Что такое невалидная капча
Капча: что это такое простыми словами
Несомненно, что все пользователи Глобальной сети сталкивались с такой насущной проблемой, но не каждый знает о том, что это и есть так называемая капча. Так же не многим известно, что на английском CAPTCHA – это аббревиатура, которая в переводе на русский язык значит: полностью автоматизированный и общедоступный тест Тьюринга, чтобы отличить компьютер от человека.
Что такое капча
Из расшифрованной выше аббревиатуры уже можно понять, что такое капча, простыми словами –она определяет, является ли пользователь реальным или спам-роботом. Так, возможно, на некоторых сайтах, чтобы узнать цену СЕО-продвижения придётся для начала ввести проверочный код. Капча генерирует сочетания из различных букв, цифр и знаков, полагаясь на способность человека определять, какими на самом деле символами они являются.
Чтобы подтвердить цифровую транзакцию, используя систему капчи, пользователю предоставляется искаженное слово, обычно помещаемое поверх искаженного фона. Пользователь должен ввести слово в поле, чтобы завершить процесс. Компьютерам трудно декодировать искаженные слова, в то время как люди могут легко расшифровать текст.
Некоторые капчи теперь используют картинки вместо слов, где пользователю предоставляют серию картинок и спрашивают, что является общим элементом среди всех картинок. Вводя этот общий элемент, пользователь проверяет транзакцию, и компьютер знает, что имеет дело с человеком, а не с ботом.
Что такое капча при регистрации
Многие задаются вопросом, что такое капча при регистрации и зачем она нужна. Да, зачастую, мы можем встретить капчу при заполнении регистрационных форм. Например, Вы думаете о том, как найти человека по почте, для этого нужно зарегистрироваться. Это вполне нормально и безобидно. В таких случаях капча направлена на борьбу с ботами, которые создают множество учётных записей для рассылки спама.
На веб-сайтах по продаже билетов, также используется капча, чтобы не допустить чрезмерного приобретения билетов на большие мероприятия скальперами (сторонниками скоростной торговли/спекуляции). Это позволяет законопослушным клиентам покупать билеты справедливо и не дает скальперам размещать тысячи заказов.
Наконец, веб-страницы или блоги, содержащие доски объявлений, например, о стоимости разработки сайта-визитки, или контактные формы, используют капчу для предотвращения спам-сообщений или комментариев. То есть помогает избежать автоматическую публикацию сообщений ботами.
Неверная капча: что это такое
Рассмотрим, что такое неверная капча и чем она грозит. Неверная капча означает то, что при регистрации или при совершении любой другой операции Вы неправильно ввели предложенные Вам символы с картинки.
Если Вы допустили ошибку, придётся сделать это заново, но, конечно же, символы будут уже совсем другие. С такой проблемой пользователи сталкиваются очень часто, так как разобрать трудночитаемые искажённые символы достаточно затруднительно.
К сожалению, поскольку технологии и хакеры становятся более продвинутыми, их мошенническая тактика тоже. Чтобы полностью разобраться в теме и огородить себя от нежелательных последствий изучите, что такое спам в Интернете и чем он грозит. В то время, как сама система капчи безопасна, киберпреступники начали включать её в свои ложные или мошеннические веб-сайты, чтобы совершать свои действия более правдоподобно.
С помощью интригующих сообщений в ленте злоумышленники могут обмануть пользователей, например: «Вся страна в шоке, предсказания о конце света оказались..». После того, как Вы нажмете на эту запись, нужно будет ввести поддельный проверочный код и перейти на целевую страницу. В это время вирус захватит Ваш аккаунт.
Сегодня мы разобрались в том, что такое капча и для чего она нужна. Узнать, как от неё избавиться можно на примере нашего рассказа о том, как убрать капчу в Яндекс Вордстат и будет ли это эффективно. Будьте внимательны и не попадайтесь на уловки интернет-мошенников.
Решение главных проблем CAPTCHA
Как часто вы сталкиваетесь с тем, что не можете ввести предлагаемую капчу с первого раза? Теперь подумайте, какие трудности могут возникнуть у современного человека, который разговаривает с компьютером «на Вы»? Для него преграда в виде reCAPTCHA становится сильнее, чем для робота.
Однако трудность распознавания капчи человеком является вовсе не самой острой проблемой, как может показаться на первый взгляд. Можно было бы конечно закрыть на это глаза, если бы капча действительно защищала нас от различных автоматизированных систем распознавания. Но это далеко не так!
И я хочу рассказать о средстве, которое решает эти проблемы.
Для того, чтобы создать адекватную защиту для CAPTCHA, необходимо сначала классифицировать способы ее распознавания.
Автоматизированное распознавание капчи
В настоящее время существуют три основных способа автоматизированного распознавания капчи:
1. Использование ошибок в алгоритме защиты
Такой подход направлен на поиск логических ошибок (уязвимостей), позволяющих корректно отправлять форму, без распознавания самой капчи.
Это самый простой способ обхода защиты, но его можно применить в основном, только в простеньких самодельных решениях.
Наиболее популярной ошибкой является передача проверочного кода капчи через поля формы или cookie в открытом виде, в base64, или в md5-хеше без применения соли.
Атакующему не составит труда его получить, даже если ему придется сгенерировать rainbow-таблицу в соответствии с алфавитом капчи (только 5-тизначные буквы русского языка или только 6-тизначные цифры и т.п.) и сделать сопоставление.
Ошибкой так же считается, когда одна и та же капча может быть разгадана более одного раза. Это касается в основном случаев, в которых сгенерированный иднетификатор капчи действителен в течении 5-10 минут, но ограничений на количество проверок у него нет. Тем самым давая возможность атакующему, который уже знает ответ, многократно использовать идентификатор разгаданной капчи. Можно использовать брутфорс с одним и тем же идентификатором капчи, что, в конечном итоге, приведет к желаемому результату.
2. Автоматическое распознавание
Есть три основных пути успешного автоматического распознавания капчи:
I. Использовать готовые средства оптического распознавания (OCR)
Это самый простой подход, не требующий специальных навыков программирования. Такие программы в основном распространяются бесплатно, и их существует достаточно много: ocropus, cuneiform, tesseract, gocr, orcad и другие.
Атакующему нужно только передать картинку капчи такой программе, где на выходе он получит уже распознанный текст. Обычно такие программные продукты имеют множество тонких настроек, позволяющих сделать распознавание более эффективным.
Именно для предотвращения распознавания подобным образом, применяют различные искажения, скручивания, добавление мусора и т.п.
В данном случае процент распознавания может быть совсем небольшим (всего около 10%), но атакующий все равно добьется успеха.
II. Самописные скрипты с применением библиотек GD, ImageMagick и других
Такие скрипты позволяют очистить картинку от мусора, убрать фон, выровнить текст по вертикали, обрезать картинку, оставив только текст, убрать многоцветность, сделать усреднение цвета и т.д. На практике же полноценное распознавание такими скриптами весьма затруднено.
Гораздо более эффективно можно использовать такой скрипт только для предварительной очистки картинки, оставив сам процесс разбора другим способам.
III. Нейронные сети
Наибольший интерес сейчас представляют именно нейронные сети. Для многих это до сих пор похоже на некую магию.
Нейронные сети стали применяться атакующими, с целью автоматического распознавания любых капч.
Они обучают нейронную сеть, которая способна с высокой степенью вероятности распознать даже самую сложную reCAPTCH’у.
Существует множество различных библиотек для разных языков программирования, которые распространяются бесплатно. Одна из таких библиотек, Fast Artificial Neural Network, ранее освещалась в журнале Харкер.
3. Полуавтоматическое распознавание с привлечением дешевых человеческих ресурсов
Есть множество сайтов, таких как antigate.com, rucaptcha.com, captchabot.com и т.д., которые предоставляют своим клиентам выгодную услугу. Они принимают от клиента, в автоматическом режиме, картинку с капчей, и через несколько (10-30) секунд выдают правильный, по их мнению, ответ. Процент удачного распознавания в таком случае очень высокий, порядка 90-95%.
Стоит отметить, что у неподготовленного посетителя этот процент намного ниже.
Конечно, первое, что приходит на ум создателям капчи, это ввести русский алфавит и полностью исключить английский.
Некоторые удаляют даже цифры. Но как вы понимаете, эти полумеры не способны дать адекватную защиту и уже в ближайшее время владельцы сервисов перенаправляют трафик с таких капч уже только тем, кто умеет читать по-русски.
Другие же стараются усложнить сами капчи, накладывают различные фильтры, искажения, мусор и т.д., думая, что их распознает робот.
Тем самым они усложняют прочтение и распознавание не только людям занятым в этих сервисах и всевозможным скриптам, но и обычным пользователям, чья подготовка оказывается в разы ниже. Все это начинает напоминать современную медицину, которая борется не с причинами заболеваний, а лишь с их симптомами, в результате чего страдает только пациент.
Основными потребителями таких услуг, в основном, являются крупные SEO-компании, и различного рода информационные агрегаторы, которые в автоматическом режиме получают информацию о статистике по поиску ключевых слов, о позициях в поисковой выдаче, саму поисковую выдачу и т.д. Так же их услугами пользуются всевозможные спаммеры, рассылающие сообщения в социальных сетях, регистрирующие в автоматическом режиме учетные записи в почтовых сервисах, форумах и т.п.
По моему мнению, количество распознаваний капч для целей спама, хоть и носит негативный характер, все же является не основным направлением сбыта такой услуги, являясь всего лишь вершиной айсберга. В то время, как сам айсберг, это — ни что иное, как предоставление доступа к консолидированной информации.
Вот вам пример. В нашей стране информацию по почтовым отправлениям (трекингу), находящимся на территории РФ, можно получить только на государственном сайте Почта России. Год назад они добавили капчу в форму отслеживания отправления, что сделало невозможным получение информации по интересующим отправлениям в автоматическом режиме.
А теперь подумайте, откуда берется на этих сайтах информация по отправлениям, но уже без капчи?
Противостоять таким сервисам очень не просто. Этому способствует несколько факторов:
Все без исключения владельцы сервисов перенесли ответственность за загрузку самих картинок на своих клиентов, что, в конечном итоге, не позволят вычислять ip-адреса, их собственные или людей, которые занимаются самим распознаванием, для последующей блокировки.
Если клиент такого сервиса обладает необходимыми знаниями, то он без труда подключит базу прокси-серверов, для обхода возможных блокировок.
Стоит так же отметить, что не было ни одного сервиса, включая reCAPTCHA, способного эффективно противостоять этому.
Простота распознавания пользователем
Лучшим решением для пользователя будет обычный текст на картинке, добившись того, чтобы использование автоматических способов распознавания существенно усложнилось.
На помощь приходит свойство прозрачности форматов изображений gif или png. Нужно сделать так, чтобы при наложении нескольких частей картинки друг на друга, пользователь мог видеть неискаженный текст. Абсолютно любые браузеры поддерживают эту функцию, и даже IE6.
Теперь немного усложним. Для начала создадим несколько прозрачных изображений, по размерам, сходным с оригиналом, и раскидаем попиксельно все исходное изображение на эти, заранее подготовленные слои. При просмотре каждого отдельного слоя невозможно будет точно сказать, что именно изображено на картинке-оригинале. Автоматически собрать воедино такое решение все еще так же легко.
Продолжим усложнять, и сделаем наши слои случайных размеров и из случайных мест исходного изображения.
Теперь вынесем всю информацию о слоях в отдельный css-файл стилей, который будет описывать положение каждого слоя относительно левого верхнего угла исходного изображения. Однако, нам потребуется как-то идентифицировать слои и отличать их друг от друга. Для этого присвоим всем картинкам случайные идентификаторы, и опишем их.
Пример сформированной html-страницы:
Пример css-файла /captcha/954f836a78de1d510d28ce70fa7b6a4a.css:
В дальнейшем этот процесс можно усложнять до бесконечности — на одних слоях рисовать лишние пиксели, на последующих слоях их закрашивать и т.д.
Не правда ли, все гениальное – просто?!
Защита от автоматизированного распознавания
Большой ошибкой, по моему мнению, является блокирование ip-адресов, которые многократно вводили значения капчей неверно.
Кто угодно может вводить сколько угодно раз неверные значения, и это ни на что не влияет. Капча как раз и рассчитана на такую фильтрацию.
Нужно блокировать только тех, кто уже указал X правильных значений. И разблокировать, если в течении N минут этот пользователь больше не вводил правильных значений.
Иными словами, ip-адрес посетителя сайта, который был замечен за правильным вводом Х капч за последние N минут, автоматически должен получить отказ.
Стоит так же отметить, что такой подход начинает эффективно работать в случае единого, централизованного сервиса.
Идеальным решением является такое, в котором подобные ограничения не являются обязательными, и имеется возможность изменения этих параметров под свои требования.
Кто-то из вас захочет сделать ограничения в 1 капчу раз в 30 минут, кто-то захочет 5 капч в течение 5 часов, а кто-то и вовсе предпочтет отключить проверку.
В случае использования такого ограничения, становится абсолютно не важно, каким способом происходит автоматизированное распознавание капчи.
Любое из них перестает быть эффективным решением.
Вы наверняка спросите: Что мешает использовать огромное множество прокси-серверов?
Прокси-сервера все берут из свободного доступа, с одинаковых сайтов по всему миру. Последний раз, когда мне приходилось ими пользоваться, реально работающими были около 20000 серверов, где 3000 из них работали постоянно.
Процесс поиска/создания собственных прокси-серверов для большинства затруднителен. В этот список попадают те сервера, которые были взломаны брутфорсом, заражены вирусами и т.д. Это специфическая ниша, реально доступная лишь немногим.
Если бы только один атакующий эксклюзивно владел бы такой базой в 20000 ip-адресов, он бы мог претендовать на распознавание 40000 капчей в течение каждого часа.
Это 960000 капчей в сутки – отличный результат!
А теперь представьте, что все атакующие полностью или частично владеют этой базой. Децентрализованное ее использование приведет к перманентному отказу в обслуживание по всем из них.
Рассмотрим пример. Вы только что использовали один ip-адрес для успешного распознавания капчи любым способом, и теперь ждете около полу часа, чтобы не попасть под блокировку, для совершения повторной попытки. Но оказывается, пока вы ждали, кто-то еще использовал этот адрес для ввода капчи на другом интересующем его ресурсе.
Такая попытка обернется ему отказом, так как этот ip-адрес был уже задействован вами несколькими минутами ранее. Вы, дождавшись, когда истечет время, распознаете капчу второй раз, но получаете отказ.
И так все начинает идти по кругу и до бесконечности.
Protection Privacy as a Service
До этого момента это была лишь теория. Но вы можете посмотреть на то, как это работает на практике – http://ppaas.org.
Сервис позволяет защищать любую текстовую информацию, такую как адреса email, телефонные номера и т.п.
UPD: Пожалуйста читайте пост внимательно, графическое исполнение, это просто для удобства прочтения, основная защита от автоматизированного распознавания заключается в другом.
Спасибо за внимание. Вместе мы сделаем этот мир лучше.
Что такое капча простыми словами, капча при регистрации, зачем она нужна, плюсы и минусы
Капча — как Великая Китайская стена: обойти сложно, лезть не хочется. Зачем она вообще нужна на сайте, можно ли обойтись без нее и как сделать ввод капчи максимально удобным для пользователя?
Капча: что это такое
Капча (captcha) — это специальный защитный код, который показывается на некоторых сайтах в виде всплывающего окна или картинки. Пользователю предлагается решить простую задачу, подтвердить статус, ввести слова или цифры, ответить на вопрос. Если этого не сделать, вы не сможете далее пользоваться сайтом. Так программа определяет, реальный ли вы человек или бот.
Какие бывают капчи
Ввод капчи можно разделить на несколько способов.
Какого бы вида ни была капча, бот не может справиться с ее заданиями. Разумеется, механизмы ботов совершенствуются и учатся, но вместе с ними учатся и разработчики сайтов, создавая новые улучшенные версии капч.
Зачем нужна капча
Капча нужна в первую очередь владельцам сайта — для простых пользователей это одна морока. Защитная программа ставится, чтобы отсеять ботов, которые хотят попасть на сайт для разных целей. Рассмотрим подробнее, как капча помогает справиться с ботами.
Когда показывается капча
Минусы капчи
Помню, как бесила меня капча на ресурсе Advego, которая появлялась, наверное, каждую минуту. Работать было невозможно, и я перестала пользоваться сайтом.
Вполне жизненный пример: пользователь выбрал товар в интернет-магазине, уже готов его купить, и на последнем этапе его просят ввести капчу при регистрации. Если капча сложная, он вполне может покинуть сайт навсегда.
Что такое капча простыми словами, зачем она нужна и можно ли на ней заработать
Непонятные цифры на картинке. Когда вы их вводите, программа понимает, что вы живой человек, а не робот.
Капча – это разные непонятные буквы или цифры на картинке. Они написаны таким образом, что понять их сможет только человек. Робот капчу ни за что не прочитает.
Капча нужна для того, чтобы доказывать какой-нибудь программе, что с ней работает живой человек, а не робот.
Давайте познакомимся с капчой подробнее. Заодно я вам расскажу, как можно зарабатывать на ней в интернете.
Что такое капча
Итак, капча – это обычно буквы и цифры, намного реже – знаки препинания. Они написаны неровно, с искажениями, на разных фонах, с какими-нибудь дополнительными элементами – разными линиями, кругами и пр.
Вот пример достаточно простой капчи.
Для чего она нужна
Она служит как бы барьером для роботов. Помогает разным программам и сервисам вычислять роботов и блокировать их действия. Например, вот я запускаю робота, который рассылает рекламные сообщения пользователям Вконтакте. Просто выбирает случайного человека в ВК и шлет ему рекламу.
Мой робот так отправляет спам одному человеку, потом другому, третьему, десятому. А потом ВК замечает, что кто-то рассылает слишком много однотипных сообщений. И показывает капчу. Робот капчу или вообще не вводит, или вводит неправильно. В результате его активность блокируется.
Это приводит к нескольким благоприятным последствиям, давайте их разберем.
Защита от взлома
Если бы не было капчи, то постепенно можно было бы взломать очень многие аккаунты без двухфакторной аутентификации. То есть создали вы аккаунт, защитили его одним только паролем. Как взломать аккаунт? Постоянно подбирать пароль. Робот может генерировать в короткий промежуток времени тысячи паролей и вполне вероятно, что рано или поздно он сумеет подобрать подходящий.
Если этого робота вовремя не остановить с помощью капчи.
Защита от спама
Вообще, со спамом в интернете идет ожесточенная борьба. Помимо капчи программы и сервисы учитывают жалобы пользователей, анализируют источники спама и стараются постоянно изобретать все новые и новые методы борьбы со злостными спамерами.
Защита от перегрузки
Перегрузить какой-нибудь сайт или сервис очень просто. Надо отправлять ему слишком много запросов за единицу времени, чтобы он не успевал их отрабатывать. Эти запросы как раз можно отправлять с помощью автоматического вредоносного ПО.
А капча – то самое спасительное средство, которое их остановит.
Как распознать капчу
Обычно у «живого» человека проблем в этом плане не возникает. Мы просто «всматриваемся» в символы и аккуратненько вводим их по одному.
Человеколюбивые сайты даже добавляют к капче функцию озвучки – символы произносятся, мы их воспринимаем на слух и набираем на клавиатуре.
Бывают, конечно, очень сложные капчи, которые не получается ввести с первого раза. Но это не приводит ни к каким печальным последствиям – просто генерируется другая капча. Живые люди рано или поздно смогут правильно ввести символы любого уровня сложности.
Можно ли автоматически распознать капчу
В общем-то, да, это становится возможным. И происходит это следующим образом. Делается база данных, в нее грузятся тысячи картинок с капчой и расшифровкой. Затем специальная программа сравнивает «искривленные» символы с их расшифровкой и «запоминает».
Таким образом шаг за шагом можно научить роботов распознавать отдельные картинки с капчой.
Но это не значит, что «противоядие найдено» и роботы теперь захватят весь интернет. Подобное обучение распознаванию капчи – дело весьма непростое. Генерировать изогнутые, перечеркнутые, наполовину замазанные и разные другие символы можно самыми разными способами, поэтому автоматическому распознаванию еще далеко до совершенства.
Как связаны капча и рукописи
На некоторых сайтах пользователям предлагается вводить две капчи. Так вот, одна из них является не распознанной и вы своим распознаванием совершаете благое дело – помогаете расшифровывать трудно читаемые тексты.
Смотрите, вот решили люди оцифровать какую-то старую-старую газету, где текст очень плохо виден. Они ее сканируют, но машина или вообще не распознает буквы, или распознает неправильно.
И чтобы эту проблему решить, делается следующее. Текст делится на слова и каждое слово рассылается миллионам людей в мире в виде капчи. Люди распознают, а результаты распознавания потом суммируются. И, например, из тысячи людей 900 введут слово одинаково, а 100 – не так, как остальные 900. Машина возьмет тот текст, который совпал у 900 людей и вставит его в оцифровку. В конечном итоге получится целостная оцифрованная газета, распознанная людьми, а не машиной.
Чуть больше дополнительной информации – вот в этом видеоролике, посмотрите.
Как заработать на капче
В интернете сейчас есть несколько сайтов, которые платят деньги за распознавание капчи. Самый популярный из них – 2captcha. Остальные я опишу в отдельной статье про сайты для заработка на капче.
Все эти проекты работают одинаково. Вы регистрируетесь, вам приходит картинка с символами, вы вводите символы, получаете оплату.
По уровню сложности капча присылается самая разная. На некоторых сайтах можно даже выбирать сложность, чтобы не мучиться с чересчур заковыристыми картинками.
Много ли платят за каждый ввод? Средняя ставка такая – 0,3 доллара за 1 000 вводов. Если доллар равен примерно 75 рублям, то получается 22,5 рубля. За тысячу вводов капчи, вы можете себе это представить?
Стоит ли на этом зарабатывать
Я думаю, нет, не стоит. Даже если вы новичок в мире интернет-заработка. Мне кажется, вы на электричество потратите больше денег, чем сможете получить на этих сервисах по распознаванию.
Вот еще несколько минусов, на которых я хочу акцентировать ваше внимание.
Зрение
Когда вы будете распознавать непонятные буквы и цифры, ваши глаза постоянно будут напрягаться. Ничего хорошего в этом нет. Если ежедневно разгадывать десятки капч, то через пару месяцев точно придется идти к окулисту.
Отсутствие роста
Чтобы зарабатывать больше денег, надо профессионально расти. Надо обучаться чему-то новому, пробовать себя в каких-то новых сферах деятельности. В общем, все время совершенствоваться.
Как вас будет совершенствовать капча? Вообще никак. Если вы десять лет будете ее вводить, все, чему вы научитесь, – это распознавание капчи. Чуть более быстрое, чем у «обычного» человека. И не более.
Кто-то за десять лет выучит несколько языков программирования, кто-то станет вторым Ильяховым, а кто-то, возможно, и Маском.
А вы? Вы все так же будете вводить капчу.
Если не капча, то что
Если вы хотите зарабатывать в интернете, но не знаете, с чего начать, то вот вам подборка наших статей про заработок.
Еще есть статьи по направлениям «копеечного фриланса». Я ни одно из этих направлений вам не рекомендую, потому что нормальных денег там заработать нельзя. Но для ознакомления советую все-таки почитать:
Заключение
Вот мы и поговорили о том, что такое капча. Понятно ли вам теперь, для чего она нужна и почему нам с вами иногда приходится пристально-пристально всматриваться в картинку, чтобы все-таки понять, что на ней изображено?
Если остались какие-то вопросы по статье – присылайте их в комментариях. Обязательно отвечу.