搜索

[10614] 2016-10-17_验证安全2.0时代：极验验证码评测

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2016-10-17_验证安全2.0时代：极验验证码评测 验 证 安 全 2 . 0 时 代 ： 极 验 验 证 码 评 测 A r t h u r K i l l e r   F r e e B u f   2 0 1 6 - 1 0 - 1 7 * 本 文 属 “ W i t A w a r d s   2 0 1 6 年 度 安 全 评 选 ” 专 题 报 道 ， 未 经 许 可 禁 止 转 载 验 证 码 的 英 文 是 C A P T C H A ， 其 全 称 为 C o m p l e t e l y   A u t o m a t e d   P u b l i c   T u r i n g   t e s t   t o   t e l l   C o m p u t e r s   a n d   H u m a n s   A p a r t ， 翻 译 过 来 就 是 全 自 动 区 分 计 算 机 和 人 类 的 公 开 图 灵 测 试 。 可 见 验 证 码 的 存 在 是 为 了 区 分 人 和 机 器 的 操 作 行 为 ， 从 而 进 行 分 类 管 理 。 从 应 用 方 面 来 看 ， 验 证 码 可 以 杜 绝 撞 库 攻 击 ， 暴 力 注 册 ， 垃 圾 评 论 ， 非 法 爬 虫 ， 刷 票 投 票 和 恶 意 抢 购 等 行 为 。 从 出 发 点 来 看 ， 验 证 码 对 改 善 互 联 网 环 境 有 着 不 可 磨 灭 的 功 劳 。 但 是 ， 实 际 情 况 却 事 与 愿 违 。 验 证 码 的 设 计 是 人 能 理 解 而 机 器 无 法 理 解 的 图 像 含 义 ， 但 是 随 着 O C R 技 术 的 发 展 ， 传 统 验 证 码 已 经 严 重 影 响 用 户 体 验 ， 并 且 有 些 传 统 验 证 码 还 存 在 相 关 安 全 问 题 。 在 互 联 网 飞 速 发 展 的 今 天 ， 传 统 验 证 码 与 当 今 的 互 联 网 思 维 背 道 而 驰 ， 人 们 需 要 新 的 验 证 码 机 制 来 解 决 这 个 问 题 。 在 这 些 问 题 下 ， 极 验 验 证 孕 育 而 生 了 。 极 验 （ g e e t e s t . c o m ） 是 基 于 S a a S 的 云 端 验 证 安 全 产 品 ， 致 力 引 领 验 证 安 全 2 . 0 的 技 术 革 命 ， 研 究 出 “ 行 为 式 验 证 ” 技 术 ， 彻 底 解 决 了 传 统 码 式 验 证 “ 不 安 全 、 真 实 用 户 识 别 困 难 、 机 动 性 差 ” 等 问 题 ， 既 保 障 了 网 站 的 安 全 ， 又 让 用 户 轻 松 通 过 验 证 。 它 的 操 作 非 常 简 单 ， 用 户 只 要 拖 动 滑 块 将 一 块 拼 图 放 到 图 片 中 合 适 的 位 置 ， 验 证 过 程 就 算 完 成 了 ， 但 是 在 背 后 却 有 诸 多 技 术 的 支 持 和 复 杂 的 算 法 来 区 分 人 和 机 器 的 行 为 。
产 品 分 析 产 品 分 析 窗 口 设 计 窗 口 设 计 极 验 验 证 主 要 有 以 下 四 大 验 证 设 计 。 在 设 计 上 ， 极 验 已 经 可 以 满 足 绝 大 部 分 应 用 环 境 。 浮 动 式 浮 动 式 嵌 入 式 嵌 入 式
弹 出 式 弹 出 式 移 动 端 移 动 端
部 署 架 构 部 署 架 构 极 验 验 证 在 G i t H u b 上 开 启 了 多 个 D e m o n 项 目 ， 用 户 可 以 快 速 搭 建 本 地 使 用 。 目 前 D e m o 支 持 语 言 如 下 。 P H P — 极 验 官 方 项 目 J a v a — 极 验 官 方 项 目 C s h a r p — 极 验 官 方 项 目 P y t h o n — 极 验 官 方 项 目 N o d e — 极 验 官 方 项 目 A s p — 第 三 方 开 发 者 R u b y — 第 三 方 开 发 者 V B — 第 三 方 开 发 者 极 验 除 了 基 础 的 首 次 验 证 以 外 ， 还 提 供 了 安 全 保 障 的 二 次 验 证 。 就 算 极 验 的 服 务 器 受 到 宕 机 ， 也 有 相 对 应 方 案 的 宕 机 二 次 验 证 接 口 。
除 了 基 础 的 W E B 页 面 开 发 文 档 外 ， 极 验 官 方 还 提 供 了 i O S 和 A n d r o i d 应 用 的 开 发 文 档 。 极 验 官 方 也 推 出 了 相 关 的 建 站 插 件 ， 这 样 用 户 可 以 很 方 便 的 在 自 己 的 网 站 上 使 用 极 验 的 验 证 码 。 目 前 支 持 的 建 站 插 件 如 下 ： D i s c u z W o r d P r e s s
p h p w i n d 蝉 知 企 业 门 户 系 统 总 结 下 来 ， 极 验 的 部 署 架 构 如 下 图 所 示 。 后 台 功 能 后 台 功 能 与 传 统 的 验 证 码 相 比 ， 极 验 有 着 诸 多 不 同 ， 其 中 之 一 就 是 流 量 查 看 。 在 后 台 ， 用 户 可 以 随 时 查 看 验 证 的 数 据 统 计 图 。
也 可 以 设 置 阈 值 ， 来 提 高 验 证 码 的 安 全 系 数 。 企 业 用 户 可 以 在 后 台 自 定 义 验 证 码 的 图 片 。 其 它 解 析 其 它 解 析 我 们 来 看 看 极 验 和 传 统 的 验 证 码 ， 除 了 行 为 操 作 不 同 ， 还 有 哪 些 不 一 样 。 极 验 的 逻 辑 就 是 在 验 证 环 节 融 入 了   “ 生 物 特 征 学 ” ， 利 用 机 器 学 习 的 方 式 ， 通 过 对 用 户 鼠 标 移 动 轨 迹 等 操 作 行 为 的 分 析 ， 来 区 分 开 人 和 机 器 。 极 验 验 证 服 务 器 目 前 每 天 要 处 理 来 自 7 万 多 个 网 站 的 上 亿 次 验 证 ， 这 么 多 数 据 都 在 训 练 极 验 验 证 的 人 工 智 能 模 型 。 它 就 像 是 一 个 用
于 分 辨 人 与 机 器 行 为 的 A l p h a G o 。 极 验 主 要 是 采 取 了 三 层 技 术 防 线 来 区 分 人 和 机 器 的 行 为 。 第 一 层 ： 包 含 语 意 逻 辑 的 图 像 加 密 技 术 第 一 层 ： 包 含 语 意 逻 辑 的 图 像 加 密 技 术 和 传 统 验 证 码 不 同 ， 极 验 的 图 片 精 美 ， 清 晰 。 但 是 在 后 台 ， 极 验 会 对 图 片 进 行 相 应 的 加 密 和 语 意 逻 辑 处 理 。 加 密 后 的 图 片 在 机 器 程 序 看 来 是 混 乱 模 糊 的 ， 同 时 加 入 语 意 逻 辑 进 行 混 淆 ， 我 们 人 类 可 以 轻 松 的 进 行 判 断 ， 而 机 器 程 序 就 要 大 费 周 折 了 。 当 然 单 一 的 图 像 加 密 并 不 十 分 安 全 ， 这 也 是 传 统 验 证 码 的 弊 端 所 在 。 第 二 层 ： 人 机 行 为 检 测 第 二 层 ： 人 机 行 为 检 测 极 验 的 技 术 核 心 则 是 行 为 式 验 证 技 术 。 极 验 在 大 量 数 据 的 基 础 上 ， 利 用 机 器 学 习 ， 数 据 挖 掘 等 技 术 手 段 ， 对 人 和 机 器 程 序 的 特 征 进 行 分 析 ， 建 立 了 多 维 度 的 人 机 特 征 检 测 模 型 。 人 和 机 器 程 序 在 网 络 世 界 的 行 为 是 具 有 很 大 差 别 的 ， 机 器 程 序 很 难 完 全 模 拟 人 类 的 行 为 完 成 拖 动 滑 块 这 个 过 程 。 同 时 极 验 还 会 采 集 一 些 显 性 特 征 和 随 机 特 征 进 行 分 析 ， 这 就 加 大 了 机 器 程 序 模 拟 人 类 行 为 的 难 度 。 第 三 层 ： 实 时 更 新 的 安 全 防 御 库 第 三 层 ： 实 时 更 新 的 安 全 防 御 库 最 后 ， 极 验 在 云 端 构 建 的 验 证 云 引 擎 会 进 行 迅 速 的 迭 代 更 新 。 我 们 将 深 度 学 习 应 用 到 安 全 验 证 中 ， 在 云 端 建 立 了 自 主 学 习 特 征 的 神 经 网 络 模 型 ， 通 过 实 时 的 数 据 分 析 以 及 学 习 ， 一 旦 有 可 疑 行 为 出 现 ， 就 可 以 迅 速 的 进 行 全 网 更 新 。 实 际 表 明 ， 能 够 进 行 快 速 更 新 和 提 高 防 御 能 力 的 验 证 码 才 是 最 安 全 的 验 证 码 。 目 前 的 极 验 验 证 的 基 础 版 本 只 对 如 下 数 据 进 行 了 收 集 ， 不 会 对 网 站 的 隐 私 信 息 进 行 任 何 侵 犯 。 当 前 网 站 的 网 址 本 次 验 证 拖 动 时 用 户 的 轨 迹 。 本 次 验 证 时 所 处 的 浏 览 器 平 台 本 次 拖 动 时 用 户 的 I P 及 验 证 时 间 传 统 的 后 端 验 证 码 有 个 十 分 严 重 的 安 全 缺 陷 ， 就 是 存 在 人 工 打 码 的 情 况 。 人 工 在 前 期 耍 取 大 量 的 验 证 码 并 且 存 储 下 来 ， 以 便 在 后 期 继 续 使 用 。 而 极 验 主 要 采 取 失 效 控 制 和 r e f e r e r 绑 定 控 制 来 针 对 人 工 打 码 的 情 况 。 验 证 模 块 在 生 成 一 次 验 证 事 件 后 ， 如 果 在 一 定 的 时 间 内 没 有 被 交 互 验 证 ， 那 么 会 自 动 失 效 。 人 工 打 码 肯 定 要 自 建 页 面 ， 那 么 它 的 页 面 和 i d 在 极 验 后 台 绑 定 的 r e f e r e r 不 一 致 ， 极 验 也 判 定 为 验 证 不 通 过 。 极 验 除 了 基 本 的 前 端 验 证 外 ， 还 采 取 了 安 全 保 障 的 后 端 验 证 。 整 个 验 证 过 程 主 要 分 为 两 次 。 根 据 极 验 官 方 说 明 ， 极 验 的 服 务 器 每 天
都 会 接 受 到 1 . 5 亿 次 左 右 的 验 证 ， 并 且 还 有 宕 机 二 次 验 证 接 口 和 后 备 服 务 器 。 正 常 极 验 验 证 流 程 图 正 常 极 验 验 证 流 程 图 宕 机 验 证 流 程 图 宕 机 验 证 流 程 图
有 防 就 会 有 攻 ， 任 何 软 件 都 会 有 漏 洞 。 我 们 不 能 阻 止 软 件 出 现 漏 洞 ， 但 是 我 们 可 以 尽 快 的 对 漏 洞 进 行 修 补 。 极 验 的 安 全 相 应 速 度 也 十 分 的 快 。 在 V 2 E X 社 区 上 ， 有 人 发 表 了 一 篇 针 对 极 验 验 证 的 破 解 思 路 ， 并 且 已 经 成 功 。 但 是 在 几 个 小 时 后 ， 极 验 官 方 团 队 就 立 刻 更 新 了 J S 库 ， 同 时 修 补 了 相 关 漏 洞 。 产 品 发 展 建 议 产 品 发 展 建 议 虽 然 极 验 在 设 计 之 初 已 经 足 够 的 安 全 和 便 捷 ， 但 是 相 对 于 其 它 验 证 码 ， 极 验 可 以 在 现 有 的 功 能 上 继 续 延 伸 。 去 糟 取 精 去 糟 取 精   虽 然 极 验 的 安 全 响 应 速 度 十 分 快 捷 ， 并 且 破 解 十 分 困 难 ， 但 是 通 过 搜 索 引 擎 搜 索 相 关 资 料 我 们 可 以 知 道 ， 极 验 之 前 还 是 被 少 部 分 人 破 解 过 。 在 写 针 对 极 验 评 测 的 时 候 ， 笔 者 也 尝 试 过 在 网 上 选 择 相 关 打 码 平 台 。 值 得 庆 幸 的 是 针 对 极 验 的 打 码 平 台 少 之 又 少 ， 找 了 半 天 也 才 发 现 一 两 家 。 通 过 和 商 家 的 沟 通 我 们 获 知 ， 通 过 支 付 高 昂 的 费 用 依 然 有 破 解 极 验 验 证 码 的 可 能 性 ， 但 是 对 于 验 证 码 来 说 ， 提 高 黑 产 的 破 解 成 本 是 一 种 打 击 黑 产 的 有 效 手 段 ， 毕 竟 没 有 一 种 安 全 产 品 能 够 做 到 绝 对 的 安 全 ， 安 全 实 际 上 是 一 种 成 本 与 收 益 的 博 弈 。 传 统 验 证 码 虽 然 容 易 破 解 ， 但 是 可 以 作 为 辅 助 的 验 证 形 式 ， 极 验 可 以 考 虑 在 传 统 的 验 证 码 上 “ 去 除 糟 粕 ， 取 出 精 华 ” 。 比 如 G o o g l e 的 验 证 码 就 采 取 了 传 统 验 证 和 新 型 验 证 的 相 互 结 合 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理