn mensen in Nederland met veel kennis van zaken op het gebied van anti-DDoS maatregelen, misschien hebben die al een oplossing. Zoek eens op wasstraat DDoS.

Tweakers is de enige site met deze werkwijze waar ik tegenaan ben gelopen. Ik vermoed dat er nog meer tweakers zijn met hetzelfde probleem, gezien de plusjes.

[mrmrmr]

@Hero of Time

Als een programma eerst met lagere encryptiemethodes gaat proberen te verbinden en pas bij een fout naar een hoger niveau gaat, is het een onveilige, enorm slecht geschreven applicatie. Daar is geen enkele discussie over mogelijk.

Mijn browser ondersteunt met opzet geen SSL, wel TLS 1.2, de huidige standaard. Het gaat over server side check en het dient uitsluitend als fictief voorbeeld omdat niet duidelijk is wat het probleem technisch nu precies is. Vergelijkbare simpele logische problemen zijn vaak oplosbaar.

Vroeger deden browsers eerst een plain text authenticatie (in de HTTP tijd) en pas daarna een digest. Omgekeerde volgorde dus: dat was een slechte methode.

Het vergt tegenwoordig best wat moeite en inzicht/kennis om een server juist te configureren voor optimale veiligheid.

Windows krijgt elke maand updates ja, maar IE zelf echt niet.

Dat is onjuist, wat ik schreef klopt. Te controleren op de Windows security site en Update Catalog.

En het percentage gebruikers dat daadwerkelijk IE gebruikt valt in het niets vergeleken met het gebruik van FF en Chrome.

Volgens Statcounter wereldwijd heeft IE 3,1%, FF ongeveer 5,5%, Opera 3,7%, Edge ongeveer 1,9%. De meeste desktop browsers behalve bv. Chrome en Safari zitten (ver) onder 6% aandeel.

Als je een count kunt maken op User Agents op Tweakers ter onderbouwing?

Functioneel gezien komt IE11 uit 2013. De engine zelf is dus al zo'n 4,5 jaar oud.

2015 is de laatste grote functionele update volgens Microsoft zelf.

En die functionele veranderingen zijn alleen beschikbaar in W10.

Nee, klopt niet. Windows 7, 8.x en de daaraan verbonden server versies hebben de update gekregen. Windows 10 heeft nog iets extra's gekregen.

Dan hoeven de ontwikkelaars hier niet uren of dagen aan het werk om een probleem, wat niet eens een probleem is maar een vervelende situatie wat een gebruiker helemaal zelf heeft veroorzaakt op te lossen.

Dat is een bijzondere opvatting en enigszins verwijderd van de realiteit. Ik denk niet dat je zo kunt beweren dat ik het probleem veroorzaak, dat is niet zo.

De keuze is vaak tussen privacy en gemak. Als je profieltjes wil laten bouwen, o.a. door bedrijven die meer van je weten dan je eigen moeder, moet je cookies bewaren, wil je dat liever niet, gooi je ze weg. En dan neem je nog meer maatregelen.

Maar nu stop ik met reacties hier, ik heb het meeste al een keer gezegd. Inhoudelijke en oplossingsgerichte blijven welkom in een PM. Ik blijf bereid mee te werken om tot een wederzijdse aanvaardbare oplossing te komen.

[Beunhaas91]

Man man man, wat een firstworld problemen heb je toch, zeg. Het is maar net waar je je druk om kunt maken.

Je topicstart geef je gelijk een negatieve lading mee, er wordt netjes op gereageerd door de crew en alsnog is het niet goed.

Feit is gewoon, je gebruikt een oude, achterhaalde browser. Het grappige is, de website functioneert prima, je hebt alleen wat extra handelingen die je uit moet voeren. Wil je dat niet, dan installeer je lekker Google Chrome of Mozilla Firefox.

Een beetje zeiken om het zeiken is het nu...

[Hero of Time]

mrmrmr schreef op zaterdag 31 maart 2018 @ 11:57:
[...]

Dat is onjuist, wat ik schreef klopt. Te controleren op de Windows security site en Update Catalog.

Ik heb vorig jaar meerdere keren updates op Windows systemen uitgevoerd waar geen IE updates bij zaten. Dat een update voor het OS zelf heel toevallig ook van toepassing kan zijn voor IE is puur en alleen omdat het zo in het OS zit verweven dat je er niet aan ontkomt.

[...]

Volgens Statcounter wereldwijd heeft IE 3,1%, FF ongeveer 5,5%, Opera 3,7%, Edge ongeveer 1,9%. De meeste desktop browsers behalve bv. Chrome en Safari zitten (ver) onder 6% aandeel.

Wat er wereldwijd gebruikt wordt boeit niet. Het gaat hier over welke browsers tweakers.net bezoekt. Dat je moeder en buurvrouw elke site bezoeken met IE omdat ze niet beter weten dan die grote blauwe E is niet boeiend als ze niet verder komen dan de website van de lokale breiclub.

Als je een count kunt maken op User Agents op Tweakers ter onderbouwing?

Er is een artikel van op Tweakers, maar die kan ik even niet zo snel vinden. Het toont wel aan dat maar een heel klein percentage met IE de site bezoekt vergeleken met de andere twee grootheden.

[...]

2015 is de laatste grote functionele update volgens Microsoft zelf.

Voor W10 dus.

[...]

Nee, klopt niet. Windows 7, 8.x en de daaraan verbonden server versies hebben de update gekregen. Windows 10 heeft nog iets extra's gekregen.

Minimaal. Je krijgt nog steeds verschillen tussen de drie Windows versies als je puur functioneel gaat kijken en daar komt uit dat W7 toch wel het minst functioneel is omdat het gewoon op een veroudert OS draait.

[...]

Dat is een bijzondere opvatting en enigszins verwijderd van de realiteit. Ik denk niet dat je zo kunt beweren dat ik het probleem veroorzaak, dat is niet zo.

Je hebt zelf niet eens door hoe ver jij van de realiteit bent verwijdert. De hele beveiliging en werking van het inloggen moet maar aangepast worden, omdat jij te lui bent om cookies voor Tweakers te bewaren. Juist omdat je cookies verwijdert moet je meerdere keren per dag opnieuw inloggen. En dát is juist hetgeen van de recaptcha die je krijgt veroorzaakt. Dat 'verdachte' gedrag icm het gebruik van een toch wel antieke browser is precies de reden van jouw probleem.

De keuze is vaak tussen privacy en gemak.

Jij kiest dus voor het eerste en zit met het ongemak wat dat veroorzaakt. Neem dat dan voor lief ipv te komen klagen. Er is uitgelegd waarom je telkens die captcha krijgt. Kies je voor iets meer gemak, dan is het probleem opgelost.

Maar nu stop ik met reacties hier, ik heb het meeste al een keer gezegd. Inhoudelijke en oplossingsgerichte blijven welkom in een PM. Ik blijf bereid mee te werken om tot een wederzijdse aanvaardbare oplossing te komen.

Jij ziet maar 1 oplossing en dat is dat jij niets hoeft te doen en Tweakers zich maar moet aanpassen aan jou. Zo werkt de wereld niet. Prima dat je niet mee reageert, dan hoeft er ook niets aangepast te worden.

[Compizfox]

mrmrmr schreef op zaterdag 31 maart 2018 @ 05:17:
Ik gebruik meerdere browsers en die zijn verschillend ingericht voor specifieke taken. Zoals ik schreef, zelfs Firefox is niet goed voor je privacy vanwege de vele home calls. Je moet flink aan de slag om die allemaal uit te zetten. Niet geschikt voor eindgebruikers. Het is een wijd verbreide doorvertelde mening ook onder beheerders en zelfs hier een daar wat security specialisten dat Firefox goed is voor privacy. Aan de ene kant klopt dat (zelfs Tor gebruikt het in flink aangepaste vorm), maar bij een default install is dat niet zo, ook niet als je de beperkte GUI gebruikt om een paar dingen uit te zetten.

Heb je daar ook een bron/meer info over?

Het enige wat ik zo kan bedenken wat jij bedoelt is telemetry, maar dat bevat alleen anonieme statistieken, en is bovendien opt-in (het staat niet by default aan). Zie ook https://wiki.mozilla.org/Telemetry/FAQ

[...]
Zoals ik schreef, Bayes is een methode die per definitie statistisch onbetrouwbaar is, dat is zelfs de premisse van de methode. Daar kan geen discussie over zijn, het is een feit. By design zijn er behoorlijk wat false positives bij Bayes alleen, en veel minder bij de scoring methode. Van Bayes heb je minder goede en goede implementaties en varianten. Scoring is een manier om meerdere meerdere detectie-elementen te combineren en zo tot meer zekerheid te komen, dàt was het punt dat ik maakte.

Definieer "statistisch onbetrouwbaar"?

Mijn punt is dat je proces (spam detecteren) per definitie een kwestie van statistiek is. Ook als je geen Bayesiaanse filtering gebruikt maar alleen beslissingen maakt op basis van headers e.d., zul je false positives hebben. Wat je balans is tussen false positives / false negatives wordt meer bepaald door hoe 'strak' je het filter zet (d.w.z. de score threshold waaronder een bericht als spam wordt gemarkeerd), dan door welke methode je gebruikt om die score te bepalen.

[NMe]

mrmrmr schreef op zaterdag 31 maart 2018 @ 10:40:
Een aloude antivirus grap onder antivirus researchers. Detectie is niet het probleem, false positives zijn het probleem dat je oplost. De waarde zit in accuratesse.

...

False positives op IE. Weet je hoe weinig IE-gebruikers er in de doelgroep van Tweakers zaten toen IE nog daadwerkelijk relevant was? Weet je hoeveel er daar nog van over zijn nu er al 3 (!!) major versions van Edge achteraan gekomen zijn? En weet je hoe klein het percentage van die IE-gebruikers is dat daarnaast ook nog eens zijn sessies weggooit bij het sluiten van zijn browser?

Weet je hoe we false positives verkleinen? Als je het jezelf niet zo moeilijk maakt en een moderne browser gaat gebruiken in plaats van een bejaarde implementatie van Trident. Die "calls home" waar je Firefox van beticht zitten ook in IE en daar kun je ze, unlike Firefox, niet eens uitzetten.

[ Voor 6% gewijzigd door NMe op 31-03-2018 13:58 ]

[ACM]

Even voor de duidelijkheid; de extra-strenge captcha regels staan alweer een tijdje uit.

Het is overigens zeer waarschijnlijk dat we zo'n soort maatregel opnieuw toepassen als er weer een of andere aanval komt. Het is tenslotte een eenvoudig in te zetten en erg effectieve oplossing, met een beperkt aantal false-positives. Bovendien zorgt deze aanpak zelfs als er toch een false-positive is, alsnog dat de login-mogelijkheid behouden blijft.

Voor wat betreft IE11 ondersteuning. Microsoft support dat inderdaad nog, maar beschrijft het wel zo:

quote: https://www.microsoft.com...usiness/end-of-ie-support

Beginning January 12, 2016, only the most current version of Internet Explorer available for a supported operating system will receive technical supports and security updates. Internet Explorer 11 is the last version of Internet Explorer, and will continue to receive security updates, compatibility fixes, and technical support on Windows 7, Windows 8.1, and Windows 10.

Wat in de praktijk zal betekenen dat je weinig meer mag verwachten dan de benoemde security fixes en dat het dus effectief sinds 2015 stilligt.
Aangezien een deel van de features van het OS afligt, zoals HTTP/2 (en wellicht TLS1.3?) zullen daarbij de oudere OS-versies nog extra snel achter gaan lopen.

Over de bezoekersaantallen met IE11 zie ik hier allerlei uiteenlopende suggesties. Van de 42k pageviews in de afgelopen 5 minuten zijn er zo'n 1000 met IE, of daar nog weer robots tussenzitten kan ik niet zien. Zo'n 600 daarvan zouden net als de topicstarter de captcha hebben gekregen (als ze wilden inloggen natuurlijk).

Kortom, zo'n 2,3% van de totale pageviews is IE11 en zo'n 1,5% van de pageviews is gedaan door bezoekers met browsers die in die false-positive groep vielen.

Doordeweeks kunnen dit soort cijfers wel wat hoger liggen.

[Xander]

mrmrmr schreef op zaterdag 31 maart 2018 @ 10:40:

Tweakers is de enige site met deze werkwijze waar ik tegenaan ben gelopen. Ik vermoed dat er nog meer tweakers zijn met hetzelfde probleem, gezien de plusjes.

Kijk voor de grap eens welke reacties in dit topic de meeste plusjes krijgen.

[Blokker_1999]

Hero of Time schreef op zaterdag 31 maart 2018 @ 12:19:
[...]


Er is een artikel van op Tweakers, maar die kan ik even niet zo snel vinden. Het toont wel aan dat maar een heel klein percentage met IE de site bezoekt vergeleken met de andere twee grootheden.

Kan je o.a. terugvinden in de nieuwjaarspost. In 2017 was het aandeel van IE op alle ondersteunde platformen nog 5.5% tegenover 4.5% voor Edge. Al vermoed ik dat Edge dit jaar IE wel zal inhalen.

Als we natuurlijk naar de situatie van mrmrmr zelf zouden gaan kijken kom je natuurlijk uit op een aantal bezoekers dat verwaarloosbaar klein is, en dan is het inderdaad ook maar normaal dat men de beveiliging niet gaat verzwakken omdat er 1 of enkele gebruikers last van hebben.

[kevinr1]

mrmrmr schreef op donderdag 29 maart 2018 @ 08:37:
[...]


Vanaf mijn eigen IP. Er is geen misbruik, mijn netwerk is 100% zeker niet besmet en staat achter een loggende firewall.

Google gebruikt domme methoden om te bepalen of er risico is.

Ik merk veel frustratie. Je hebt al een loggende firewall, toont wel aan dat er wat IT kennis in je zit.
Zo kan je dit toch ook wel oplossen

Recaptcha solver?

[Walance]

Die ReCaptha is veel minder irritant als je gewoon even je muis op de checkbox houdt na het klikken, dan wordt die meteen groen en hoef je al die puzzels niet te doen, dat scheelt ook een hoop irritaties... Tenzij die functionaliteit ook al niet werkt in IE11?

[Compizfox]

Walance schreef op zondag 1 april 2018 @ 10:28:
Die ReCaptha is veel minder irritant als je gewoon even je muis op de checkbox houdt na het klikken, dan wordt die meteen groen en hoef je al die puzzels niet te doen, dat scheelt ook een hoop irritaties...

Dat gebeurt alleen als je Google je laat tracken. Als je bijvoorbeeld third-party cookies uitgezet hebt, kan Google dat niet, en moet je altijd die puzzels doen. Het vervelende is dat ReCaptcha je er meestal heel veel laat doen het het veel meer tijd kost dan een normale CAPTCHA.

[evilution]

Ik kom regelmatig niet door een ReCaptha heen (op t.net geen last trouwens). Blijft eindeloos puzzeltjes van wegen, etalages, verkeersborden e.d. voorschotelen. Nu ja, blijkbaar ben ik dan een robot.
Maar eens met TS dus, ReCaptcha is ruk.

[ACM]

Compizfox schreef op zondag 1 april 2018 @ 12:55:
Het vervelende is dat ReCaptcha je er meestal heel veel laat doen het het veel meer tijd kost dan een normale CAPTCHA.

Het is dan ook een van de weinige captcha's die niet goed geautomatiseerd gekraakt kan worden... Voor de tekst-varianten, het is niet ongebruikelijk dat die onleesbaar zijn of zelfs dat computers er beter in zijn dan gewone gebruikers.

We hadden een eigen captcha, maar die was veel te simpel er werd vrij eenvoudig geautomatiseerd omzeild. Daarom zijn we overgestapt naar ReCaptcha, dat bovendien erg eenvoudig in te zetten is.

Als iemand een goed alternatief weet dat voor ons nagenoeg onderhoudsvrij is en bovendien naast goed werkt ook gebruiksvriendelijk is (en dan natuurlijk beter dan ReCaptcha), dan willen we daar best naar kijken.

[Hero of Time]

Is er een mogelijkheid om te in te stellen hoeveel 'puzzels' je krijgt bij recaptcha? Ik kan mij indenken dat twee of drie nog te doen is, maar als je er 5 of meer krijgt, het zeer vervelend is. Ik heb al een paar keer bij Google, simpelweg om wat zoekinstellingen aan te passen, recaptcha's gehad en na 4 van die puzzel dingen had ik het wel gezien en ging maar zoeken met DDG. Er is niets irritanters dan even iets te moeten doen, en dat je vervolgens een kwartier bezig bent om ook maar te kunnen beginnen omdat je zo'n never-ending recaptcha ding krijgt.

[NMe]

Hero of Time schreef op zondag 1 april 2018 @ 21:58:
Is er een mogelijkheid om te in te stellen hoeveel 'puzzels' je krijgt bij recaptcha?

AFAIK niet. Als je er meer dan een krijgt ben je volgens mij te snel met klikken waardoor 't ding vermoedt dat je een bot bent.

[Hero of Time]

NMe schreef op zondag 1 april 2018 @ 22:00:
[...]

AFAIK niet. Als je er meer dan een krijgt ben je volgens mij te snel met klikken waardoor 't ding vermoedt dat je een bot bent.

Nou, lekker dan. Alsof een mens niet snel iets kan zien/vinden op een plaatje. Fijne vorm van discriminatie dan, je doet iets te snel dus ben je een machine.

[NMe]

Hero of Time schreef op zondag 1 april 2018 @ 22:03:
[...]

Nou, lekker dan. Alsof een mens niet snel iets kan zien/vinden op een plaatje. Fijne vorm van discriminatie dan, je doet iets te snel dus ben je een machine.

Niet aanstellen, da's gewoon een van de weinige manieren waarop je mens van machine kan onderscheiden. Als je het niet wil triggeren moet je langzamer zijn, en anders moet je wat vaker klikken.

[Hahn]

Hero of Time schreef op zondag 1 april 2018 @ 21:58:
Is er een mogelijkheid om te in te stellen hoeveel 'puzzels' je krijgt bij recaptcha? Ik kan mij indenken dat twee of drie nog te doen is, maar als je er 5 of meer krijgt, het zeer vervelend is. Ik heb al een paar keer bij Google, simpelweg om wat zoekinstellingen aan te passen, recaptcha's gehad en na 4 van die puzzel dingen had ik het wel gezien en ging maar zoeken met DDG. Er is niets irritanters dan even iets te moeten doen, en dat je vervolgens een kwartier bezig bent om ook maar te kunnen beginnen omdat je zo'n never-ending recaptcha ding krijgt.

Je hoort er natuurlijk maar 1 te krijgen, als je er meerdere krijgt, dan doe je ze fout en heb je niet bewezen dat je een mens bent en geen machine.

[Hero of Time]

Sowieso zijn ze best kut soms. Ene keer verandert het plaatje niet, de andere keer wel. Of ik ben daar dan weer 'te snel' voor.

[crisp]

(Re)captcha's zijn inderdaad vervelend, maar het is wel voor ons de makkelijkste manier om bots te weren. Inmiddels zijn de regels voor inloggen weer wat versoepelt waardoor dit voor gewone gebruikers minder issues oplevert, ook voor degenen die nog gebruik maken van oude browsers/OS..