Feltörték a Gmail CAPTCHA ellenőrzést

A Websense Security Labs még a múlt hét végén felhívta a figyelmet arra, hogy feltörték azt a mechanizmust, ami a Gmailt védi a spammelő robotoktól, egészen pontosan a humán felhasználókat megkülönbözteti a botoktól. A Gmail is az úgynevezett CAPTCHA - Completely Automated Public Turing test to tell Computers and Humans Apart - azaz Teljesen Automatizált Publikus Turing teszt a Számítógépek és Emberek Megkülönböztetésére - módszert alkalmazza az új postafiókok létrehozásakor a rendszer védelmére.

Valószínűsítjük, hogy mindenki találkozott már netes kalandozásai során ezzel a megoldással: nevezetesen hogy a rendszer azt kéri, hogy a mesterséges intelligenciák számára nehezen felismerhető képi formában megjelenített karakterek visszapötyögésével tudjuk elküldeni üzenetünket egy fórumra, vagy tudunk feliratkozni valamifajta szolgáltatásra. A CAPTCHA nagyon jól működő megoldás, de sajnos a rosszindulatú felhasználók is egyre jobbak abban, hogy olyan programokat írjanak, mely képesek elolvasni a számokat és betűket.

A CAPTCHA védelem fejlesztésére folynak lépések, hiszen óriási hibája, hogy kizárja a vak felhasználókat az így védett szolgáltatások használatából. Az egyik irány, a hang, amikor a rendszer felolvas valamit, amit vissza kell írni a szövegablakba. Persze ez rögvest a siketeket rekeszti ki, illetve a felolvasó robot beszélte nyelven nem értő felhasználókkal babrál ki. Gondoljunk csak bele, például még az angolul jól beszélők között is gyakori G-J betűzésekor a "dzsí-dzséj" tévesztése, aki pedig egyáltalán nem bírja a nyelvet, annak egy tisztán audió-alapú megoldás kikerülhetetlen csapda. Hiányosságai ellenére még mindig a CAPTCHA tűnik a legjobb megoldásnak arra, hogy megállítsa a spammereket, mert egy komplexebb, több lépcsőből álló megoldás még mindig jól működhet, például a "fentről a negyedik képen látható szöveg visszaírását kérem" automatizmus elkészítése nem ördöngösség, viszont annál nehezebben leküzdhető a spam-robotok számára.

Különféle CAPTCHA ábrák. A robotok egyre ügyesebben olvasnak

A Google ingyenes e-mail szolgáltatásába beférkőzni a kéretlen levelek küldői számára, a Szent Grál megszerzésével egyenértékű, ugyanis a Gmail híresen jó spamszűrése és védelmi mechanizmusa miatt nagyon valószínűtlen, hogy a szolgáltatás bárki spamszűrőjének is a fekete listáján szerepelne. Ha sikerül oda beférkőzniük, akkor elképesztően nagy mennyiségű spamet tudnának célba juttatni a révén. Öröm az ürömben, hogy a Websense szerint két bot host kellett a Gmail feltöréséhez, míg a Windows Live Mail CAPTCHA-jának mostanában történt feltöréséhez elég volt egy is. Ráadásul a cégnél azt gondolják, hogy mindkét akció mögött ugyanaz a csoport áll. Úgy tűnik, hogy minden öt Gmail CAPTCHA-feltörési próbálkozásból csak egy sikeres, de ez a húszszázalékos sikerességi arány is ijesztően soknak tűnik, tudva azt, hogy a botok e-mail címek százainak - ha nem ezreinek - kreálásával próbálkoznak egyszerre.

Nem akarjuk elkiabálni, de egyelőre nem találkoztunk még Gmailes címről érkező spammel.