"CAPTCHA's zijn dood, maar wat moet je dan?"
Gmail, Hotmail en Yahoo! zijn een speeltuin voor spammers, aangezien de beveiliging die ze op afstand moet houden voor geen meter werkt. De drie gratis e-mailaanbieders zijn verantwoordelijk voor twaalf procent van alle spam dit jaar en waren in september zelfs goed voor 25%. Om de automatisch registratie van e-mailaccounts tegen te gaan, voerde men de CAPTCHA-beveiliging in. Die moest mensen van automatisch bots onderscheiden, het zijn echter mensen die juist het einde van deze beveiligingsmaatregel betekenen.
In januari bleek dat Russische hackers met hun software de CAPTCHA's konden oplossen, hoewel het slagingspercentage laag was. Gedurende het jaar werden de aanvallen op Gmail, Hotmail en Yahoo! door anti-CAPTCHA bots opgevoerd. Veel efficiënter is echter het gebruik van Indiërs en Russen om de puzzels op te lossen. Voor één dollar krijgen spammers 1000 opgeloste CAPTCHA's terug.
Over en uit
De CAPTCHA-krakers zitten niet stil, want inmiddels bieden ze ook complete accounts aan. Zodoende hoeft een spammer verder niets meer te doen en duizend accounts voor tien dollar is een schappelijke prijs. Spammers hebben echter aan één account voldoende, zo ontdekten onderzoekers Pablo Ximenes en Andre dos Santos. Het lukte de twee om de limiet van Gmail te omzeilen, die staat per keer op 500 berichten ingesteld, en tevens de doorstuurfunctie te misbruiken om via de Gmail servers geclassificeerde spamberichten af te leveren. Google’s SMTP servers fungeren daardoor als open SMTP relays.
Beveiligingsonderzoeker Dancho Danchev is duidelijk: "CAPTCHA is dood, de mensen die het moesten herkennen hebben het vermoord door het oplossen ervan te commercialiseren." Hij vraagt dan ook aan internetgebruikers hoeveel oplossingen ze kennen om inkomende spam te detecteren en hoeveel oplossingen voor uitgaande spam men kan noemen. "Voor dat spam arriveert, moet het er eerst uit gaan."
Challenge & response codes bieden mogelijkheden en ook weer zwakheden.
Zolang de spam wereld actief is en blijft, zal het een actie --> reactie zijn.
Men verzint iets nieuws, het wordt gekraakt enz enz.
Regelmatig heb ik last van heerschappen die een poging doen, maar ze komen toch echt niet verder dan een poging tot aanmelding. Ook mijn forum heb ik totaal geen last met spammers.
Dus mijn conclusie is dan ook: captcha is nog lang niet op zijn eind, maar hoe pas je captcha toe.
spammers, maken gebruik van botnetten, EERST de botnetten aanpakken, door oa het verkeer te monitoren.
dan de botnets uit de lucht halen, en dan de beheerders aanpakken..
spammers, maken gebruik van botnetten, EERST de botnetten aanpakken, door oa het verkeer te monitoren.
dan de botnets uit de lucht halen, en dan de beheerders aanpakken..
Als je de beheerders (in mijn ogen spammers) aanpakt, zijn die botnets ook zo weg..
Je moet toch ergens jezelf in leven houden als er geen werk is.
Regelmatig heb ik last van heerschappen die een poging doen, maar ze komen toch echt niet verder dan een poging tot aanmelding. Ook mijn forum heb ik totaal geen last met spammers.
Dus mijn conclusie is dan ook: captcha is nog lang niet op zijn eind, maar hoe pas je captcha toe.
Hoe moeten Gmail Hotmail en Yahoo hun captcha toepassen dan? Als criminelen russen of indiërs inhuren werkt jouw captcha net zo slecht als de rest....
2) webservices als mollom.com gbruiken
3) crowtasken met moderatie en metamoderatie als /.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
