Текстовые CAPTCHA требуют доработки

Текстовые CAPTCHA требуют доработки

Исследователи из Стэнфордского университета продемонстрировали уязвимость текстовых CAPTCHA к автоматизированным атакам, взломав 13 из 15 защитных решений, используемых на популярных веб-сайтах.



Полтора года американцы изучали современные средства противодействия алгоритмам сегментации и распознавания символов на живых примерах, взятых из Сети. По результатам исследования была создана полностью автоматизированная система для расшифровки тестов CAPTCHA, способная производить очистку от «шума», разбивать строки символов на отдельные фрагменты, нормализовать их размеры, опознавать знаки и осуществлять проверку правописания, если контрольное изображение представлено словом или фразой. Экспериментальный инструмент получил наименование Decaptcha и был применен для получения несанкционированного доступа к 15 разным по тематике сайтам, включая специализированные сервисы Captcha.net и Recaptcha.net.

В итоге на Baidu и Skyrock коэффициент результативности составил 1-10%, на CNN и Digg ― 10-24%; на eBay, Reddit, Slashdot и Wikipedia 25-49%; на Authorize.net, Blizzard, Captcha.net, Megaupload и NIH.gov 50% и выше. Бастионы Google и Recaptcha остались непокоренными. Следует отметить, что после проведения испытаний платежный сервис Visa Authorize и Digg поменяли свою защиту от ботов на reCAPTCHA, сообщает securelist

Исходя из результатов исследования, академики составили список рекомендаций по усилению текстовых CAPTCHA. По их мнению, рандомизация длины цепочки символов и размера каждого знака не приведет в замешательство человека, но значительно усложнит работу автомата. Эффективными признаны также такие трюки, как волнообразная форма строки, слитное написание знаков и наложение шумовых штрихов произвольной длины. Использование большого набора контрольных тестов, верхнего регистра и похожих символов, против ожидания, оказалось малоэффективным и лишь увеличивает процент ошибок при авторизации легальных пользователей.

Работа университетских исследователей из Стэнфорда была представлена на чикагской конференции ACM по компьютерной и сетевой безопасности (CCS 2011). Ее авторы планируют продолжать совершенствование Decaptcha и техник противодействия автоматизированному взлому контрольных тестов.

Провайдера в Петербурге оштрафовали за доступ к YouTube в обход ТСПУ

В Санкт-Петербурге суд оштрафовал интернет-провайдера ООО «Тинко» на 250 тысяч рублей за нарушение требований по пропуску трафика через технические средства противодействия угрозам, то есть ТСПУ. Речь идёт о решении мирового судьи судебного участка №178.

Как пояснила руководитель объединённой пресс-службы судов Петербурга Дарья Лебедева, нарушение зафиксировали ещё 7 декабря 2025 года во время мониторинга сети провайдера.

По материалам дела, в сети «Тинко» был обнаружен доступ к YouTube, при этом соответствующие сессии на ТСПУ отсутствовали. Иначе говоря, трафик, который должен был проходить через установленную систему фильтрации и контроля, шёл в обход неё.

Проверку проводил Центр мониторинга и управления сетью связи общего пользования с использованием автоматизированной системы «Ревизор», а точнее модуля «Агент Ревизор». Как утверждается, всё оборудование на момент проверки работало штатно, однако система всё равно показала, что ресурс www.youtube.com в сети провайдера доступен, хотя прохождение трафика через ТСПУ не фиксировалось.

Именно это Роскомнадзор и расценил как нарушение требований закона «О связи». В итоге компанию привлекли к ответственности по ч. 1 ст. 13.42.1 КоАП РФ.

Представитель провайдера на судебное заседание не пришёл. Зато представитель управления Роскомнадзора по Северо-Западному федеральному округу в суде подчеркнула, что материалы мониторинга подтверждают факт прохождения трафика в обход ТСПУ.

Если говорить проще, история сводится к следующему: регулятор увидел, что доступ к YouTube у абонентов провайдера есть, а через обязательную инфраструктуру фильтрации этот трафик, по данным проверки, не проходил. Именно за это компания и получила штраф.

На фоне продолжающегося контроля интернет-трафика в России такие дела становятся всё более показательными: внимание регуляторов уже направлено не только на сами платформы и сервисы, но и на то, как именно провайдеры технически исполняют требования по маршрутизации и фильтрации трафика.

RSS: Новости на портале Anti-Malware.ru