Obecnie oprócz reklamowania szemranych produktów i usług, spam na stronach internetowych służy również m.in. do: manipulowania wynikami ankiet, masowego linkowania, rozprowadzania złośliwego kodu czy naruszania integralności kodu stron. Szacuje się, że aż 90% wiadomości wysyłanych w Internecie to spam.

Od dekady jednym ze skuteczniejszych mechanizmów służących do obrony przed spamem jest CAPTCHA oraz jej pochodne tj. reCAPTCHA. Pomysłowość osób rozsyłających spam sięga coraz dalej i nawet CAPTCHA niekiedy bywa zawodna. Zobaczmy jakie są 3 najczęstsze sposoby jej łamania:

OCR

Technologia Optical Character Recognition nieustannie się rozwija. Obecnie topowe rozwiązania potrafią rozpoznać 99% znaków w przypadku dokumentów o przyzwoitej jakości. Fakt ten nie umknął spamerom, którzy coraz częściej wykorzystują OCR do łamania kodów serwowanych przez CAPTCHE. W wielu przypadkach nawet szumy, zakłócenia i zniekształcenia to zbyt mało by przeszkodzić w rozpoznaniu znaków.

Obecnie wiele haseł serwowanych przez programy zabezpieczające jest tak trudna, że nawet ludzie mają problemy z jej rozpoznaniem. Wszystko wskazuje na to, że ciągłe udoskonalanie programów OCR doprowadzi do zmierzchu CAPTCHy, która swoim skomplikowaniem zniechęca wielu użytkowników do jej rozwiązywania i podejmowania wielokrotnych prób. Stworzono nawet mechanizm CRAPTCHA stworzony do trollowania sfrustrowanych internautów poprzez przedstawianie znaków niemożliwych do przepisania.

Smutny jest niestety fakt, iż technologia, która powinna służyć pożytecznym i ambitnym projektom, tj. digitalizacja starych księgozbiorów, wykorzystywana jest do ułatwienia spamerom zaśmiecania sieci. Sytuacja ta przypomina nieco losy najsłynniejszego wynalazku Alfreda Nobla. Dynamit z założenia miał pomagać w rozwoju cywilizacyjnym, lecz po pewnym czasie został wykorzystany przeciwko cywilizacji.

Ludzkie farmy

Innym sposobem radzenia sobie z mechanizmami CAPTCHA jest tania siła robocza. Jak to działa? Spamboty próbując dostać się do danej strony internetowej napotykają na hasło do rozwiązania. Robią zrzut ekranu i wysyłają go do osób, które zdecydowały się za grosze (1-2$ dziennie) rozpoznawać tego typu tekst. Wprowadzenie takiego trybu działania w państwach zachodnich byłoby nieopłacalne ze względu na koszt pracy. Niestety wykorzystanie taniej siły roboczej z krajów tj. Indie, Pakistan czy Filipiny umożliwia zastosowanie tego typu metod. Ile to kosztuje? Za rozwiązanie 5000 CAPTCHY zapłacimy niecałe… 7 dolarów.

Fałszywa CAPTCHA

Szukasz w Internecie informacji. Aby uzyskać do niej dostęp musisz rozwiązać CAPTCHE. Wprowadzasz hasło. Źle. Drugi raz. Trzeci. Za czwartym wiesz już na pewno, że wprowadziłeś poprawne dane, a mimo to nie możesz przejść dalej. Właśnie stałeś się częścią darmowej ludzkiej farmy do rozpoznawania znaków. Mechanizm jest bardzo podobny jak w poprzednio omawianym przypadku, z tą różnicą że wykorzystuje nieświadomość użytkownika i podstawia mu kod, który tak naprawdę posłuży kolejnemu spambotowi.

Zabezpieczenie cyberprzestrzeni staje się coraz trudniejsze dla webmasterów i coraz bardziej uciążliwe dla użytkowników.  Obecnie rozwiązanie CAPTCHY zajmuje około 15-20 sekund. To wystarczająco dużo, aby porzucić stronę. Szczególnie jeśli jedna próba nie wystarczy. Na rynku pojawiają się coraz nowsze rozwiązania. Wśród nich obiecująco zapowiadają się proste i interaktywne animacje, w których np. trzeba sportowcom przydzielić odpowiedni do zajmowanego miejsca medal.

Wszystko wskazuje na to, że wojna spamerów z webmasterami nigdy się nie skończy. Zmienią się jedynie narzędzia prowadzenia walki. Najwięcej ucierpią niestety cywile, czyli my – zwykli Internauci.

Komiksy pochodzą ze strony: xkcd.com

AKTUALIZACJA:

Z ostatniej chwili: w sieci pojawił się filmik, którego autorzy twierdzą, że złamali CATPCHę. Do obejrzenia (i poczytania) tutaj: http://www.wired.com/wiredscience/2013/10/captcha-busted/

Post CAPTCHA kontra spam – czy OCR będzie kolejnym dynamitem? pojawił się poraz pierwszy w OCR w dokumentach.

Agencją, która w największym stopniu śledzi życie obywateli w cyberprzestrzeni jest NSA – National Security Agency. Były agent NSA, Sang Mun, który przez dwa lata pracował w Korei  i miał okazję z pierwszej ręki dowiedzieć się jak wydobywa się cenne dane, postanowił się temu procederowi sprzeciwić. Opracował specjalny rodzaj czcionek, nazwanych ZXX (od trzyliterowego kodu wykorzystywanego w Bibliotece Kongresu, którym oznaczane są książki o statusie: „brak treści językowej; nie dotyczy”), które są nie do rozpoznania, nawet przy zastosowaniu najbardziej zaawansowanych mechanizmów OCR.

Jak działa ZXX?

Spośród sześciu opracowanych czcionek ZXX, zeskanowane i rozpoznane mogą być tylko dwie. Pozostałe cztery: Camo, False, Noise i Xed uniemożliwiają programom Optical Character Recognition na odczytanie znaków z jakąkolwiek sensowną trafnością.

Cały trik polega na tym, iż do poszczególnych liter dodane są określone efekty, które z jednej strony nie pozwalają maszynie na poprawne rozpoznanie, a z drugiej nie są na tyle uciążliwe by nie mogły być odczytane przez człowieka. I tak:

Czcionka Camo została skonstruowana w taki sposób, by zakamuflować „szkielet” tradycyjnego znaku. Dodane zostały różne owalne i nieregularne kształty, przypominające maskowanie na żołnierskich mundurach.

Czcionka False opiera się na zgoła innym założeniu. W tym przypadku w duże litery (fałszywe) wpisane są mniejsze (prawdziwe), co powoduje, że OCR odczytuje mniejszy znak, jako szum. Proste, lecz skuteczne.

Czcionka Noise zawiera szumy w postaci kwadratów, które okalają dany znak. Każdy z nich został przetestowany pod kątem tego, jaką ilość szumów należy dodać, aby zmylić program skanujący. Okazało się, że litera „m”, jest najlepiej rozpoznawana i wymagała dodania największej ilości szumów.

Czionka Xed zawiera „iksy” w każdej literze i cyfrze, rozciągające się na całą powierzchnię znaku.  Dzięki temu OCR ma ogromne problemy z rozpoznaniem kształtu. Xed jest najskuteczniejszą z wszystkich czcionek, a w dodatku bardzo łatwą do odczytania przez ludzkie oko.

Zmiksowanie wszystkich czterech powyższych typów zapewni natomiast najlepszy możliwy efekt, zmniejszając tym samym skuteczność OCR-a do wartości na granicy błędu statystycznego.

Więcej informacji w filmiku poniżej:

Zastosowanie czcionek ZXX

Jak podaje autor, celem wykorzystania czcionek jest umożliwienie swobodnego przepływu informacji w sieci, z dala od oczu „Wielkiego Brata”. ZXX może omijać firewalle, a także służyć tzw. „whistle blowerom”, czyli ludziom tj. Edward Snowden, którzy ujawniają niemoralne i niezgodne z prawem praktyki organizacji rządowych i korporacji.

Jednakże, głównym celem stworzenia ZXX przez Sang Muna, jest zwiększenie świadomości społecznej i poważna debata dotycząca prywatności w sieci. To swego rodzaju manifest nawołujący do sprzeciwu wobec naruszenia podstawowych praw obywatelskich.

Na koniec należy zwrócić uwagę na jeszcze jeden fakt. Zastosowanie ZXX ma sens tylko w przypadku plików graficznych i ew. kopii papierowych. Z tego względu, że z punktu widzenia programistycznego zwykłe „a” to taki sam ciąg zer i jedynek jak „a” w ZXX czy każdej innej czcionce. Dlatego też w przypadku np. wpisu na blogu nie wymagany jest OCR by rozpoznać wszystkie znaki, gdyż zawierają one uniwersalne kodowanie. Ponadto nie ulega wątpliwości, iż kwestią czasu jest aż NSA przystosuje algorytmy swojego OCR do nowych, mylących czcionek. Dlatego póki co, mimo wszystko warto uważać na to co się w sieci umieszcza.

Post ZXX – sposób na przechytrzenie NSA pojawił się poraz pierwszy w OCR w dokumentach.