Il CAPTCHA sul cavallo BIANCO di Garibaldi
Mi sono imbattuto casualmente in un CAPTCHA alquanto singolare di un sito di forum molto conosciuto. Queste sono le domande poste dal sistema di sicurezza a cui l'eventuale "umano" dovrà dare una risposta:
- La palla da calcio è SFERICA o CUBICA?
- Di che colore è il cavallo BIANCO di Garibaldi?
- Sei MASCHIO o FEMMINA?
Salta subito all'occhio che le possibili risposte sono in UpperCase e quindi non è affatto difficile per un sistema automatico isolarle nella domanda. Se ce ne sono due vorrà dire che avrà la probabilità del 50% di "azzeccare" quella giusta e così via.
Il secondo punto è che le domande poste sono scelte a rotazione tra un massimo di 5. Basta quindi enumerarle, con le relative risposte corrette, ed inserirle in una tabella hash che metta in corrispondenza domanda e risposta. Per le eventuali coppie non enumerate si va invece con la ricerca delle parole tutte in maiuscolo e con dei tentativi.
Ma la ciliegina sulla torta è l'ultima domanda:
"Sei MASCHIO o FEMMINA?"
Qui ogni risposta a scelta tra MASCHIO o FEMMINA va bene! A meno che non vi sia un sistema talmente avanzato che capisca il sesso dell'utente ;-)
Immagino che il sistema in questione serva a limitare l'overhead introdotto da eventuali scanner automatici e quindi un "Denial of Service" del sito. Ma mi chiedo a cosa serva, se non a complicare la vita gli utenti, visto che il campo del CAPTCHA non è nemmeno evidenziato e quindi, con buona probabilità, per ogni ricerca ve ne sarà una che la precede in cui lo sventurato utente non ha visto il CAPTCHA ed ha quindi sottomesso una ricerca che non verrà passata.
Pensare ad un vecchio CAPTCHA con le immagini no? Almeno lì si tratterebbe di implementare delle tecniche di hacking che usano l'OCR e sarebbe già più difficile. Qui invece si tratta di fare solo una ricerca all'interno di una stringa per individuare tutte le sottosequenze di caratteri maiuscoli!
Insomma: sto accrocco non serve a nulla. Non aumenta la "Security" e va a scapito della "Usability". Ottima scelta, non c'è che dire!
In realtà a qualcosa serve: bloccherà tutti i link spammer che usano sistemi completamente automatici.
RispondiEliminaUn blog di una certa notorietà tempo fa usava un sistema ancora più semplice: chiedeva di inserire una parola (sempre la stessa) in un campo del form.
Se con una soluzione così semplice si elimina il 90% dello spam e una più complicata non garantisce comunque dall'immunità rispetto ad avversari preparati, può essere un buon compromesso.