MikhailAnikin Oct 19 2011 at 14:29

Мобильная каптча — mCaptcha

2 min

1.1K

Self Promo

-2

Comments 26

LazyWolf Oct 19 2011 at 14:37

Занятно, этак можно разорить владельца сайта, использующего эту капчу, запросив тонну смс на некий телефон. Ведь, судя по описанию, он покупает N смс, мы их исчерпываем, и вуаля — на его сайте нельзя регистироваться, пока он не закупит еще смс у вас, или не отключит эту капчу. Или я в чем-то ошибся, и вы это предусмотрели?

MikhailAnikin Oct 19 2011 at 14:45

Ситуация на данный момент:
Если сайт атакуют, запрашивая большое количество смс, а ответа по ним нет (т.е. регистрация не завершена) аккаунт пользователя приостанавливается, чтобы исключить трату денег на спамеров.

Конечно, далеко не совершенный вариант. Но пока так.

LazyWolf Oct 19 2011 at 14:49

Спасибо за ответ, но получается, что в случае атаки владелец сайта либо теряет кучу денег, если не блокирует аакаунт, либо регистрация на его сайте становится недоступна. Оба варианта плохие, так что если и использовать вашу капчу, то только с возможностью мгновенно при атаке сменить ее на любую другую…

MikhailAnikin Oct 19 2011 at 14:59

Да, пока без альтернативной формы регистрации никак.
Но мы не останавливаемся :-)
Доработаем, предусмотрев все уязвимости, и вполне можно претендовать на полноценную замену классической каптчи.

Anserchik Oct 19 2011 at 14:52

сделайте ограничение не более 3 смс на один номер в течении какого-то времени (ну часа). И если так 3 раза, то блокируется номер с возможностью хозяину сайта удалить его из своего черного списка

MikhailAnikin Oct 19 2011 at 15:03

Спасибо за комментарий.
Мы пока рассматриваем ряд вариантов, в том числе и аналогичный Вашему.

Суть в том, что мы не храним все телефоны, на которые был отправлен код. Мы можем оперировать только номерами (предположительно спамерскими) от которых не был получен ответ.

gaelpa Oct 19 2011 at 15:26

А толку? Можно и рандомные номера перебирать.

Anserchik Oct 19 2011 at 15:29

Согласен, тогда стоит еще проверять на существование номера. Смс шлюзы предоставляют информацию «доставлено/не доставлено», что упрощает отсев совсем левых номеров и не тратятся деньги

xSeth Oct 19 2011 at 18:37

Ну тем кто пытается нагадить сайту всёравно будет доставилена СМС или нет :(

Kessian Oct 19 2011 at 14:41

ИМХО разобрать SMS с кодом намного проще, чем разобрать изображение на картинке, так что особого усиления защиты я тут не вижу.

MikhailAnikin Oct 19 2011 at 14:52

Суть этой каптчи — защититься от ботов. Нужен действующий номер телефона и участие человека.
Сделать так, чтобы бот сам получал смс, обрабатывал его и спамил сайт — достаточно непростая техническая задача.

-1

Kessian Oct 19 2011 at 14:54

Ну когда-то и бот казался непростой задачей. А настройка gsm-шлюза проблем особых не вызывает.

Imposeren Oct 19 2011 at 20:22

Если «один номер телефона — один пользователь», то бот с gsm-шлюзом бесполезен, либо требует крупных затрат

Anserchik Oct 19 2011 at 14:43

Добавлю еще, что нужно иметь доверие к сайту, чтоб вводить туда свой номер телефона. Понятное дело, что все действия происходят на Вашей стороне, но не всякий обычный пользователь не будет об этом знать или не сможет это проверить.

inkvizitor68sl Oct 19 2011 at 14:47

То есть вы действительно считаете, что получить SMS на модем, воткнутый в Linux-машинку, и почитать что там в ней — большая проблема?

Или даже ещё проще — цепляем Nokia N95 к машинке и выгружаем с неё смски по BT.

Anserchik Oct 19 2011 at 14:55

цеплять можно любой телефон. как я понял ограничение должно быть «1 номер == 1 аккунт»

Kessian Oct 19 2011 at 14:56

т.е на сайте помимо той информации, которую я захочу указать, в принудительном порядке будет храниться и мой телефонный номер? Нафиг нафиг.

Anserchik Oct 19 2011 at 15:00

это моё предположение, которое было бы эффективно в защиту от слива денег со счета. а в плане личной информации соглашусь с вами — нафиг нафиг.

MikhailAnikin Oct 19 2011 at 15:01

Ваш номер телефона на сайте ни в коем случае не хранится.
Он обрабатывается исключительно нашим API.

Kessian Oct 19 2011 at 15:07

Это было всего лишь предположение, как вариант развития ограничения «1 номер == 1 аккаунт».
Вобщем пока преимуществ мобильной капчи перед простой незаметно, разве что только против особо ленивых/глупых ботописцев. Хотя, если посылать не код подтверждения, а указатель на него (простая загадка, арифметическое выражение, записанное не цифрами а буквами) то может что-то и выйдет.

inkvizitor68sl Oct 19 2011 at 14:57

С одного номера можно будет пройтись по нескольким сайтам.
Немного неприятно, но всё равно регистрироваться смогут там пачками — был бы спрос =)

Nevkontakte Oct 19 2011 at 15:20

Люди хорошо обожглись на СМС-подписках, которые работают ровно по такой же схеме: вводишь телефон, получаешь смс, вводишь код из смс на сайте и теряешь по 100 рублей в день. Будут ли люди регистрироваться на сайте, требующем подозрительно похожие действия.

Anserchik Oct 19 2011 at 15:25

кстати, да)) верно мыслите

MikhailAnikin Oct 19 2011 at 16:15

К сожалению, это сложившийся стереотип. Снять деньги со счета пользователя сторонними сервисами, только лишь указав номер телефона, никак нельзя. Чтобы снялись деньги со счета, пользователю необходимо отправить смс на номер (обычно короткий), и только в этом случае с его номера снимутся деньги.

-2

Anserchik Oct 19 2011 at 16:18

ничего никуда посылать не надо, хватает получить код и ввести его на сайте, тем самым подтвердив подписку

DnV Oct 19 2011 at 15:27

Привязка к номеру телефона это лишь альтернатива привязки к электронной почте. Причём тут вообще каптча? Каптча ставит целью отличить компьютер от человека не идентифицируя последнего. Грубо говоря, человек не обязан предъявлять паспорт для входа на сайт.