Хабр Курсы для всех
РЕКЛАМА
Практикум, Хекслет, SkyPro, авторские курсы — собрали всех и попросили скидки. Осталось выбрать!
Хабр доступен 24/7 благодаря поддержке друзей
Комментарии 54
Изобретать велосипеды не нужно… а вот модернизировать существующие — да…
С шахматами — это неудобно, ибо много телодвижений необходимо совершать… с ячейками — да, красивая мысль…
А вот по первой капче(палочки, или как правильно называть их...)… тут и у людей должно быть пространственное мышление… если бы мне выдали такую капчу для добавления сюда комментария… я бы его не отправил… ибо лень…
С шахматами — это неудобно, ибо много телодвижений необходимо совершать… с ячейками — да, красивая мысль…
А вот по первой капче(палочки, или как правильно называть их...)… тут и у людей должно быть пространственное мышление… если бы мне выдали такую капчу для добавления сюда комментария… я бы его не отправил… ибо лень…
Для регистрации readonly аккаунта на хабре палочки вполне бы подошли учитывая специфику ресурса =)
Вы уверены, что автор всерьез говорил? :) Я думаю, это размышления вслух.
Больше! Больше многоточий!
Вариант с ячейками технически ничем не отличается от стандартной пары логин/пароль. Только вместо своего логина — номер ячейки.
Предпоследняя очень понравилась. Но потом придумал алгоритм как её взломать =)
Пересечение линий ведь… Делаем обработку изображений… создаем «образ линий», ищем количество пересечений…
Но Идея хорошая… Ведь можно не прямоугольники использовать, а более сложные фигуры… — тогда «распознавание» уходит в сторону нейронных сетей, также, как и в случае с текстом. Интересно, что будет защищеннее? (исключив фактор, что популярнее, то менее защищено)
Но Идея хорошая… Ведь можно не прямоугольники использовать, а более сложные фигуры… — тогда «распознавание» уходит в сторону нейронных сетей, также, как и в случае с текстом. Интересно, что будет защищеннее? (исключив фактор, что популярнее, то менее защищено)
Ну не только пересечения. Если палочки которые пересечены одинаковым количеством линий.
Да, Вы правы… Создаем комплекс советов по «взлому» капчи?..
Давайте =) Нижняя всегда должа быть пересечена всеми 3-мя. Её найти просто. Все последующие ищем по такому алгоритму: палка должна быть пересечена количеством на 1 меньше чем предыдущая + должна пересекать предыдущую. Вот и все)
Можно попробовать и по-другому.
Капча с полосочками имеет всего 6! = 720 вариантов того, как она может выглядеть. К тому же она легка для распознавания. Отсюда алгоритм — берем 720 масок, сравниваем изображение капчи с каждой — находим порядок цифр. Остается распознать сами цифры, это несложно.
P.S. А я вот сейчас подумал… Что, если на каждой полосочке будет своя обычная капча. И каждая под углом. «Докажите что вы не робот — введите все 6 капч, начиная с самой нижней» :))
Капча с полосочками имеет всего 6! = 720 вариантов того, как она может выглядеть. К тому же она легка для распознавания. Отсюда алгоритм — берем 720 масок, сравниваем изображение капчи с каждой — находим порядок цифр. Остается распознать сами цифры, это несложно.
P.S. А я вот сейчас подумал… Что, если на каждой полосочке будет своя обычная капча. И каждая под углом. «Докажите что вы не робот — введите все 6 капч, начиная с самой нижней» :))
Зачем размещать обычную? Можно вместо каждой цифры отображать ещё одну такую капчу (уже с цифрами). Введите все 6 в правильном порядке. :)
А что, это идея для сайта знакомств. Чтобы можно было ставить себе одну из таких капч — и каждый раз, когда новый собеседник хочет с тобой связаться, он должен её решить (а последующие сообщения уже отправлять обычным образом, если его, конечно, не заблокируют после первого сообщения).
Можно ещё небольшую логическую задачку добавлять в качестве дополнительного этапа. :)
Можно ещё небольшую логическую задачку добавлять в качестве дополнительного этапа. :)
Я думал про это, но тут можно этот «баг» использовать как фичу. Сильной бреши в обороне он не дает.
Забавно, но все эти варианты элементарно брутфорсятся.
От брутформа давным давно придумали ограничение на кол-во вводов. Например 30 вводов достаточно, чтобы понять, что либо кто-то пытается сбрутить либо пользователь имеет настолько дырявую память, что проще предложить ему восстановить пароль (и вообще полезно сообщить ему, что его акк пытались открыть странным образом).
От ограничения на количество вводов давным давно придумали использовать прокси-серверы.
Хотя насчет «элементарно брутфорсятся» я бы не спешил. Шахматных позиций существует 10^120 — больше, чем частиц во Вселенной.
А первый и второй варианты даже усложняют брутфорс, ведь надо подобрать не только значение полей, но и само их расположение.
Хотя насчет «элементарно брутфорсятся» я бы не спешил. Шахматных позиций существует 10^120 — больше, чем частиц во Вселенной.
А первый и второй варианты даже усложняют брутфорс, ведь надо подобрать не только значение полей, но и само их расположение.
>От ограничения на количество вводов давным давно придумали использовать прокси-серверы.
если вход осущесьвляется без привязки к логину. Иначе счетчик на логине висит
если вход осущесьвляется без привязки к логину. Иначе счетчик на логине висит
Шахматные позициии не обязательно перебирать все. Постепенным перебором мы получим доступ к аккаунту большинства пользователей, выбравших простые позиции. В принципе, в первом и втором варианте счетчик на логине действительно может решить проблему брутфорса.
Все людям не имется, только бы ключи не юзать.
Вопрос хороший, а безопасно ли использовать один и тот же ключ на всех сайтах. Предоложим имею 2-3 ключа одинаковых (на случай потери), хочу регистрироваться на всех сайтах с двухфакторной аутентификацией (вводить пароль и значение ключа). Значит при регистрации мне надо передать ИД своего ключа, а сайт будет постоянно запрашивать АЦ на предмет валидности ключа.
Безопасно ли это? И когда наконец эта практика стандартизируется?
Безопасно ли это? И когда наконец эта практика стандартизируется?
Не уверен я, что можно сделать на этом принципе легко решаемую человеком, но тяжело — компьютером капчу. Придумывая задачу не забывайте: спаммера часто устраивает даже 5% точность распознавания капч, а вот человек неплохо бы, чтобы вводил с первого раза!
Набор вкладок, если будут проверяться их адреса — не прокатит, т.к., например, тот же баш недавно переехал
Пока что по соотношению безопасность/удобство побеждает двухфакторная авторизация.
Еще вариант похожего безумства: уникальный адрес страницы логина для каждого пользователя. А лучше несколько адресов: для того, чтобы работало поле ввода пароля, нужно последовательно запросить /login/unique-1/, /login/unique-2/, /login/unique-3/. Брутфорсить это можно до скончания времен.
Отличное пособие для того чтобы отвадить посетителей от ресурса.
Логин зная только адресу мыла, брут! Для палочек и бумажек бота написать можно.
Я у нас недавно на одном местном Эстонском сайте заметил интересную систему авторизации, не берусь судить насколько она удобная и безопасная, но покрайнемере необычная.
Заходишь на специальную страницу входа, тебе выдаётся номер телефона по которому нужно позвонить (каждый раз разный, для этого надо иметь пул номеров). Тикает таймер, 60 секунд, за это время ты должен успеть позвонить. Как только звонишь, тебя сразу перенаправляет в раздел для залогиненных и залогинен ты по дефолту уже под своим телефоном.
Но хочется отметить что это подходит по большей части для сервисов с жёсткой привязкой к мобильному телефону.
При таком подходе отпадает нужда в регистрации, всё что от вас нужно сделать это позвонить по данному номеру.
Заходишь на специальную страницу входа, тебе выдаётся номер телефона по которому нужно позвонить (каждый раз разный, для этого надо иметь пул номеров). Тикает таймер, 60 секунд, за это время ты должен успеть позвонить. Как только звонишь, тебя сразу перенаправляет в раздел для залогиненных и залогинен ты по дефолту уже под своим телефоном.
Но хочется отметить что это подходит по большей части для сервисов с жёсткой привязкой к мобильному телефону.
При таком подходе отпадает нужда в регистрации, всё что от вас нужно сделать это позвонить по данному номеру.
А на Ваш звонок снимается трубка с автоответчиком и стоимость звонка over 150 рублей за минуту… — не очень удобно… все же ввод номера, на который затем отправится СМС с подтверждением — лучше… (как минимум такого способа мошенничества не получится)
Немного напоминает bu.mp, только там вместо звонка ускорение смартфона и нажатие пробела.
я просто оставлю это здесь creative3d.ru/blog/funcaptcha
Много веселых, забавных и почти все слабые (кроме математических). С ними я, разумеется, знаком.
Своей капчей я пытался донести мысль, что программа еще толком не умеет понимать, что картинка трёхмерная, и что один объект находится за другим, а вот человек легко это понимает.
Поэтому хочу донести мысль, что нужно пользоваться этим преимуществом человека перед машиной для создания капчи.
Своей капчей я пытался донести мысль, что программа еще толком не умеет понимать, что картинка трёхмерная, и что один объект находится за другим, а вот человек легко это понимает.
Поэтому хочу донести мысль, что нужно пользоваться этим преимуществом человека перед машиной для создания капчи.
Проблема несколько надумана, ибо решена.
Гугл (+FB +VK) уже предложили вполне себе неплохие велосипеды для решения проблемы авторизации, ведь когда логин выполняется лишь однажды, а затем все сервисы (в которых когда-либо была гугл-авторизация) доступны автоматически, то это по-любому удобнее предложенных тут вариантов.
Угон же акка гугла автоматически означает слив всех аккаунтов на любых сайтах через восстановление пароля, поэтому остается лишь сожалеть, что не все владельцы сайтов используют эту простую и эффективную технологию.
Гугл (+FB +VK) уже предложили вполне себе неплохие велосипеды для решения проблемы авторизации, ведь когда логин выполняется лишь однажды, а затем все сервисы (в которых когда-либо была гугл-авторизация) доступны автоматически, то это по-любому удобнее предложенных тут вариантов.
Угон же акка гугла автоматически означает слив всех аккаунтов на любых сайтах через восстановление пароля, поэтому остается лишь сожалеть, что не все владельцы сайтов используют эту простую и эффективную технологию.
Кое-что интересно. А кое-что читаешь и вспоминаешь фразу: «мсье знает толк в извращениях»
Т.е. доступ на сайт ограничивает сам браузер? и зачем так делать?
В браузер ставится расширение, которое будет знать, какие вкладки у нас открыты (не уверен, что расширения так умеют).
Ключ для входа на сайт — это связка email и набор открытых вкладок (например: хабр, баш и яндекс погода).
Как вариант, вместо вкладок можно использовать набор закладок браузера.
Т.е. доступ на сайт ограничивает сам браузер? и зачем так делать?
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
Сложные методы авторизации