搜索

[11281] 2017-04-26_再见了，打码平台：对抗打码平台的验证码思路

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2017-04-26_再见了，打码平台：对抗打码平台的验证码思路 再 见 了 ， 打 码 平 台 ： 对 抗 打 码 平 台 的 验 证 码 思 路 原 创   i d a p r o   F r e e B u f   2 0 1 7 - 0 4 - 2 6 * 本 文 原 创 作 者 ： i d a p r o ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 某 日 ， 一 朋 友 深 夜 微 信 上 问 我 ， 如 果 打 码 平 台 盯 上 了 你 ， 你 该 咋 整 ？ 政 治 正 确 的 回 答 方 式 是 ： 加 强 风 控 策 略 ， 多 维 度 判 断 使 用 者 意 图 ， 减 低 对 验 证 码 的 依 赖 。 显 然 这 不 是 我 或 者 朋 友 真 正 想 要 的 ， 现 在 不 少 企 业 面 对 打 码 平 台 有 时 候 束 手 无 策 ， 只 能 放 弃 对 验 证 码 的 依 赖 ， 我 觉 着 有 点 可 惜 。 我 们 先 来 回 顾 一 下 ， 验 证 码 的 学 名 是 啥 ？ 图 灵 测 试 。 图 灵 测 试 。 图 灵 测 试 的 目 的 是 为 了 区 分 人 与 机 器 ， 而 打 码 平 台 的 加 入 使 得 这 个 过 程 立 即 无 效 — — 打 码 平 台 上 活 跃 的 对 象 还 真 是 人 。 但 这 样 就 没 辙 了 么 ？ 但 这 样 就 没 辙 了 么 ？ N o 。 这 “ 人 ” 与 “ 人 ” 之 间 是 有 差 别 的 。 我 们 仔 细 想 想 ， 我 们 加 入 验 证 码 的 目 的 其 实 除 了 图 灵 测 试 之 外 还 有 一 个 重 要 的 潜 在 期 望 — — 我 需 要 知 道 你 的 确 是 你 。 绝 大 部 分 需 要 部 署 验 证 码 的 地 方 其 实 都 有 具 体 和 人 或 行 为 关 联 的 信 息 ， 例 如 登 录 、 下 单 、 领 券 、 支 付 等 ； 少 数 部 分 信 息 可 能 和 人 没 有 那 么 强 的 关 联 ， 比 如 搜 索 、 匿 名 评 论 等 。 可 无 论 如 何 ， 验 证 码 是 对 一 个 具 体 的 动 作 进 行 “ 人 ” 机 识 别 需 要 时 才 产 生 的 。 这 里 指 的 “ 人 ” 是 某 些 信 息 本 身 的 拥 有 者 。 我 们 看 看 过 去 的 验 证 码 都 有 什 么 类 型 ： 我 们 看 看 过 去 的 验 证 码 都 有 什 么 类 型 ： 1 、 字 符 型 验 证 码 这 个 太 简 单 了 ， 不 再 举 例 。 顺 便 吐 槽 一 下 ， 就 算 是 个 简 单 的 字 符 型 验 证 码 ， 很 多 人 却 设 计 的 像 狗 屎 ， 这 其 中 包 括 了 一 些 安 全 公 司 或 具 有 安 全 属 性 的 产 品 。 基 本 的 字 符 黏 连 、 形 变 都 没 有 ， 光 用 夸 张 的 混 淆 色 、 噪 点 ， 一 个 二 值 化 就 如 同 裸 体 相 亲 一 样 让 人 一 见 长 短 ， 实 在 垃 圾 。
2 、 短 信 验 证 码 这 种 类 型 的 验 证 码 分 为 两 种 （ 用 户 主 动 发 送 和 用 户 被 动 接 收 ） ， 通 常 用 在 多 因 素 认 证 中 。 被 动 接 受 型 的 验 证 码 对 于 验 证 码 发 起 方 （ 服 务 器 ） 来 说 成 本 很 高 （ 短 信 收 费 ） 。 有 些 情 况 下 ， 短 信 验 证 码 本 身 就 是 需 要 被 保 护 的 对 象 （ 短 信 轰 炸 ） 。 主 动 发 送 型 验 证 码 对 于 用 户 体 验 极 差 （ 需 要 用 户 进 行 大 量 操 作 ， 用 户 需 要 为 你 的 风 控 策 略 付 费 ） ， 除 非 这 项 业 务 已 被 垄 断 （ 例 如 某 购 票 系 统 ） ， 否 则 老 板 几 乎 不 会 同 意 你 这 么 做 的 。 况 且 这 两 种 验 证 码 都 有 收 码 平 台 可 以 无 缝 覆 盖 ， 单 纯 用 作 图 灵 测 试 没 啥 意 义 。 3 、 问 答 验 证 码 这 是 一 个 大 类 ， 包 括 百 度 贴 吧 的 看 拼 音 选 汉 字 的 验 证 码 、 1 2 3 0 6 的 看 文 字 选 图 片 验 证 码 、 G o o g l e   n o r e c a p t c h a 的 二 次 图 片 验 证 ， 或 者 网 上 爆 料 出 来 叫 你 展 开 傅 里 叶 级 数 统 统 都 是 问 答 型 验 证 码 的 一 种 。 这 种 验 证 码 的 前 身 是 题 库 ， 题 库 本 身 存 在 中 容 易 被 穷 举 的 弊 端 。 其 他 “ 高 级 ” 问 答 型 验 证 码 的 安 全 性 ， 则 除 了 依 赖 计 算 机 视 觉 功 能 受 限 外 ， 还 依 赖 于 人 类 的 认 识 活 动 无 法 被 机 器 模 拟 的 大 前 提 。 对 于 打 码 平 台 来 说 ， 问 答 型 验 证 码 还 是 轻 而 易 举 的 （ 你 要 是 用 高 数 题 作 验 证 码 算 我 没 说 ） 。
4 、 字 符 型 行 为 验 证 码 常 见 的 有 G o o g l e   n o r e c a p t c h a 第 一 次 验 证 或 者 常 见 的 一 些 拖 动 型 的 验 证 码 。 这 些 验 证 码 每 个 都 声 称 自 己 用 了 什 么 机 器 学 习 、 大 数 据 分 析 、 人 类 行 为 建 模 等 等 一 大 堆 听 起 来 就 很 牛 逼 的 技 术 。 5 、 语 音 验 证 码
语 音 验 证 码 大 多 属 于 无 障 碍 设 施 的 一 种 ， 为 的 是 视 障 人 士 也 能 正 常 通 过 验 证 ， 后 来 演 化 成 对 抗 猫 池 的 方 向 之 一 （ 需 要 接 听 来 电 ） 。 之 前 还 出 现 过 G o o g l e   r e c a p t c h a 被 G o o g l e 自 己 的 语 音 识 别 A P I 干 翻 的 趣 事 ， 这 里 也 不 再 一 一 展 开 。 上 面 这 些 验 证 码 呢 ， 应 该 基 本 覆 盖 了 日 常 能 见 到 的 绝 大 部 分 场 景 ， 也 是 打 码 平 台 或 者 收 码 平 台 存 活 下 去 的 基 础 。 大 家 有 没 有 发 现 ， 这 些 验 证 码 有 一 个 共 同 的 特 点 ： 上 下 文 无 关 。 这 里 我 们 定 义 一 个 概 念 ： 上 下 文 无 关 验 证 码 。 上 下 文 无 关 验 证 码 是 一 个 问 题 与 答 案 或 规 律 一 一 对 应 的 集 合 ， 对 于 任 意 给 定 问 题 ， 一 定 能 通 过 问 题 本 身 得 出 答 案 。 同 学 们 ， 划 线 部 分 是 重 点 ， 打 码 平 台 要 考 啊 ！ ！ ！ 同 学 们 ， 划 线 部 分 是 重 点 ， 打 码 平 台 要 考 啊 ！ ！ ！ 用 通 俗 一 点 的 话 说 ， 就 是 任 意 的 验 证 码 都 是 完 全 独 立 和 与 具 体 场 景 的 上 下 文 无 关 的 。 比 如 说 ， 我 的 这 个 验 证 码 既 可 以 在 登 录 场 景 中 能 用 到 ， 也 能 在 下 单 场 景 上 使 用 ， 无 论 是 对 A 用 户 还 是 对 B 用 户 ， 同 样 的 验 证 码 也 能 适 用 。 甚 至 说 ， 你 把 验 证 码 随 便 截 个 图 发 给 I M 上 的 好 友 ， 他 立 马 知 道 什 么 意 思 。 某 购 票 系 统 的 验 证 码 变 态 吧 ， 但 是 你 试 试 看 把 他 截 个 图 别 人 能 答 不 能 答 ？ 既 然 验 证 码 的 应 用 有 场 景 性 ， 也 有 具 体 的 上 下 文 ， 那 我 们 以 前 都 没 用 到 几 个 “ 参 数 ” ， 我 们 是 不 是 可 以 考 虑 用 它 一 下 ？ 我 们 再 定 义 一 个 概 念 ： 上 下 文 相 关 验 证 码 。 我 们 再 定 义 一 个 概 念 ： 上 下 文 相 关 验 证 码 。 上 下 文 相 关 验 证 码 是 一 个 上 下 文 、 一 个 问 题 与 一 个 答 案 对 应 的 三 元 组 ， 对 于 任 意 给 定 问 题 ， 能 且 仅 能 在 具 体 上 下 文 下 得 到 对 应 答 案 。 这 里 的 问 题 设 计 是 有 技 巧 的 ， 它 需 要 满 足 一 个 条 件 ： 上 下 文 包 含 的 内 容 中 存 在 用 户 不 愿 或 不 宜 公 开 的 信 息 ， 且 该 信 息 服 务 器 知 晓 。 用 一 句 话 来 形 容 一 下 这 一 类 的 验 证 码 ： 就 算 截 图 发 给 基 友 ， 他 也 不 能 给 出 正 确 答 案 。 怎 么 ， 这 样 的 形 容 很 模 糊 ， 不 够 形 象 ？ 怎 么 ， 这 样 的 形 容 很 模 糊 ， 不 够 形 象 ？ 那 我 举 个 具 体 的 例 子 ， 场 景 是 登 录 。 以 前 ， 当 一 个 人 的 登 录 行 为 遇 到 风 控 策 略 时 ， 往 往 会 在 输 入 账 号 密 码 的 同 时 输 入 验 证 码 。 现 在 ， 我 们 把 验 证 码 输 入 策 略 稍 稍 往 后 推 一 步 — — 在 用 户 提 交 完 账 号 和 密 码 后 要 求 输 入 这 样 一 个 验 证 码 ：
我 们 设 想 一 下 ， 如 果 机 器 或 打 码 平 台 需 要 识 别 出 这 个 验 证 码 要 满 足 什 么 条 件 ： 做 题 者 需 要 是 人 ， 或 具 有 相 当 精 度 的 O C R 工 具 （ O C R 识 别 几 乎 不 能 有 错 ） ； 做 题 者 需 要 知 道 这 个 提 交 者 的 账 号 和 密 码 明 文 ； 那 么 ， 这 样 一 样 来 ， 先 不 说 打 码 平 台 如 果 能 实 现 后 费 用 必 须 各 种 增 加 ， 光 这 第 二 点 就 会 把 打 码 者 和 攻 击 者 之 间 的 利 益 约 束 消 灭 ： 既 然 我 已 经 知 道 了 账 号 密 码 ， 要 你 攻 击 者 何 用 ？ 而 对 于 做 题 者 即 是 提 交 者 来 说 ， 这 样 的 设 计 不 会 带 来 什 么 问 题 。 我 们 显 然 可 以 推 测 — — 攻 击 者 自 身 无 法 通 过 O C R 识 别 这 个 验 证 码 的 话 ， 也 不 愿 意 将 这 种 类 型 的 验 证 码 往 外 众 包 。 否 则 ， 打 码 平 台 或 者 打 码 者 可 以 开 展 大 型 的 黑 吃 黑 活 动 （ 如 果 界 面 上 有 水 印 ， 做 题 者 还 知 道 这 个 验 证 码 的 来 源 ） ， 攻 击 者 的 风 险 与 收 益 不 再 成 比 例 ， 自 然 也 没 有 人 愿 意 搞 事 儿 了 。 除 了 登 录 场 景 之 外 ， 我 们 在 下 单 、 领 券 、 加 好 友 等 等 的 时 候 也 可 以 应 用 类 似 的 策 略 ： 请 选 择 下 图 中 您 手 机 号 【 没 有 / 有 】 包 含 的 数 字 。 请 选 择 下 图 中 您 地 址 中 【 包 含 / 不 包 含 】 的 【 省 份 / 县 市 / 具 体 地 址 】 。
请 选 择 下 图 中 您 获 取 优 惠 券 名 称 中 【 包 含 / 不 包 含 】 的 汉 字 。 请 选 择 您 要 添 加 的 好 友 名 称 。 可 惜 的 是 ， 这 个 验 证 码 部 署 成 本 很 高 。 因 为 它 不 在 像 之 前 的 验 证 码 一 样 ， 能 够 做 到 “ 一 次 设 计 处 处 可 用 ” 。 上 下 文 相 关 验 证 码 则 必 须 对 具 体 场 景 的 上 下 文 设 计 一 个 具 体 策 略 ， 这 点 和 风 控 与 业 务 的 高 耦 合 很 像 。 部 分 大 厂 也 部 署 了 类 似 的 策 略 ， 只 不 过 他 们 更 多 的 把 它 定 义 为 “ 安 全 验 证 ” 。 本 文 只 是 抛 了 块 砖 ， 希 望 给 大 家 在 设 计 验 证 码 的 时 候 可 以 有 一 个 新 的 思 路 。 标 题 可 能 有 些 夸 张 ， 还 请 海 涵 。 * 本 文 原 创 作 者 ： i d a p r o ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理