Hoofdcategorieën
Device Settings

Onderzoekers werken aan verbeterd captcha-systeem

Door Pieter Molenaar, zaterdag 2 januari 2010 11:39, views: 22.079

Israëlische onderzoekers denken met captcha's gebaseerd op bewegende beelden een betere beveiligingsmethode te hebben ontwikkeld. De methode is een voortvloeisel van een onderzoek gepresenteerd op de Siggraph Asia 2009.

In dat onderzoek getiteld 'Emerging Images', uitgevoerd door Daniel Cohen-Or van de Blavatnik School of Computer Sciences van de universiteit van Tel Aviv samen met collega's uit Taiwan, Saudi Arabië en India, wordt gebruikgemaakt van de unieke eigenschap van het menselijk brein dat uit ogenschijnlijk onsamenhangende delen een samenhangend geheel kan worden herkend. Deze eigenschap wordt emergentie genoemd.

Met de methode in het onderzoek van Cohen-Or kunnen bewegende beelden worden gegenereerd waarvan de afzonderlijke frames alleen ruis lijken te bevatten, maar als de frames na elkaar worden afgespeeld kunnen personen 3d-objecten in de beelden herkennen.

Volgens Cohen-Or kan de techniek een nuttige toepassing hebben als vervanging van de huidige tekst-captcha's, die met vervormde letters mens van bot proberen te onderscheiden. Deze laatste worden steeds meer met succes door ocr-programma's opgelost. De video-captcha's doorstaan de test beter doordat computers nog geen raad weten met de ruispatronen.

Wel zal het nog even duren voor de video-captcha's in de praktijk kan worden ingezet. Daar is meer onderzoek voor nodig. Vooral voor het invoeren van de goede oplossing moet nog een manier worden gevonden. De onderzoekers werken ook aan de mogelijkheid om in de toekomst video-captcha's met verschillende moeilijkheidsgraden te genereren.

Hier had een filmpje kunnen staan maar je browser heeft blijkbaar geen flash-support of javascript is uitgeschakeld...
Volgende 13:13 Draadloze Netgear Push 2 TV-mediaspeler uitgelekt via FCC
Vorige 16:17 IBM krijgt patent op implementatie afkortingen
Advertentie

Reacties

«  1  2  3  4  »

Worden die ondingen dan ook nog eens beter lees/zicht-baar? Want soms zijn die dingen dus werkelijk volkomen onleesbaar, ook voor mensen, niet alleen voor spambots.

Bij een registratie op een bepaald forum moest ik wel 10x opnieuw proberen voor ik er een had die goed was.

Ik ben van mening dat die dingen wel afgeschaft kunnen worden, bedenk dan een systeem wat iig gebruiksvriendelijker is. Want om je gebruikers het zo moeilijk mogelijk te maken lijkt me toch niet de meest handige methode...

Inderdaad, daar ben ik het ook mee eens, die dingen zijn haast niet te lezen. |:(

Tja, dat is de 'wapen wedloop' tussen wat OCR-software niet en, wij mensen, nog wel kunnen lezen. En aangezien de evolutie van computers op dit moment veel sneller gaat dan onze eigen evolutie is het gevolg dat captcha's steeds onleesbaarder worden.

Toch kun je ook mooie dingen met captcha's doen. Zo is reCaptcha naar mijn mening een geweldig idee. Je gebruikt teksten welke door een computer als onleesbaar worden beschouwd als captcha. Deze per definitie onleesbare tekst voor de computer is voor ons mensen vaak nog prima te lezen. Door het intypen van de captcha wordt dan de menselijke geest gebruikt om dit 'onleesbare' stuk tekst digitaal te vertalen. Zo worden hele jaargangen van b.v. de New-York times vertaald en digitaal beschikbaar gemaakt.

Een prima uitleg hiervoor door de uitvinder van de captcha (zegt 'ie zelf tenminste) én de recaptcha, Louis von Ahn, is te vinden in deze video

Ik denk niet dat het gaat om de definitie van het object, eerder de beweging. Kijk maar goed naar het voorbeeldfilmpje, het object wordt aan de linkerkant alleen maar omkaderd per frame, maar niet geanalyseerd op karakteristieken van het object. Een bot kan niet het object scheiden van de ruis, en dus ook niet de positie bepalen.
When animated, the motion pops out immediately (0:28)
Je hoeft als bezoeker alleen maar het object te volgen, je hoeft alleen maar je muis te gebruiken. Misschien moet je wel de baan van beweging tekenen op het scherm, met een paar punten of heel globaal een lijn trekken. Dat is al een stuk gebruikersvriendelijker dan een paar nauwelijks leesbare letters te moeten raden.

[Reactie gewijzigd door gizmostudios op zaterdag 2 januari 2010 13:04]


Dit kan nog steeds met letters/cijfers werken. Je laat enkele letters/cijfers van boven naar beneden bewegen in animatie en het blijft voor ons zichtbaar en voor de algortimes niet.

En dan huur je een paar mensen in die de hele dag capthcha's kraken.

Hehe ja en nu ik weet hoe het werkt vul ik dus alleen maar degene in die zeker weten goed is. Haha. Flauw he :+

Prima idee! Enkel is ieder antwoord dat ik invul goed, ook als ik een typo maak.

Dat klopt in principe. Alleen moet je ook nog een tweede woord invullen waarvan de tekst wel bekend is bij de computer.

En het is meestal vrij duidelijk welke van de twee dat is, dus je kunt 1x het goede woord invullen en de rest mag onzin zijn ;)

Die wordt er wel weer uit gevist. Een zelfde plaatje wordt meerdere keren naar verschillende gebruikers verstuurd. Er moeten meerdere gelijke antwoorden op terug komen voordat het als 'vertaald' beschouwd wordt.

Ook als captcha blijft het overeind. Je hebt immers prima bewezen dat je een mens bent, want voor een computer is het niet zo "vrij duidelijk welke van de twee dat is" :Y)

Wat, dus dat tweede woord overtypen is helemaal niet nodig? Wat een verspilling van mijn tijd dan.

Laat een hond kat of vogel zien als captcha vraag daarbij wat voor kleur heeft het en je hebt al redelijk wat mogelijkheden

Worden die ondingen dan ook nog eens beter lees/zicht-baar? Want soms zijn die dingen dus werkelijk volkomen onleesbaar, ook voor mensen, niet alleen voor spambots.
De voorbeelden in de filmpjes worden alleen maar lastiger. Want is de oplossing voor het eerste filmpje "Running man"/"Man running circles"/"Man running in circles"/"Circle runner"/etc...
Het grote voordeel van de huidige captcha's is dat het gewoon eenduidige karakters zijn (die inderdaad niet altijd even duidelijk te lezen zijn voor mensen) en dat de oplossing niet van een interpretatie, laat staan taalkennis en -vaardigheid afhangt.

En als je de bewegende beelden gaat vervangen door karakters dan denk ik dat het al een stuk makkelijker eruit te filteren is.

En waarom zouden het geen 3D gerenderde cijfers en letters kunnen zijn die via video worden afgespeeld?

Die kunnen natuurlijk wel, maar zoals ik in mijn laatste zin aangeef denk ik dat die weer makkelijker gekraakt kunnen worden doordat daar uiteindelijk toch wel OCR op kan worden losgelaten. Zij het met enigszins geavanceerdere methodes omdat de karakters in 3D zijn.
Of ze gaan weer dermate vreemde manieren bedenken om de karakters in 3D om te zetten dat het (te) lastig wordt om het te ontcijferen.

Vooral het feit dat ze in het filmpje geen voorbeelden met karakters hebben doet me twijfelen aan hoe goed dat werkt...

Ik denk dat je daar helemaal gelijk in hebt.
Wat b.v. nog wel zou kunnen werken is, naar het voorbeeld van een paard, dat je dat 3D-paart rond ziet rennen in de captcha en daar onder dan een aantal volledig andere plaatjes toont waarvan er op ééntje ook een paard te zien is.
De mens zal onmiddellijk de link zien en het juiste plaatje aanwijzen.

Nadeel van dit systeem is dat je met multiple choice ook kunt gokken en een bepaald percentage daarvan zal goed zijn. En aangezien computers heel snel kunnen zijn in dit soort gokken zullen ze best een aantal goede antwoorden produceren.

kan je beter heel veel dieren in een lijstje zetten, zodat die kans heel erg klein wordt.
(en dan natuurlijk ook verschillende talen)

Maar dan is er nog steeds een kans dat een computer het goed raad en als een computer dit bijvoorbeeld 100 keer per minuut zou doen en 1 op de 100 goed heeft, is dat 1 per minuut.
Wat PolarWolf voorstelt zou misschien nog kunnen werken, waarbij 3D tekst rond draaiend en over het beeld verschuifd in de ruis, net zo als in die oude Windows screensavers. Want zo zou het goede antwoord nog wel makkelijk in te voeren zijn.

Dan komt het volgende mechanisme in werking.
Als 1 IP adres 100 maal per minut probeert te raden dan block je die voor een bepaalde tijd.

Nadeel van dit systeem is dat je met multiple choice ook kunt gokken en een bepaald percentage daarvan zal goed zijn. En aangezien computers heel snel kunnen zijn in dit soort gokken zullen ze best een aantal goede antwoorden produceren.
Met een beperkt aantal antwoordmogelijkheden zijn er al voldoende goede captcha's. Bijvoorbeeld "how many cats do you see in this picture?". Komt een computer ook nooit achter. Of wat denk je van "Wie ziet er aantrekkelijker uit, Erica Terpstra of Kate Winslet?". "Balkenende of Marco Borsato?" Genoeg te verzinnen, "Wat is groter, het paleis op de dam of een hutje op de hei?". Het voornaamste probleem is als iemand eens alle antwoorden gaat indexeren een computer het alsnog in kan vullen.

[Reactie gewijzigd door W3ird_N3rd op zaterdag 2 januari 2010 17:08]


In plaats van een paard kun je natuurlijk ook gewoon letters of een woord laten bewegen.

Een simpel woord dat heen en weer beweegt over het scherm is natuurlijk heel makkelijk te kraken door gewoon de herhalende pixels te OCRen.
Zelfs als je het in 3D laat bewegen zal het, zij het wat moeilijker, denk ik ook wel te OCRen zijn omdat in een bepaald frame de letters toch moeten staan. Je moet ze nu alleen vergelijken met een 3D model van letters ipv 2D modellen.

Ik denk niet dat het zo makkelijk is zoals jij denkt. Doordat de geproduceerde laag van ruis, voorzowel de achtergrond, als het bewegende object wordt gemaakt. Alle pixels veranderen dus, op misschien een enkele willekeurige na dan. Als je verder kijkt naar het filmpje, dan probeert men doormiddel van tracking er bruikbare data voor een PC uit te halen. Dit geeft teveel ruis.

Met letters, zal het misschien iets makkelijker worden voor computers om te achterhalen. Maar doormiddel van contour herkenning e.d. kunnen computers al weten wat er op een plaatje bevind. http://knight.cis.temple.edu/~shape/partshape/ (Kon even geen betere link vinden). Er zijn databases die hier al mee werken, en als jij een plaatje van een paard wil, dan krijg jij uit de database plaatjes van een paard, berekend vanuit het plaatje.

En wat als je als Captcha, in plaats van die ruis, een plaatje van een dier pakt en die door een ACII-generator haalt, dan zit de computer alleen tekst, of zijn er ook al programma's die ook terug kunnen converteren?
Je zou op een site ook gebruik kunnen maken van heel veel verschillende soorten Captcha, waardoor een hacker heel veel verschillende software moet gebruiken wil die het allemaal kunnen ontcijferen.

nee tuurlijk niet want door deze truuk ziet de computer geen letter.

Het leek op een ezel :+

En daar heb je het probleem dat die dingen te gevoelig voor interpretatie zijn én je moet nog eens (vaak in het Engels) weten hoe een woord wordt geschreven.

Als dit zo blijft doorgaan word het onmogelijk om nog ergens te registreren omdat je er gewoon niet wijs uit geraakt.

(en dan heb ik nog niet over de "gesproken" versie gesproken :X )

Ik denk dat ze een Multiple Choice vraag maken ofzo.

Daar zat ik ook aan te denken, maar volgens mij verslaat dat het doel van een chapta, 4-5 keer proberen (gemiddeld) en je bent er ook in.

Waarschijnlijk moet je gewoon het object volgen met de muis, want ze laten zien dat de computer daar slecht in is.

ps, die uitdrukking is engels....

Of laat de computer een penalty nemen mis, 1 minuut wachten.

Ga er maar vanuit dat het geen multiple choise wordt. Dan is de kans dat de spambot de juiste kiest groter als met de bestaande captcha techniek. Voorbeeld: Als je uit 4 mogelijkheden kan kiezen is het 25% kans dat je de juiste kiest. Bij 10 keuzes is het nog steeds 10% kans dat je de juiste keuze maakt. Dus meerkeuze is geen oplossing voor captcha.

Het idee van een captcha is toch dat een machine er niet doorheen kan brute-forcen?

Als je er een multiple choice van maakt heb je (1/mogelijkheden) kans om er door te komen. Dat is een veel grotere kans dan bij een ouderwetse captcha (1/(26*aantal letters)).

Dus ik denk dat ze daar toch iets anders voor gebruiken, misschien iets met keywords ofzo. Dus bij het eerste plaatje zal 'man' waarschijnlijk het goede antwoord zijn.

Quick sidenote: kans bij een ouderwetse captcha is niet (1/(26*aantal letters)), maar
1/(26^aantal letters)). Het aantal mogelijkheden stijgt exponentieel met het aantal letters, niet lineair. :)

Het gaat er om dat de beheerder van de website enkel menselijke bezoekers wil hebben. Volgens mij wordt hier iets ontwikkelt wat het er niet makkelijker op maakt.

Mensen zijn in staat om iets te intepreteren, computers kunnen dit voor als nog niet. Volgens mij is de methode om een plaatje te laten zien waar een aantal objecten op staan en vervolgens vragen welke object een bepaalde kleur heeft.

Of heel simpel, toon een plaatje met een zooitje dieren en vraag hoeveel van een bepaald diersoort op het plaatje staan. Daarmee lijkt me het maken van een bot al zo veel moeilijker gemaakt en het voor de mens niet al te ingewikkeld maakt.

Met multiple choice maak je het juist veel te makkelijk voor spambots. Die hoeven immers maar een paar keer te proberen voor ze goed gokken. Bij captchas moet het aantal mogelijke antwoorden gewoon zodanig groot zijn dat de kans dat je goed gokt te verwaarlozen is.

Ik denk dat Multiple Choice best goed te doen is, stel twee vragen per captcha:

Het object dat u ziet in het filmpje is een:
- Kurkentrekker
- Paard
- Mens
- Strandbal
- Wolk

Het object beweegt:
- Van links naar rechts
- Van rechts naar links
- In een cirkel met de klok mee
- In een cirkel tegen de klok in
- Van boven naar beneden
- Van beneden naar boven

Eventueel zou je de foute antwoorden ook nog kunnen rouleren met andere captcha's, soms is het inderdaad een kurkentrekker en geen mens bijvoorbeeld of speel je het filmpje achterstevoren af zodat de richting omdraait.

Dit geeft een redelijke grote hoeveelheid kansen, vooral als de captcha natuurlijk niet uit één en hetzelfde filmpje bestaat maar een site ook nog eens 20 verschillende filmpjes heeft.

[Reactie gewijzigd door Maurits van Baerle op zaterdag 2 januari 2010 14:17]


Dan heeft een bot bij een bruteforce aanval nog steeds 3% kans op een goed antwoord.
Het probleem met deze aanpak is dat je zoveel antwoorden nodig hebt dat het voor de mens ook niet meer gebruiktsvriendelijk is. Je wilt niet tientallen vragen doorlopen of uit een lijst met 100 antwoorden zoeken.

Ik denk dat je het gewoon heel simpel moet houden en alleen maar vragen welk figuurtje je ziet bewegen. De gehele beweging die te zien is moet je achterwege laten omdat je het daarmee alleen maar moeilijker maakt.

Het hele idee van deze techniek is het voor software nagenoeg onmogelijk maken om te zien wat er op het plaatje staat en wat er in het filmpje gebeurd. Het maakt hierbij gebruik van het herkennen van patronen door het menselijk brein. Normaliter maak je allemaal foto's en die ga je dan vergelijken. Doordat er echter allemaal ruis in zit die per plaatje weer van plek is veranderd zit je met een gigantisch aantal verschillen. Door ze echter snel achter elkaar te spelen herkent het menselijk brein een patroon zoals het rennende mannetje en rennende paard in het voorbeeldfilmpje. Daar is weinig moeite voor nodig. Je hoeft niet na te denken wat er voor woorden staan en je hoeft geen uitkomst van een som te berekenen. De vraag "wat zie je?" met daarna een willekeurig aantal keuzes zou voldoende moeten zijn. Het toevoegen van nog meer zaken zou er een complete multiple choice toets van maken en dan haken mensen af.

je moet gewoon met de muis de positie volgen tijdens het filmpje. Dan wordt het taalonafhankelijk en hoef je het object niet te herkennen. Toch kan een computer onmogelijk de juiste positie aanwijzen.

Misschien wel geen tekst, maar een map met coordinaten. De vraag kan dan zijn, klik op het hoofd van de rennende man.

Dat die dingen beter leesbaar zouden kunnen ben ik met je eens, maar afschaffen? Als je de deur wagenwijd openzet voor spammers kan je je forum beter meteen sluiten.

Als je al je gebruikers wegjaagt omdat die dingen soms zó moeilijk leesbaar zijn dat je 10 pogingen nodig hebt om er door te komen, kan je je site ook wel sluiten, want dan is er niemand meer die erop kan.

Waarom kan je niet een andere methode doen dan een captcha? Zoals een moderator die handmatig je account moet activeren bijvoorbeeld, al dan niet in combinatie met een door de gebruiker aan te klikken activeringslink. Of een registratieprocedure die je één (of enkele) willekeurige vragen stelt uit de FAQ van de site.

En zo zullen er nog wel meer methoden te verzinnen zijn door deskundigen die heel wat gebruiksvriendelijker zijn dan een captcha.

Waarom kan je niet een andere methode doen dan een captcha? Zoals een moderator die handmatig je account moet activeren bijvoorbeeld, al dan niet in combinatie met een door de gebruiker aan te klikken activeringslink. Of een registratieprocedure die je één (of enkele) willekeurige vragen stelt uit de FAQ van de site.

En zo zullen er nog wel meer methoden te verzinnen zijn door deskundigen die heel wat gebruiksvriendelijker zijn dan een captcha.
Dat gebeurt toch ook op de meeste fora. Bovendien zie ik het probleem ook niet zo als je alleen bij de registratie een captcha krijgt; mocht hij onleesbaar zijn dan herlaad je de pagina even.

Het zijn meestal de simpelere blogs waar je je niet hoeft te registreren waar je voor elke reactie die je wil posten weer een captcha moet oplossen.

[Reactie gewijzigd door Aham brahmasmi op zaterdag 2 januari 2010 13:09]


De meeste fora gebruiken activatie van een account waarbij de gebruiker op een link die hij/zij per mail toegestuurd krijgt. Bij een aantal fora vindt men het van belang dat mensen die er geen account hebben wel de informatie op het forum kunnen doorzoeken. Om daar spamming mee tegen te gaan gebruiken ze juist daar wel captcha's. Voorbeelden hiervan zijn te zien op ubuntuforums.org en forums.freebsd.org.

Op Macrumors.com maken ze voor het forum ook gebruik van een activatielink die je per mail krijgt en waar je even op moet klikken. Desondanks hebben ze daar toch last van spammers. Ik denk dat je je ook terdege moet realiseren dat spamming niet volledig uit te bannen valt maar dat je wel middels die activatielink heel wat spamming kunt voorkomen. Het gebruik van captcha's was destijds ook een aardige uitvinding die inmiddels aan een draadje hangt omdat het middels ocr al aardig gekraakt is.

Dat wat men hier demonstreert is dan ook meer een vervanging van de huidige captcha's waarbij men gebruik maakt van het menselijk vermogen om patronen te herkennen. Softwarematig gezien is dat heel erg moeilijk omdat men tot op de dag van vandaag alleen maar doet aan het herkennen van verschillen. Door de ruis iedere keer iets te bewegen levert dit dermate veel verschillen op dat de software erop vastloopt. Wij mensen zien echter tussen al die bewegende puntjes het patroon nog. Het lijkt een erg handige techniek te zijn indien je nog van captcha's gebruik wilt maken. Het is alleen nog allemaal erg pril en ruw van opzet. Er moet, zoals het artikel ook al meldt, nog het nodige aan onderzoek worden gedaan om het te perfectioneren zodat bijv. het patroon ook beter te zien is (het rennende mannetje vind ik bijv. een stuk duidelijker dan dat paard, met name de eerste paar frames waarin het mannetje erg op de voorgrond is). Het nadeel van dit soort captcha's is echter wel dat sommige mensen niet goed of totaal niet in staat zijn om bepaalde patronen te herkennen, die zul je dan echt iets anders moeten voorschotelen.

Een activeringslink is natuurlijk erg makkelijk voor een bot. Bot maakt een apart email adres aan (geautomatiseerd op een eigen server), leest de link uit de mail uit en je bent er...

Omdat je anders misschien zit met 10.000 accounts die je allemaal (handmatig) moet verwijderen :P

Helaas, er is eigenlijk geen alternatief meer. Met de hand alle input controleren werkt niet als je het doelwit bent van een spammer die je forum wil flooden met link spam om zijn sites hoger in de zoekresultaten te krijgen.

Zoek maar eens goed, en je vind talloze sites die ooit zijn opgezet als klein forum of blog waar 99% spam commentaar/posts zijn.

Het is dweilen met de kraan open.

Geen enkele website beheerder implementeert catchpa's voor de lol. Google denkt ECHT niet van "ach, we krijgen extra klanten door ze een catchpa te tonen".

Ze hebben gewoon geen keuze meer. En alle andere suggesties die je geeft zijn even moeilijk. Een FAQ? Niemand leest die dingen, en wil ze ook niet lezen.

Probeer het toch echt eens op een eigen site als je het zo goed weet. Je kunt er een fortuin mee verdienen.

En hoe moeten blinde mensen dan door een captcha komen? Met een geluidssample waarschijnlijk, zoals ze nu al vaak doen? Dan is dat toch weer het zwakste punt lijkt me.

intresante vraag.
voor slechtzienden is het zowiezo lastig zon captcha.
als je helemaal blind bent,wat kan je dan nog op het web?
iets met geluid doen is dan idd miss een oplossing

als je helemaal blind bent,wat kan je dan nog op het web?
Daar heb je braille voor, er is zelfs een Internet-versie van die taal: Web-Braille. Daarnaast houden veel webdesigners rekening met mensen met handicaps, door middel van allerlei aanpassingen.

Weet alleen niet of zo'n captcha (de ouderwetse of de nieuwe variant) ook in (web)braille te realiseren is.

[Reactie gewijzigd door wildhagen op zaterdag 2 januari 2010 12:14]


Captcha voor blinden kan prima via geluiden. B.v. zoiets: (via reCaptcha. Klik op de het luidsprekertje om van tekst naar een audio-captcha te gaan)
You can hear the new audio CAPTCHA by going here and clicking on the audio button. You'll hear a short clip with people speaking and will have to type what they are saying. To account for spelling mistakes and homophones, the verification algorithm uses a phoneme-based encoding and allows a small number of mistakes.
Edit: link buiten de quote gezet ;)

[Reactie gewijzigd door T-men op zaterdag 2 januari 2010 14:10]


De discussie die woekele hiermee lijkt te starten gaat over het kunnen misbruiken van die audio dingen. Straks laat men het beeld voor wat het is en schakelt men over op audio analyse om zo de captcha uit te rekenen en te omzeilen. Dan is het ook meteen de vraag hoe je dat gaat oplossen cq. tegen gaat. Dan kom je uiteindelijk ook weer terecht bij de vraag wat je er dan uiteindelijk allemaal mee opschiet (spamming maar wel users, geen spamming en ook geen users wegens onmogelijke captcha's).

Die geluidssamples zijn trouwens niet gemakkelijk. Ik probeerde laatst eentje omdat ik de letters echt niet kon lezen, maar bij het geluidsfragment was het nog veel moeilijker. Het gemakkelijkste als blinde persoon is de beheerder contacteren (denk ik)

Kun je er donder op zeggen dat de websitebeheerders veel mail van mailto:blindman0951@hotmail.com gaan ontvangen.

Als je zo een bewegende captha op je website zou hebben zou die dan niet traag gaan laden ? want het is weer extra stuk beveiliging en ik neem aan dat bewegende objecten het zaakje weer wat trager maken...

Met die breedbandverbindingen van tegenwoordig lijkt me dat niet zo'n issue meer. Een GIF kan ook bewegen, maar is toch echt maar erg klein.

Het lijkt me ook niet waarschijnlijk dat het hier om filmpjes in 1080p-kwaliteit van 100 MB per stuk gaat ofzo.

Als de server niet zo traag is hoef je dat met de huidige ADSL, kabel en glasvezelverbindingen niet echt te merken, maar het kost uiteraard meer rekenkracht aan de kant van de server. Die moet nu op eens, zeg, 300 frames berekenen inplaats van 1.

Edit: iets wat late reactie.

[Reactie gewijzigd door theblindman op zaterdag 2 januari 2010 11:58]


De server hoeft lijkt mij helemaal geen bewegende objecten te berekenen, want dit zou al eerder gedaan moeten zijn en staan deze afbeeldingen in een database die je dan alleen hoeft te downloaden, wat hooguit een paar MB zijn, waarschijnlijk minder omdat er alleen zwart en wit in voorkomt en het een niet erg lange animatie is.

En dus jij zegt dat als ik 100 keer refresh, zodat ik alle afbeeldingen binnen heb, ik een compare kan doen en vervolgens nog machinaal de acties kan uitvoeren? :?

Maar dan nog, stel je maakt een site met populaire content. Weliswaar illegaal of iets in die trant, maar dan download je de captcha van de site die je wilt aanvallen, je laat de user op jouw site het goede antwoord invullen voordat ze hun content krijgen en vervolgens gebruik jij dat antwoord om je actie uit te voeren op de achterliggende site. In feite doet iemand anders dan het vuile werk voor je.

Ik blijf erbij, captcha's zijn niet de oplossing. Wat wel? Ik weet het niet :P

Captcha's worden meestal alleen gebruikt bij registratie. Zelfs een groot forum als GoT heeft denk ik maar hoogstends enkele registraties per minuut, ik denk dat een server dat makkelijk kan hebben.

Dat trage laden kan gebeuren en daar zullen ze ook naar moeten kijken. Dan moeten ze dus niet kijken naar hoe ze het sneller kunnen maken maar eerder naar wat de minimale snelheid is om het verstopte patroon te kunnen herkennen. Voor software maakt het niet uit, die zal normaliter toch plaatjes schieten en de verschillen berekenen. Door de bewegende ruis waartussen de eigenlijke animatie wordt verstopt zijn dit dermate veel verschillen dat de software het niet meer weet. De snelheid maakt in dat verhaal niets uit omdat het om de verschillen gaat tussen de plaatjes. Hoofdzaak is dat wij mensen het patroon nog kunnen herkennen en dan is snelheid wel van belang. Probeer in het filmpje wanneer ze alle plaatjes naast elkaar zetten het patroon maar eens te herkennen, software is daar beter in dan wij.

Zoals wildhagen al aangeeft kun je het ook als gif doen wat niet zo'n grote file is. Zoals je in het filmpje ziet gaat het ook alleen maar om een aantal zwart-wit plaatjes dat achter elkaar is gezet. Dat zal allemaal niet zo erg veel data zijn. Afmetingen van zo'n filmpje zijn ook niet zo belangrijk, je moet alleen het patroon kunnen herkennen.

@dtech: plaatjes kun je van het forum scheiden en dat is ook exact wat tweakers.net doet. De load wordt daarmee over een aantal servers verspreidt waardoor het ook geen probleem meer wordt. Het probleem zul je dan ook eerder tegen komen bij de kleinere sites waarbij men maar 1 server heeft of juist alleen maar en website pakketje en dus vaak draait op een server waarop meerdere sites staan.

Geluidssamples kunnen misschien nog wel ingewikkelder, het menselijk brein is ertoe in staat bepaalde geluiden 10 decibel te versterken van de achtergrond, dat is behoorlijk veel. Overigens vraag ik me af hoe je dit moet genereren met een doorsnee server en hoe je hier nu een vraag over kunt stellen in de vorm van: wat zie je hier, kun je zo 10 verschillende (goede) antwoorden opnoemen.

Daar komt nog bij dat je hier moeilijk een oneindige hoeveelheid van kunt genereren, en dus kunnen spammers met databases gaan werken. Het is in ieder geval een hele stap vooruit lijkt me.

Edit: aan de andere kant schiet je hier niets mee op. Een spammer die een pornosite runt ofzo vraagt zijn bezoekers (voordat ze verder kunnen) 5 van die dingen in te vullen die zijn bots net zijn tegengekomen. Die manier van werken is met geen enkele captcha af te weren.

[Reactie gewijzigd door ktf op zaterdag 2 januari 2010 11:50]


Ja, spammers gebruiken ook Amazon's Mechanical Turk om captcha's aan de lopende band te ontcijferen.

Ik denk dat je het object heel eenvoudig moeten "tracken" met de muis, het is de beweging, niet het object wat je moet raden. De bots kunnen niet de beweging analyseren, de mens wel. In het voorbeeldfilmpje zie je ook aan de linkerkant "reliably detects the moving subject", waar enkel de beweging omgekaderd wordt. Dus het moeten raden WAT het object is is niet eens nodig volgens mij.

Ik denk dat je je daarmee aardig vergist. Er is namelijk sprake van 2 dingen: je hebt een beweging en je hebt een object die deze beweging uitvoert. Daarbij heb je het voordeel dat je willekeurig kunt vragen naar wat het object is of wat de beweging is en dus moet je beide dingen achterhalen. Als je dan middels een willekeurig samengestelde multiple choice lijst van 3 of 5 mogelijkheden een gebruiker vraagt wat de beweging en/of object is wordt het al lastig om het te raden. Door middel van social engineering is het echter niet onmogelijk. Je krijgt dan het verhaal wat ktf in z'n edit beschrijft: mensen krijgen een afbeelding/animatie voorgeschoteld en selecteren dan een bepaalde optie. Middels statistiek is dan uit te rekenen welke optie dan de meest waarschijnlijke is. Dat sla je op in je database en vervolgens heb je afbeelding/animatie aan 1 woord of meerdere woorden gehangen. Middels analyse van zowel afbeelding/animatie en de keuzes die je krijgt kan men dan de juiste optie kiezen. Tegen dat social engineering valt helaas niets te doen, er zijn teveel gebruikers die dom/onwetend zijn (doorhalen welke je niet van toepassing acht :)) en er dus in zullen trappen. Daar heb je maar een paar van nodig en hopsa, je kunt je database vullen. De truc zit 'm dan ook in zorgen dat je mensen naar zo'n site krijgt. Een andere optie wordt hieronder al genoemd: mensen betalen om dit te doen. Mik op een bepaalde bevolking die wel een extraatje kan gebruiken en hopsa, ze doen het zo.

[Reactie gewijzigd door ppl op zaterdag 2 januari 2010 16:20]


Ik denk niet dat je de reactie heel goed hebt gelezen, de beweging "tracken" met de muis betekend iets dat de beweging van de muis gebruikt, dus dat je met het object mee beweegt met de muis. En dat is iets wat heel makkelijk is voor mensen, en (blijkbaar) heel lastig voor computers.
Op die manier heb je niet te maken met mc vragen oid, en heeft het een nog kleinere gokkans tov gewone captcha's.

Edit: aan de andere kant schiet je hier niets mee op. Een spammer die een pornosite runt ofzo vraagt zijn bezoekers (voordat ze verder kunnen) 5 van die dingen in te vullen die zijn bots net zijn tegengekomen. Die manier van werken is met geen enkele captcha af te weren.
True, als je tegenwoordig nog een warez-site of toplist opentrekt (als je als simpele downloader al zo stom bent...) dan maken de meer clandestiene sites gelijk misbruik van jou als gebruiker. Of ze besteden het uit aan een aantal Chinezen met typemachines.

De enige oplossing die 100% gegarandeerd werkt: Internetters eens manieren leren, zodat ze donders goed snappen dat 99.99999% geen zin heeft om nep-horloges, illegale software, Viagra of zogenaamde erfenissen te kopen.

Ben benieuwd hoe dit gebruikt gaat worden. Deze techniek is op den duur ook gewoon te tracken.

Ik zie nu al een mogelijke aanval, uit de losse pols: bekijk de ruis-stippen die in een paar beeldjes achter elkaar steeds maar een beetje verschoven zijn. Dat zijn de stippen die deel uitmaken van het gezochte plaatje.

Ik denk dat dat niet gaat lukken omdat het allemaal onafhankelijke frames zijn die achter elkaar worden getoond.

Een film zijn ook allemaal onafhankelijke frames...

Het enige verschil in dit filmpje is dat de informatie nu niet in één frame zit, maar in de korrelatie tussen verschillende frames. En sinds we genoeg onderzoek hebben gedaan om dat er ook uit te kunnen peuteren (MPEG, anyone?), denk ik niet dat deze captcha lang stand zal houden.

Een beetje frutten met difference matte, inverteren van de boel en je video ziet er al een stuk machine-leesbaarder uit.

Die zijn er niet, kijk maar goed.
Die veranderen ook steeds.

je moet dan ook niet kijken naar de zwarte vlekken, maar naar de witte. Ze traceren gewoon het verkeerde kleur... de vorm herken je doordat er een witte rand is die overal blijft

Natuurlijk. Iedere verbetering in beveiliging is tijdelijk, en wordt op den duur achterhaald. Maar als je hiermee een aantal jaar een alternatief hebt voor de ondertussen verzwakte captcha's is dat toch prachtig?

Ik krijg hoofdpijn van zo'n beeldje vol met ruis. Als idee is het wel aardig bedacht, maar ik zie het werkelijk niet in de praktijk werken.

Inderdaad, het idee is heel goed, maar ik denk dat het gebruikers - tweakers en non-tweakers alike - erg gefrustreerd kunnen raken van dit soort captcha's. Dat soort frustratie leidt heel vaak tot verlies van bezoekers, en werkt dus ernstig contra-productief.

Captcha's zelf staan daar soms al om bekend, deze zullen dat nog meer hebben vermoed ik zo.

Ok dan schaffen we het af en dan wil ik wel eens zien hoe snel jullie gaan lopen schreeuqen om een systeem te vinden die spambots weghoudt.
Ik durf nu al te zeggen dat je het geen week vol zou houden op een forum waar spambots dus vrij spel hebben.

Tuurlijk captcha is een irritatie maar het is juist jammer dat we wel systemen als dat moeten gebruiken omdat louche lui met spambots werken en zo je euries weg willen halen met rare shit.

Dat het fout gaat als we niets doen, wil niet zeggen dat elke maatregel automatisch een goed idee is. "Je wilt toch niet dat vliegtuigen opgeblazen worden, dus laten we iedereen preventief anaal fouilleren".

Een captcha is in principe een goed idee, maar hij moet normale gebruikers zo min mogelijk hinderen, er moet een alternatief voor slechtzienden zijn en als het even kan moet hij tegen een aanval kunnen waarbij de captcha stiekem doorgezet wordt naar een site waar je 10 minuten porno mag kijken als je 5 captcha's oplost.

Dat een vorm van captcha vereist is staat als paal boven water. Maar je moet als beheerder rekening houden met de negatieve kanten van de zaak.

Iedereen wil graag geheel veilig zijn, maar niemand is van plan om zijn privacy daardoor te verliezen.

Waar het om gaat is dat je moet oppassen dat een beveiliging niet de reden wordt waardoor klanten afhaken.

Je kunt de voorkant helemaal dichttimmeren, maar je kunt misschien ook zorgen dat je aan de achterkant de boel opgeruimd houdt. Dus door blacklists, door actieve moderatie enz enz enz.

Volgens mij is de modernste methode om captcha's te kraken tegenwoordig een miep in India inhuren die voor 5 cent per uur de hele dag die plaatjes ontcijfert. Daar kan geen enkel systeem tegenop.

Exact!

En zelfs als dit niet het geval zou zijn, dan is deze technologie dusdanig dat er waarschijnlijk een multiple choice vraag gebruikt moet worden om het antwoord te geven. Want, zoals Cocoocachoo hierboven al terecht vraagt: is het antwoord Running man"/"Man running circles"/"Man running in circles"/"Circle runner"/?

Met een multiple choice vraag heb je dus met een bot automatisch tussen de ca 10 en 50% van de captcha's goed (afhankelijk van het aantal opties), puur op basis van gokken. Dat is een meer dan acceptabele rate voor een bot.

Die vind ik wel sterk ja !

grappigste is dat dit dus een onderzoek is om dingen te maken die niet machineleesbaar zijn, terwijl recht tegenover ervan dus bakken onderzoek gedaan wordt om net WEL machine lezen en herkenning mogelijk te maken uit abstracte dingen zoals dit, omdat dit laatste een vereiste is om robots te laten werken in een dynamische omgeving, ze moeten immers makkelijk dingen kunnen herkennen. Dit onderzoek wordt dus binnen afzienbaare tijd gewoon teniet gedaan.

De captcha is het probleem niet, het is het gebruik ervan.
Multiple choice captcha's zijn gewoon minder betrouwbaar dan letter captcha's,
je hebt immer maar 4 mogelijkheden in plaats van 2176782336 mogelijkheden
(Immers 36^6, omdat je 6 karakters hebt van A - Z + 0-9)

Je kan dan wel een moeilijke captcha maken, maar het heeft gewoon geen zin in combinatie met multiple choice.
«  1  2  3  4  »

Op dit item kan niet meer gereageerd worden.

Volgende 13:13 Draadloze Netgear Push 2 TV-mediaspeler uitgelekt via FCC
Vorige 16:17 IBM krijgt patent op implementatie afkortingen
VNU Media logo Hosted by True

© 1998 - 2012 Tweakers.net B.V. - Alle rechten voorbehouden - Contact - Jouw privacy - Algemene Voorwaarden

Uitgever van:

Website van het jaar 2011