Текстовые CAPTCHA требуют доработки

Текстовые CAPTCHA требуют доработки

Исследователи из Стэнфордского университета продемонстрировали уязвимость текстовых CAPTCHA к автоматизированным атакам, взломав 13 из 15 защитных решений, используемых на популярных веб-сайтах.



Полтора года американцы изучали современные средства противодействия алгоритмам сегментации и распознавания символов на живых примерах, взятых из Сети. По результатам исследования была создана полностью автоматизированная система для расшифровки тестов CAPTCHA, способная производить очистку от «шума», разбивать строки символов на отдельные фрагменты, нормализовать их размеры, опознавать знаки и осуществлять проверку правописания, если контрольное изображение представлено словом или фразой. Экспериментальный инструмент получил наименование Decaptcha и был применен для получения несанкционированного доступа к 15 разным по тематике сайтам, включая специализированные сервисы Captcha.net и Recaptcha.net.

В итоге на Baidu и Skyrock коэффициент результативности составил 1-10%, на CNN и Digg ― 10-24%; на eBay, Reddit, Slashdot и Wikipedia 25-49%; на Authorize.net, Blizzard, Captcha.net, Megaupload и NIH.gov 50% и выше. Бастионы Google и Recaptcha остались непокоренными. Следует отметить, что после проведения испытаний платежный сервис Visa Authorize и Digg поменяли свою защиту от ботов на reCAPTCHA, сообщает securelist

Исходя из результатов исследования, академики составили список рекомендаций по усилению текстовых CAPTCHA. По их мнению, рандомизация длины цепочки символов и размера каждого знака не приведет в замешательство человека, но значительно усложнит работу автомата. Эффективными признаны также такие трюки, как волнообразная форма строки, слитное написание знаков и наложение шумовых штрихов произвольной длины. Использование большого набора контрольных тестов, верхнего регистра и похожих символов, против ожидания, оказалось малоэффективным и лишь увеличивает процент ошибок при авторизации легальных пользователей.

Работа университетских исследователей из Стэнфорда была представлена на чикагской конференции ACM по компьютерной и сетевой безопасности (CCS 2011). Ее авторы планируют продолжать совершенствование Decaptcha и техник противодействия автоматизированному взлому контрольных тестов.

AM LiveКак эффективно защититься от шифровальщиков? Расскажем на AM Live - переходите по ссылке, чтобы узнать подробности

Российские банки обяжут привязывать клиентские счета к ИНН

Банк России собирается ввести обязательное требование для кредитно-финансовых организаций — привязку ИНН клиентов к их счетам. Новый реквизит понадобится для платформы «Антидроп», запуск которой запланирован на середину 2027 года.

О новой мере, нацеленной на противодействие дропперству, рассказала в ходе интервью РБК зампред Центробанка Ольга Полякова.

По ее словам, российские банки умеют работать с ИНН, даже обзавелись инструментами для получения этого идентификатора в ФНС. Результаты опросов финансистов показали их готовность соответствовать новой норме.

«Если раньше для банков не было обязательного требования устанавливать ИНН клиента как обязательный реквизит счета, то мы такое требование введем, и при открытии нового счета, и по тем счетам, что были открыты ранее», — уточнила представитель ЦБ.

С 1 сентября 2025 года у россиян стали запрашивать ИНН при предоставлении кредитов и займов — в соответствии с ФЗ-9 от 13 февраля. Подобная мера была введена в рамках борьбы мошенничеством в этой сфере.

Концепция платформы «Антидроп», по словам Поляковой, уже утверждена, проект архитектуры сервиса готов. В настоящее время Центробанк разрабатывает ТЗ, чтобы в будущем году перейти к разработке системы.

Подключение банков к «Антидропу» будет обязательным, однако решения о степени риска для внесенных в базу клиентов они смогут принимать самостоятельно. По такому же принципу сейчас работает платформа «Знай своего клиента» (KYC), созданная для противодействия отмыванию денег.

AM LiveКак эффективно защититься от шифровальщиков? Расскажем на AM Live - переходите по ссылке, чтобы узнать подробности

RSS: Новости на портале Anti-Malware.ru