Neue Google CAPTCHAs geknackt

Auch die neuesten Google Verifizierungscodes, reCAPTCHA genannt, können mit hinreichender Zuverlässigkeit geknackt werden, so dass Sicherheitssysteme umgangen werden können. Letzte Woche beschwerte sich Google darüber, dass Angaben zu diesem Sachverhalt sich auf eine alte CAPTCHA-Methode aus dem Jahr 2008 beziehen, die nicht mehr verwendet wird.

Nun hat Jonathan Wilkins, der Verfasser des Analyseberichts, die neuen Verifizierungscodes genauer unter die Lupe genommen. Der Hauptunterschied liegt darin, dass man die horizontale Trennlinie, die beim alten Format genutzt wurde, abgeschafft hat. Die Codes sind für die Benutzer aber auch für Maschinen einfacher zu entziffern. „Die neue Version der Codes ist schwacher“, erklärt Wilkins den 'The H's Associates' von Heise Security. In seinen Tests gelang es Wilkins, die Erfolgsquote der konventionellen Texterkennungsmethode auf das 10-fache der vorhergehenden Version zu erhöhen (von 5 aus 200 auf 23 aus 100).



CAPTCHA (Completely Automated Public Turing test to tell Computers and Humans Apart = Vollautomatischer öffentlicher Turing-Test zur Unterscheidung von Computern und Menschen) ist ein Verifizierungssystem, das entwickelt wurde, um zu verhindern, dass beispielsweise automatisch E-Mail-Konten generiert werden, um darüber Spam-Nachrichten zu versenden. Das Problem dieses Anwendung-Szenarios ist, dass Spam-Versender nicht 100% erfolgreich sein müssen. Es ist völlig ausreichend, wenn sie von zehn Versuchen nur ein Mal Erfolg dabei haben, ein E-Mail-Konto zu erstellen. Allerdings ist es auch möglich, zusätzlichen Schutz der Services im Hintergrund anzubieten, indem man beispielsweise die Zahl der Anfragen von einer bestimmten IP-Adresse einschränkt.