Používejte geniální CAPTCHA techniku

Proč by roboti neuměli používat javascript. Např. V8 JavaScript Engine je open-source. Samozřejmě, že kvůli vašemu blogu to implementovat do robota nikdo nebude, ale kvůli gmailu, by si s tím spameři dali jistě tu práci.
Proto musí google vymýšlet sakra těžké obrázky, které sotva přečte člověk, protože dnešní roboti umí přes OCR leccos rozeznat.

Je mi jasné, že někteři roboti by teoreticky mohli používat javascript. Teď mě tak napadlo např. vzít a využít open source kód Firefoxu a přestavět ho na robota. Nicméně, pro většinu stupdních robotů, kterých je na netu fůra, tato technika plně postačuje pro většinu projektů. Pokud se zjistí, že roboti této funkčnosti dosáhli ve velkém měřítku, tak se zabezpečení bude měnit. Ale takhle je to vlastně se všemi bezpečnostními prvky, nebo ne?

Napadla mě možná další věc, jak udělat zabezpečení. (jen nápad, do detailu teď nemyslím)
A sice tak, že by se místo standardního tlačítka zobrazil obrázek (dostatečně veliký) a na něm by se náhodně zobrazovalo jediné místo (řekněme kolečko o xy souřadnicích a nějakém poloměru), na které by se kliklo a tím by se (podle x-sové a y-psylonové souřadnice kliknutí, které se zasílá v požadavku) zjistilo, že daný uživatel není robot.

ad 2. Vas druhy napad by byl resitelny nejspise javascriptem, takze opet narazite na to, zda ho roboti umi. Jinak vse se da obejit, jde jen o to, jestli se to spamerum vyplati. Navic dle me poradna spam ochrana nevyzaduje akci uzivatele, coz je v dnesni dobe trochu problem, prestoze toto lze javascriptem resit. Je vsak mylne vychazet z toho, ze spambot neumi JS,

ad 3. Nechtěl jsem to řešit javascriptem. Prohlížeč normálně posílá souřadnice kliknutí na obrázek, pokud je . (v GETu jako name_x a name_y) Tím bych teoreticky zjistil, kde uživatel klikl a mohl bych to prověřit.

"Nicméně, pro většinu stupdních robotů, kterých je na netu fůra, tato technika plně postačuje pro většinu projektů."
Ale přitom to ukazujete na captche googlu. A na něj stupidní roboti nejdou.
K tomu druhému nápadu: kolik těch obrázků byste potom musel generovat? 10, 100, 1 000 000 ... protože i jednou za 100 pokusů se to robotovi stále vyplatí.

Jo a spameři dohnali Google až k tomuto http://www.maxiorel.cz/chcete-gmail-potrebujete-mobil

No kdybych chtěl vaši captcha hacknout, tak tím ajaxem mi asi tak tisíckrát usnadníte práci. Místo optimalizování nějakého OCRka bych prostě udělal jeden request navíc. Tudy cesta opravdu nevede.

ad 7. No, máš pravdu v tom, že kdyby se chtěl někdo opravdu hacknout na nějaký náš projekt, tak to asi udělá. Problém je v tom, že když útočník chce, tak většina CAPTCHA se dá hacknout (viz. http://caca.zoy.org/wiki/PWNtcha). To by museli ovšem studovat kód všech stránek a to se jim jaksi moc nevyplatí.

Nejlepší ochranu proti spamu má Seznam ;-D Jejich captcha obsahuje znaky s diakritikou, takže je nezadá nikdo, kdo nemá nainstalovanou češtinu (ani Čech ze zahraničního inetcafe)!!

Ten Váš nápad je učinný jen proto, že jej používáte u svých malých projektíků. V okamžiku, kdy by se to více rozšířilo, tak to spameři doprogramují a to tak, že velice snadno.

aco 3d captcha, kterou jsem videl treba tady http://registrace.libimseti.cz/ to je taky snadno prustrelne

[11] Říká kdo? Teda jestli to máš podložené, myslím že jen kecáš. 3d je dobrý systém, mnohem lepší než na první pohled vypadá.

[12]
- tma ma byt ozaunik, jako ze otazka
"a co 3d captcha, kterou jsem videl treba tady http://registrace.libimseti.cz/ to je taky snadno prustrelne?"

Táto ochrana spája skôr nevýhody ako výhody viacerých ochrán.
Obrázková ochrana - neustála nutnosť byť pripravený na zmenu obrázka pred univerzálnejšími robotmi.
JavaScript - veľmi nízka ochrana pred špecializovaným robotom na konkrétny web.
Asi ide v článku o ochranu pred univerzálnejšími robotmi, v takom prípade je prakticky nepreniknuteľná otázka v češtine, tak aby bolo roboticky obtiažne zistiť odpoveď.
Napríklad: "Napište poslední tři písmena příjmení správce webu" a pod.
Ak ide o komfort návštevníkov, tak to môže byť doplnené JavaScriptom, ktorý sa robotom neoplatí implementovať.

no, nevim jak jsou na tom spam-roboti, ale v automatickych testech webu se da js dost jednoduse spustit.

ad 2) "Teď mě tak napadlo např. vzít a využít open source kód Firefoxu a přestavět ho na robota."
tak to je zbytecna prace, existuje plugin do Firefoxu, jmenuje se Selenium, ten prave neco takoveho dela, ve firme ho pouzivame jako jeden z testovacich toolu, da se to v pohode ridit javou (a buhvi cim jeste).
ten napad s js je opravdu dost scestnej, pro nekoho se zkusenostma s automatickym testovanim je to otazka cca pul hodiny az hodiny, nez pripravi robota (za predpokladu, ze uz ma hotovej testovaci framework - coz mit bude)

Nejde o to, že je možné spraviť robota s podporou JavaScriptu, ale o to, že sa to nevyplatí.
Miesto jednoduchého analyzátoru textu a obrázkových ochrán, ktoré sú síce zložité, no tie sa analyzovať vyplatí, lebo ich používajú aj vysoko navštevované weby a sú v princípe všade rovnaké, by to bol veľmi ťažkopádny robot.

ad 17) ale jo, ja souhlasim, ze ten robot bude mene efektivni nez klasickej blbecek, co jen parsuje html. jen poukazuju na to, ze ten js jsou otevreny vrata (doba prekonani pul az hodina). co se tyce tezkopadnosti, takovehle tooly jsou omezeny jadrem prohlizece, ale porad dokazou prochazet stranky rychlosti 2 az 100 za minutu (typicky kolem 20 stranek/minutu)

Nejde o dobu prekonania, ale o to, či na to treba použiť ľudský čas.
Ak áno, tak sa to pre všetky stránky s malou návštevnosťou nevyplatí.
JavaScript sú otvorené dvere, no nie je problém ich zavrieť, alebo ich spraviť tak zložité, že to bude pre robota neefektívne, napríklad bude treba vykonať výpočet s rozumnne zvoleným priemerným časom výpočtu, alebo nutnosťou stiahnuť všetko tak, ako iný návštervník. Miesto Javascriptu je možné na vyplnenie využiť Javu, Flash...

Javascript ja fakt zcestny. To je zalezitost chvilky takovou vec obejit (take doporucuji Selenium). Nejlepsi captcha je semanticka. Otazky typu:
Zadejte treti slovo z teto vety.
Kolik je pet plus dve.
Kolik cipu ma peticipa hvezda.
Kolik rohu ma stul.
Proste debilni otazky na ktere zna kazdy odpoved, ale na ktere je pocitac zatim kratky.

Otázky typu "Kolik je pet plus dve."
asi nebudú až tak strojovo ťažko analyzovateľné.
Stačí rozpoznávať základné číslovky v rôznych jazykoch.

Diky za zajimavy blog