Pred pár dňami spoločnosť Websense publikovala na svojom blogu veľmi zaujímave informácie. Spoločnosti sa podarilo pri skúmaní bližšie nešpecifikovaného malwaru objaviť servery, ktoré bezplatne “lámu” Google captchu a výsledok potom poskytujú ako text. Spameri vďaka týmto serverom vytvárajú obrovské množstvo Gmail kont, ktoré potom používajú na spamovanie. Úspešnosť je až 20% (1 z 5 pokusov).

Ak neviete čo je to CAPTCHA, môžete si o nej prečítať na stránkach Wikipedie (cs).

Prečo vynakladajú spameri toľko úsilia vytvoriť automatizovaný systém pre registráciu do free webmailov? Dôvodov je hneď niekoľko. V prvom rade, vysoká anonymita. Vystopovať osobu, ktorá sa zaregistrovala napríklad na Gmaily je veľmi zložité a nehovoriac o tom, ak sa zaregistruje robot (malware) z napadnutého počítača obete. Potom je akékoľvek úsilie odhaliť páchateľa bezpredmetné. Ďalším dôvodom je, že Gmail nikdy nebude zablokovaný, alebo označený ako spam. Tzn., že každý email z Gmailu vám príde do vašej schránky, pretože nie je považovaný za spam. Treťou výhodou je obrovská masa používateľov. Je veľmi výhodne pre spamera používať server, ktorý je známy a populárny. V neposlednom rade je výhodou aplikačná kapacita populárnych webmailov. Je prakticky nepravdepodobné, že by Gmail “spadol” po masívnom rozosielaní miliónov emailov behom krátkej chvíľe. To je jeho štandard a je na to pripravený, tzn. spamer sa môže schovať “v dave”. Potom je úspešnosť spamu ďaleko vyššia a tým aj zisky z neho. Preto sa spamerom oplatí dať si obrovskú námahu vytvoriť automatizovaný registračný systém, ako aj systém na “lámanie” captchy.

Podľa výskumu firmy Websense existujú servery (pravdepodobne v Rusku), ktoré fungujú ako Software as a Service (softvér ako služba, príkladom môže byť online konvertovacia služba Zamzar). Tieto servery akceptujú captcha obrázky z Google, ktoré sa následne snažia identifikovať text, ktorý obsahujú (zdarma samozrejme). Úspešnosť je veľmi zaujímavá, každý 1 z 5 captcha obrázkov je úspešne prelomený a prevedených na text. Tzn. až 20% úspešnosť. Takto je možné vytvoriť státisíce účtov a posielať milióny spamov každý deň a stále využívať benefity popísané vyššie.

Websense zatiaľ nevie (alebo nepublikovala) spôsob prelomenia captchy, ale pravdepodobných scenárov je päť:

• Existuje databáza ID (názov obrázku) a ich preklad na normálny text
• Používa sa veľmi pokročilý OCR skener pre rozoznanie textu
• Používa sa matematický softvér pre výpočet hashu, ktorý je priradený k textu
• Najpravdepodobnejšie - používa sa hlasový skener na hlasovú captchu, ktorá existuje ako alternatíva pre zrakovo postihnutých návštevníkov
• Veľmi populárne hlavne v Číne - využíva sa ľudský faktor. Lacný zamestnanci prepisujú celé hodiny captchu ručne

“Zvuková” metóda patrí k tým najjednoduchším, aj keď sa vám to na prvý pohľad nemusí zdať. Existuje niekoľko veľmi šikovných riešení, ktoré dosahujú 98% na “čistom” hlase (bez postranných efektov, skreslenia zvuku, atď.). Naopak veľmi nepravdepodobná je posledná metóda, aj keď je veľmi hojne využívaná spamermi a inými kriminálnymi živlami po celom svete. Najčastejšie sú najímaný bežní ľudia v Číne, ktorí za hodinu práce dostanú niekoľko centov až dolár. Ich pláca býva často trojnásobná, ako zvyšku rodinu, ktorý pracuje na poli.

Odporcovia captchy už dlhší čas poukazujú na slabú schopnosť jednoslovnej captchy ochrániť formuláre pred robotmi. Dnes prevláda názor, že by sa nemali tvorcovia portálov uchyľovať k vytváraniu vlastných riešení, ale používať originálny projekt, ktorý som popísal v článku “CAPTCHA pre každý web rýchlo a jednoducho“. Nemôžem s týmto názorom nesúhlasiť a rovnako chcem dodať, že niektoré služby majú šialenú captchu, ktorá je takmer nečitateľná, ako napríklad IMDB. Keby autori podporili (aj finančne) už existujúci projekt, captcha by mohla dosahovať veľmi dobrej úrovne (netvrdím, že dnes nedosahuje). Už dnes je úspešnosť prelomenia viacslovnej captchy na úrovni promile. Ďalším dôkazom môže byť prípad, ktorý sa stal len nedávno. Partia ruských hackerov prelomila Yahoo! captchu a dosiahli až 35% úspešnosť.
Viac sa môžete dočítať v článku spoločnosti Websense.