Gekraakte Gmail-captcha's leiden tot toename spam

Zou heel simpel kunnen, door een andersoort beveiliging te gebruiken.

Bijv, How much is [plaatje] + [plaatje]

En daar onder 5 knoppen, waarvan 1 het andwoord is.

Laat gebruikers een rebus oplossen !

Dan zou het wel heel erg makkelijk worden om te weten welke emails wel, en welke emails niet verstuurd worden.

Ik baal juist van het Gmail spamfilter! Ik krijg nauwelijks spam (al m'n spam wordt geredirect naar m'n spam@mydomain), en Gmail heeft meer foute dan goede spam-hits... Helaas is dat ding niet uit te zetten, en via Popmail zie ik zo niet alle mail.

En je denkt dat spammers hun spambots niet zo maken dat ze zichzelf uitnodigen? Het feit dat iedereen zich nu kan registreren zal het wel makkelijker gemaakt hebben, maar dat zal zeker niet de reden van de toename zijn.

Hoewel de hackers bij de bij het 'oplossen' van de Gmail-captcha's slechts een succespercentage van twintig procent zouden behalen, kan volgens Messagelabs een geautomatiseerd systeem toch vele duizenden webmailaccounts per dag aanmaken. De geoogste mailadressen zouden vooral gebruikt worden om reclame voor pornosites te maken.

100/4=25%
Heb je dus ook niks aan omdat je dan zelfs meer kracht aan ze geeft. Ook als je er meer doet, moet je enorm veel plaatjes maken om het niet door bots te laten automatiseren. Dit probleem is enorm moeilijk aan te pakken, en de beste oplossing is om het moeilijker te maken dan de concurrent en die maakt het dan ook moeilijker en krijg je wip-wap effect.

En daar is dus de human error. Je weet dat je een groot risico loopt en je kijkt er toch naar. Iemand met een beetje verstand in z'n kop kijkt daar dus NIET naar.

Dit heeft google niet zelf bedacht; Luis von Ahn werkt niet voor google, deze tech-talk is gewoon een lezing die hij een keer bij google heeft gegeven. Maar zeker belangrijk in deze context; Iedereen hierboven zit manieren te bedenken om captcha's sterker te maken, maar het probleem is juist dat spammerts mensen gebruiken om captcha's op te lossen. Dus ingewikkelder maken werkt gewoon niet.
Over welke work-around heb je het trouwens? Volgens mij heeft hij het in die techtalk niet over een work around; hij gebruikt alleen hetzelfde principe om images te taggen, ipv een captcha op te lossen. Volgens mij draagt hij geen oplossing aan voor het registreer-bot probleem.

Je vergeet nog steeds de makkelijkste en doeltreffendste kraakmethode. Je zet een porn-site op die een captcha / andere beveiliging 100% copieert van google. Lost een gebruiker hem op de pron site op, dan is hij voor jou opgelost op google.

Dan even een md5 maken van de beveiliging en opslaan voor future reference.

Redelijke pronsite leidt tot redelijk veel handmatige hacks...

In het uiterste geval wat ik ben tegengekomen was er gewoon een iframe met de originele beveiliging en een activex keylogger.

Onzin. Op een miljarden-hits-site als Google zijn genoeg gekken die proberen met OCR hun CAPTCHA plaatjes uit te lezen. Nee, dat kan je echt niet snel fixen met slechts 10 hackers, maar als je de hele hackende wereld ermee aan de slag laat gaan komen er vast wel op een gegeven moment iemand die het voor elkaar krijgt om "succesvol" tekstherkenning op google's crappy CAPTCHA-plaatjes uit te voeren.

Deze manier van kraken heeft helemaal niets te maken met de bron van het antwoord op de vraag, sessies/cookies of sterkte van encryptie. Het antwoord op de CAPTCHA vraag komt niet van de server, maar gewoon uit het ge-analyseerde plaatje. Dat je je CAPTCHA antwoord niet over een HTTP lijn moet gooien is logisch voor iedereen die bij Google werkt. (Behalve de schoonmaakster misschien.) Het probleem dat je hierboven omschrijft is voor iedereen te begrijpen die een goed PHP-boek heeft gelezen, ik schat de mannen (M/V) van Google toch wel iets hoger in.

De enige oplossing voor hun probleem is een beter alternatief zoeken voor CAPTCHA, op den duur zal een computer die plaatjes net zo makkelijk kunnen lezen als wij mensen.

[Reactie gewijzigd door pelleke]

Vele soorten captcha's zijn al tijden te kraken, captchakiller.com is hier bijvoorbeeld erg goed in. De enige captcha's die erg moeilijk zijn te kraken, zijn de captcha's die ook lastig te lezen zijn voor mensen. De captcha's van gmail zijn overigens ook niet enorm geavanceerd.

Dat hele gebral over MD5 etc slaat overigens totaal nergens op. Dat maakt namelijk helemaal niks uit, aangezien de gebruiker sowieso nooit iets hoort te krijgen wat ook maar op enige manier terugleidt tot het antwoord van de captcha. Het antwoord van de captcha staat ergens in een database op de server, de user krijgt alleen een plaatje met een ID en stuurt het antwoord terug dat gecontroleerd wordt. MD5 maakt het op geen enkele manier veiliger, tenzij de mensen toegang zouden hebben tot de database, wat natuurlijk nooit het geval mag zijn.