Эксперт раскрыл способ обхода Google ReCaptcha v2

Эксперт раскрыл способ обхода Google ReCaptcha v2

Эксперт раскрыл способ обхода Google ReCaptcha v2

Исследователь сумел обойти ReCaptcha v2 от Google и решил сделать свой способ достоянием общественности после того, как Google не смогла исправить эту проблему в течение нескольких месяцев.

Логическая уязвимость под названием ReBreakCaptcha была обнаружена в прошлом году, по словам исследователя, она до сих пор не устранена. Эксперт также объясняет, что способ обхода использует Google API для распознавания речи.

Эксплоит работает в три этапа: сначала следует выбрать аудио способ прохождения капчи, затем сконвертировать аудио-файл капчи и отправить его API распознавания речи и выполнить проверку.

ReCaptcha v2 отображает пользователям флажок "Я не робот", который затем обычно вызывает изображения для проверки. В случае же, когда пользователь выбирает звуковое подтверждение, будет необходимо нажать на кнопку Play и ввести слова, которые он услышит. Также можно скачать звуковой файл подтверждения.

После того, как звуковой файл проверки скачан, его можно отправить API распознавания речи от Google, перед этим обязательно сконвертировав в wav-формат. В результате, это может помочь обойти проверку путем простой команды «копировать-вставить».

Код, написанный на Python и подтверждающий слова эксперта, доступен на GitHub. Он был написан с целью последовательно реализовать все три этапа, описанных выше, и, используя библиотеку Python SpeechRecognition, осуществить распознавание речи.

Исследователь не уточнил, уведомил ли он компанию Google о наличии этой бреши.

Google позволит включать продвинутую защиту Android без режима паранойи

Google готовит более гибкие настройки Advanced Protection — усиленного режима безопасности, появившегося в Android 16. Пользователям могут разрешить отдельно включать защиту USB, обнаружение вторжений и ограничения для небезопасных сетей Wi-Fi.

Будущие изменения обнаружили специалисты Android Authority при разборе Google Play Services 26.36.30.

В коде появилась секция Expert features — «Экспертные функции». Она описывается как дополнительный уровень защиты, способный накладывать отдельные ограничения.

В этот раздел Google, вероятно, перенесёт USB Protection. Функция запрещает устанавливать новые USB-соединения, пока экран смартфона заблокирован, защищая устройство от физического взлома.

Работает она на Pixel 6 и более новых моделях, но иногда мешает быстрой зарядке: та может не запускаться до разблокировки. Безопасно, зато телефон просит предъявить лицо даже зарядному кабелю.


Ещё одной опцией станет запрет автоматического подключения к открытым и другим небезопасным сетям Wi-Fi. Пользователь сможет отказаться от него, если регулярно подключается к публичным точкам доступа и готов самостоятельно оценивать риски.

Третьим пунктом станет обнаружение вторжений. Сейчас связанная с ним функция Intrusion Logging уже остаётся добровольной: она собирает журналы безопасности и хранит их резервную копию в облаке с оконечным шифрованием.

Остальные компоненты Advanced Protection после включения режима нельзя отключить по отдельности, что прямо отражено в документации Google.

Новая схема позволит сохранить базовый набор усиленной защиты, не соглашаясь на все ограничения одновременно. Впрочем, Google пока не анонсировала Expert features официально, поэтому сроки запуска неизвестны, а найденные настройки ещё могут измениться.

RSS: Новости на портале Anti-Malware.ru