Googles reCAPTCHA angreifbar?

Googles auf dem Dienst reCAPTCHA aufbauendes System zum Blockieren von Registrierungs-Scripts bei Email- und ähnlichen Diensten wurde offenbar erfolgreich von Cyberkriminellen angegriffen.

Als Google den Spamschutz-Dienst reCAPTCHA aufkaufte, machten sich viele Sicherheitsexperten große Hoffnungen (gulli:News berichtete). ReCAPTCHA arbeitet mit digitalisierten Wörtern aus alten Texten, bei denen die Texterkennungs-Software (OCR-Software) versagt hat. Diese müssen die Benutzer erkennen und eintippen, um zu beweisen, dass sie echte Menschen und kein Script sind. Dabei werden immer zwei Wörter angezeigt: ein bisher nicht gelöstes und ein bereits bekanntes zur Kontrolle. Dies bietet den doppelten Vorteil, dass es einerseits nur schwer oder gar nicht vom Computer erkannt werden kann (erkennbar daran, dass die Texterkennung bereits zuvor misslungen ist) und andererseits durch das Lösen der reCAPTCHAs ein Beitrag zur Digitalisierung alter Texte geleistet wird. Google, das aufgrund seiner Erfahrung mit der Digitalisierung von Texten über gute OCR-Algorithmen verfügt, trauten viele Beobachter zu, reCAPTCHA weiter zu optimieren.

Anscheinend jedoch, so eine kürzlich veröffentlichte Studie, gelang es Angreifern mit einer Kombination aus OCR und anderen Techniken, reCAPTCHAs teilweise erfolgreich automatisiert zu lösen. Angeblich hat die Methode eine Erfolgsquote von 17,5% - mehr als ausreichend, wenn man die Rechenleistung hat, um das Script einfach immer wieder neue Versuche machen zu lassen. Cyberkriminelle setzen für diesen Zweck oft Botnets ein, die über die geballte Leistung von Tausenden oder gar Zehntausenden infizierter "Zombie"-Rechner verfügen. Mit Hilfe dieser Botnets können leicht Hunderttausende oder gar Millionen von Freemail-Accounts registriert werden, die die Cyberkriminellen dann für den Versand von Spam oder Malware nutzen können.

Ein Google-Sprecher sagte in einer Stellungnahme allerdings, die dokumentierten Angriffe gingen teilweise noch auf das Jahr 2008 zurück und die Berichte würden nicht die seitdem bei reCAPTCHA eingebauten Verbesserungen berücksichtigen. "Daher reflektiert diese Studie nicht die Effektivität der heutigen reCAPTCHA-Technologie gegen maschinelle Lösungsversuche. Wir haben festgestellt, dass reCAPTCHA heute weit widerstandsfähiger ist, während trotzdem noch eine gute Benutzbarkeit für menschliche User gegeben ist, und wir haben sehr positive Rückmeldungen von Kunden bekommen," so der Sprecher.

Zu den in der Studie von festgestellten Schwächen von reCAPTCHA gehört, dass die meisten der Lösungswörter in englischen Wörterbüchern gefunden werden können, was Angreifern eine Möglichkeit gibt, die Richtigkeit ihrer Lösungsideen zu überprüfen. Zudem werden Lösungen, bei denen nur ein Buchstabe falsch ist, oftmals vom System akzeptiert. Die Linien schließlich, die zur zusätzlichen Verwirrung der OCR-Software hinzugefügt werden, können mit Hilfe von Standard-Methoden der Bildanalyse (Erosion und Dilatation, was bedeutet, dass zunächst bei jeder Fläche die äußeren Pixel abgetragen und die noch vorhandenen Flächen dann wieder um einige Pixel vergrößert werden) relativ leicht entfernt werden. Ebenfalls häufig erfolgreich war es, die reCAPTCHAs vor der Analyse in einzelne Buchstaben aufzuteilen. Der komplette Bericht kann als PDF heruntergeladen werden.

(via The Register, thx!)

Annika Kremer am Dienstag, 15.12.2009 17:40 Uhr

tags Tags: google captcha recaptcha

Weitere interessante News

38 Reaktionen zu dieser Nachricht

BLACKX777 am 20.12.2009 23:24:48

Ich habe das Gästebuch meiner Homepage ganz einfach Spamfrei bekommen, ich habe einfach nur das Slash Zeichen (/) im Nachrichtenfeld blockiert. Und wenn es doch mal verwendet wird kommt ein Hinweis das man urls nur im Homepage Feld eintragen soll. So ist es zu 99% Spamfrei weil die Bots ihre URLS i ...
LoL-O_Mat am 16.12.2009 20:18:47

Verstehe ich das richtig: Der erste Teil ist aus einem Buch o.ä. wo die OCR versagt hat. Wie will man dann die Lösung für "richtig" einstufen? So einen wirklichen Beitrag leistet man dann ja nicht, es muss ja dann schon jemand für "richtig" eingestuft haben... Be ...
mistgebaut am 16.12.2009 20:12:39

@thyphoon: Stichwort Aggregation. ...
ThYpHoOn am 16.12.2009 20:05:47

Dabei werden immer zwei Wörter angezeigt: ein bisher nicht gelöstes und ein bereits bekanntes zur Kontrolle. Dies bietet den doppelten Vorteil, dass es einerseits nur schwer oder gar nicht vom Computer erkannt werden kann (erkennbar daran, dass die Texterkennung bereits zuvor misslungen ist ...
Shadow27374 am 16.12.2009 16:27:09

Ich glaube, du meinst "normale" CAPTCHAs. Da ergeben die Wörter nämlich keinen Sinn, und ja, da brauche ich auch öfter zwei bis fünf Lösungsversuche. Ich glaube er meint schon die richtigen. Denn ich empfinde sie auch als Zumutung. Allerdings hab ich tatsä ...

weitere Kommentare lesen Nachricht kommentieren

Fotostrecke

News [Kurioses]

Apple filterte den Begriff "Jailbreak" im iTunes Store

Lars Sobiraj am 20.05.2012, 16:54 Uhr

Im US-amerikanischen iTunes Store wurden statt dem Begriff "Jailbreak" lediglich Sternchen zwischen dem Anfangs- und Endbuchstaben angezeigt. Davon waren letztlich alle Kategorien betroffen. So wurden neben Apps auch Klingeltöne, Podcasts, Musikstücke, ganze Alben und eBooks zensiert angezeigt. Laut den Untersuchungen von Shoutpedia waren mehrere Monate lang 95% aller Begriffe davon betroffen.

mehr mehr lesen...