보안문자 작동 방식

컴퓨터 를 사용하여 지역 공연장에서 콘서트를 보기 위한 티켓을 구매하고 있습니다. 티켓을 사기 전에 먼저 테스트를 통과해야 합니다. 어려운 테스트가 아닙니다. 사실 그게 요점입니다. 당신의 경우 테스트는 간단하고 간단해야 합니다. 그러나 컴퓨터의 경우 테스트를 푸는 것이 거의 불가능해야 합니다.

이러한 종류의 테스트는 컴퓨터와 인간을 구분하는 완전 자동화된 공개 튜링 테스트 의 약자 인 CAPTCHA 입니다. HIP ( Human Interaction Proof ) 유형으로도 알려져 있습니다 . 많은 웹 사이트에서 CAPTCHA 테스트를 본 적이 있을 것입니다. CAPTCHA의 가장 일반적인 형태는 여러 글자의 왜곡된 이미지입니다. 올바른 일련의 문자를 양식에 입력하는 것은 귀하의 일입니다. 글자가 왜곡된 이미지의 글자와 일치하면 테스트를 통과한 것입니다.

왜 사람과 컴퓨터를 구분할 수 있는 테스트를 만들어야 합니까? 사람들이 시스템을 게임 하려고 하기 때문입니다 . 그들은 사이트를 실행하는 컴퓨터의 약점을 악용하기를 원합니다. 이러한 개인은 인터넷 에 있는 모든 사람들의 소수를 구성하지만 그들의 행동은 수백만 명의 사용자와 웹 사이트에 영향을 미칠 수 있습니다. 예를 들어, 무료 전자 메일 서비스는 자동화된 프로그램의 계정 요청에 의해 공격을 받을 수 있습니다. 이 자동화된 프로그램은 수백만 명에게 스팸 메일 을 보내려는 대규모 시도의 일부일 수 있습니다 . CAPTCHA 테스트는 어떤 사용자가 실제 사람이고 어떤 사용자가 컴퓨터 프로그램인지 식별하는 데 도움이 됩니다.

CAPTCHA 테스트에 대한 한 가지 흥미로운 점은 테스트를 설계하는 사람들이 테스트가 실패했을 때 항상 화를 내는 것은 아니라는 것입니다. CAPTCHA 테스트가 실패하려면 누군가가 컴퓨터에 테스트를 푸는 방법을 가르칠 방법을 찾아야 하기 때문입니다. 즉, 모든 보안 문자 실패는 실제로 인공 지능의 발전입니다.

다음 섹션에서 CAPTCHA가 정확히 무엇인지 자세히 살펴보겠습니다.

안녕하세요, 프로그램입니다!

CAPTCHA 프로그램의 아이러니 중 하나는 CAPTCHA 응용 프로그램이 이미 답을 알지 않고는 풀 수 없는 테스트를 생성할 수 있다는 것입니다.

내용물

1. 보안문자와 튜링 테스트
2. 보안문자를 사용하는 사람
3. 보안문자 만들기
4. 보안문자 해독
5. 보안문자와 인공지능

CAPTCHA 기술은 Turing Test 라는 실험에 기반을 두고 있습니다. 때때로 현대 컴퓨팅의 아버지라고 불리는 Alan Turing은 기계가 인간처럼 생각할 수 있는지 또는 생각하는 것처럼 보일 수 있는지 여부를 조사하는 방법으로 테스트를 제안했습니다. 고전 테스트는 모방 게임입니다. 이 게임에서 질문자는 두 명의 참가자에게 일련의 질문을 합니다. 참가자 중 한 명은 기계이고 다른 한 명은 인간입니다. 질문자는 참가자를 보거나 들을 수 없으며 어느 것이 누구인지 알 방법이 없습니다. 질문자가 응답을 기반으로 어떤 참가자가 기계인지 알아낼 수 없으면 기계는 튜링 테스트를 통과합니다.

물론 CAPTCHA의 목표는 인간은 쉽게 통과할 수 있지만 기계는 통과할 수 없는 테스트를 만드는 것입니다. CAPTCHA 응용 프로그램이 다른 사용자에게 다른 CAPTCHA를 표시할 수 있는 것도 중요합니다. 시각적 보안 문자가 모든 사용자에게 동일한 정적 이미지를 제공하는 경우 스패머가 양식을 발견하고 문자를 해독하고 자동으로 정답을 입력하도록 애플리케이션을 프로그래밍하는 데 오랜 시간이 걸리지 않을 것입니다.

전부는 아니지만 대부분의 보안문자는 시각적 테스트에 의존합니다. 컴퓨터 는 시각적 데이터를 처리할 때 인간이 가진 정교함이 부족합니다. 우리는 컴퓨터보다 이미지를 보고 패턴을 더 쉽게 선택할 수 있습니다. 인간의 마음은 때때로 패턴이 존재하지 않는 경우에도 패턴을 인식합니다. 이를 우리는 파레이돌리아라고 부릅니다 . 구름 속의 모양이나 달 의 얼굴을 본 적이 있습니까? 무작위 정보를 패턴과 모양으로 연관시키려는 두뇌 입니다 .

그러나 모든 보안문자가 시각적 패턴에 의존하는 것은 아닙니다. 사실, 시각적 보안문자에 대한 대안을 갖는 것이 중요합니다. 그렇지 않으면 웹 사이트 관리자가 시각 장애가 있는 웹 사용자의 권한을 박탈할 위험이 있습니다. 시각적 테스트에 대한 한 가지 대안은 청각적 테스트입니다. 오디오 보안 문자는 일반적으로 일련의 음성 문자 또는 숫자를 사용자에게 제공합니다. 프로그램이 화자의 목소리를 왜곡하는 것은 드문 일이 아니며 프로그램이 녹음에 배경 소음을 포함하는 것도 일반적입니다. 이것은 음성 인식 프로그램을 방해하는 데 도움이 됩니다.

또 다른 옵션은 독자에게 텍스트의 짧은 구절을 해석하도록 요청하는 보안 문자를 만드는 것입니다. 상황에 맞는 CAPTCHA는 독자에게 퀴즈를 풀고 이해력을 테스트합니다. 컴퓨터 프로그램은 텍스트 구절에서 핵심 단어를 골라낼 수 있지만 그 단어가 실제로 의미하는 바를 이해하는 데는 좋지 않습니다.

다음 섹션에서는 CAPTCHA를 사용하여 맥박이 있는지 여부를 확인하는 사이트의 종류를 자세히 살펴보겠습니다.

죄송합니다, 다시 읽어보겠습니다

때때로 CAPTCHA는 사람도 해독할 수 없을 정도로 왜곡된 이미지나 사운드를 표시합니다. 그렇기 때문에 많은 보안 문자 응용 프로그램에서 사용자에게 새 보안 문자를 생성하고 다시 시도할 수 있는 옵션을 제공합니다. 두 번째는 첫 번째처럼 혼란스럽지 않기를 바랍니다.

CAPTCHA의 일반적인 응용 프로그램 중 하나는 온라인 투표 를 확인하는 것 입니다. 사실, 이전의 Slashdot 설문조사는 설문조사원이 설문조사에 필터를 구현하지 않으면 어떤 일이 잘못될 수 있는지에 대한 예입니다. 1999년 Slashdot은 방문자에게 컴퓨터 공학에서 최고의 프로그램을 제공하는 대학원을 선택하도록 요청하는 설문 조사를 발표했습니다. Carnegie Mellon과 MIT의 두 대학 학생들은 봇 이라는 자동화된 프로그램을 만들어 해당 학교에 반복적으로 투표했습니다. 이 두 학교는 수천 표를 얻었지만 다른 학교는 각각 수백 표를 얻었습니다. 프로그램 을 만들 수 있다면투표에서 투표할 수 있는 온라인 투표 결과를 어떻게 신뢰할 수 있습니까? CAPTCHA 양식은 프로그래머가 폴링 시스템을 이용하는 것을 방지하는 데 도움이 될 수 있습니다.

웹 사이트의 등록 양식은 종종 CAPTCHA를 사용합니다. 예를 들어 Hotmail, Yahoo! 메일 이나 Gmail 을 사용하면 사람들이 무료로 이메일 계정을 만들 수 있습니다. 일반적으로 사용자는 계정을 만들 때 일부 개인 정보를 제공해야 하지만 서비스에서는 일반적으로 이 정보를 확인하지 않습니다. 그들은 CAPTCHA를 사용하여 스팸 발송자가 봇을 사용하여 수백 개의 스팸 메일 계정을 생성하는 것을 방지합니다.

TicketMaster와 같은 티켓 브로커도 CAPTCHA 애플리케이션을 사용합니다. 이러한 애플리케이션은 티켓 스캘퍼가 대규모 이벤트를 위한 대규모 티켓 구매로 서비스를 폭격하는 것을 방지하는 데 도움이 됩니다. 일종의 필터가 없으면 스캘퍼가 봇을 사용하여 몇 초 만에 수백 또는 수천 개의 티켓을 주문할 수 있습니다. 티켓을 사용할 수 있게 된 지 몇 분 만에 이벤트가 매진되면서 합법적인 고객은 희생자가 됩니다. 그런 다음 스캘퍼는 액면가 이상의 티켓을 판매하려고합니다. CAPTCHA 응용 프로그램은 스캘핑을 방지하지 못하지만 대규모 티켓 스캘핑을 더 어렵게 만듭니다.

일부 웹 페이지에는 방문자가 사이트에 메시지를 게시하거나 웹 관리자에게 직접 보낼 수 있는 게시판이나 문의 양식이 있습니다. 대량의 스팸을 방지하기 위해 이러한 사이트 중 상당수에는 노이즈를 걸러내는 CAPTCHA 프로그램이 있습니다. 보안 문자는 무례한 메시지를 게시하거나 관리자를 괴롭히기로 결정한 사람을 막지는 않지만 봇이 메시지를 자동으로 게시하는 것을 방지하는 데 도움이 됩니다.

가장 일반적인 형태의 CAPTCHA는 방문자가 응용 프로그램이 어떤 식으로든 왜곡한 단어 또는 일련의 문자와 숫자를 입력하도록 요구합니다. 일부 CAPTCHA 제작자는 이러한 응용 프로그램의 가치를 높이는 방법을 제시했습니다. 바로 책을 디지털화하는 것입니다. reCAPTCHA라는 응용 프로그램은 CAPTCHA 필드의 사용자 응답을 활용하여 스캔한 종이의 내용을 확인합니다. 컴퓨터가 디지털 스캔에서 항상 단어를 식별할 수 있는 것은 아니기 때문에 인간은 인쇄된 페이지의 내용을 확인해야 합니다. 그러면 검색 엔진이 스캔한 문서의 내용을 검색하고 색인을 생성할 수 있습니다.

작동 방식은 다음과 같습니다. 먼저 reCAPTCHA 프로그램의 관리자가 책을 디지털 방식으로 스캔합니다. 그런 다음 reCAPTCHA 프로그램은 디지털화된 이미지에서 두 단어를 선택합니다. 응용 프로그램은 이미 단어 중 하나를 인식합니다. 방문자가 해당 단어를 필드에 올바르게 입력하면 응용 프로그램은 사용자가 입력한 두 번째 단어도 올바른 것으로 가정합니다. 두 번째 단어는 응용 프로그램이 다른 사용자에게 제공할 단어 풀로 들어갑니다. 각 사용자가 단어를 입력할 때 응용 프로그램은 해당 단어를 원래 답변과 비교합니다. 결국 애플리케이션은 높은 수준의 확신으로 단어를 검증하기에 충분한 응답을 받습니다. 그 단어는 검증된 풀에 들어갈 수 있습니다.

시간이 많이 걸리는 것처럼 들리지만 이 경우 CAPTCHA는 이중 작업을 수행한다는 것을 기억하십시오. 디지털화된 책의 내용을 확인하는 것뿐만 아니라 양식을 작성하는 사람들이 실제로 사람인지 확인하는 것입니다. 차례로, 그 사람들은 사용하려는 서비스에 액세스할 수 있습니다.

다음으로 CAPTCHA를 만드는 과정을 살펴보겠습니다.

CAPTCHA를 만드는 첫 번째 단계는 인간과 기계가 정보를 처리하는 다양한 방식을 살펴보는 것입니다. 기계는 일련의 지침을 따릅니다. 명령의 영역을 벗어나는 것이 있으면 기계가 보상할 수 없습니다. CAPTCHA 디자이너는 테스트를 생성할 때 이것을 고려해야 합니다. 예를 들어, 사람에게는 보이지 않지만 기계는 읽을 수 있는 웹상 의 정보 인 메타데이터 를 보는 프로그램을 만드는 것은 쉽습니다 . 시각적 보안문자를 생성하고 이미지의 메타데이터에 솔루션이 포함되어 있으면 보안문자가 순식간에 깨집니다.

마찬가지로, 어떤 식으로든 문자와 숫자를 왜곡하지 않는 보안 문자를 작성하는 것은 현명하지 않습니다. 왜곡되지 않은 일련의 문자는 그다지 안전하지 않습니다. 많은 컴퓨터 프로그램 은 이미지를 스캔하고 문자 및 숫자와 같은 단순한 모양을 인식할 수 있습니다.

CAPTCHA를 만드는 한 가지 방법은 사용할 이미지와 솔루션을 미리 결정하는 것입니다. 이 접근 방식에는 테스트의 신뢰성을 손상시킬 수 있는 모든 CAPTCHA 솔루션이 포함된 데이터베이스가 필요합니다. Microsoft Research 전문가 Kumar Chellapilla와 Patrice Simard에 따르면 인간은 특정 보안문자를 푸는 데 80%의 성공률을 가져야 하지만 기계는 0.01%의 성공률만 가져야 합니다[출처: Chellapilla 및 Simard ]. 스패머가 모든 CAPTCHA 솔루션 목록을 찾은 경우 무차별 대입 공격에서 가능한 모든 답변으로 CAPTCHA를 폭격하는 응용 프로그램을 만들 수 있습니다. 좋은 CAPTCHA의 자격을 충족하려면 데이터베이스에 10,000개 이상의 가능한 CAPTCHA가 필요합니다.

Other CAPTCHA applications create random strings of letters and numbers. You aren't likely to ever get the same series twice. Using randomization eliminates the possibility of a brute force attack -- the odds of a bot entering the correct series of random letters are very low. The longer the string of characters, the less likely a bot will get lucky.

CAPTCHAs take different approaches to distorting words. Some stretch and bend letters in weird ways, as if you're looking at the word through melted glass. Others put the word behind a crosshatched pattern of bars to break up the shape of the letters. A few use different colors or a field of dots to achieve the same effect. In the end, the goal is the same: to make it really hard for a computer to figure out what's in the CAPTCHA.

Designers can also create puzzles or problems that are easy for humans to solve. Some CAPTCHAs rely on pattern recognition and extrapolation. For example, a CAPTCHA might include a series of shapes and ask the user which shape among several choices would logically come next. The problem with this approach is that not all humans are good with these kinds of problems and the success rate for a human user can drop below 80 percent.

Next, we'll take a look at how computers can break CAPTCHAs.

Can You Hear Me Now?

In many ways, audible CAPTCHAs are similar to visual ones. In a database approach, the CAPTCHA creator must pre-record a person or computer speaking every series of characters and then match them with the right solution. With a randomized approach, the creator pre-records each character individually and the application strings the characters together randomly to create CAPTCHAs.

The challenge in breaking a CAPTCHA isn't figuring out what a message says -- after all, humans should have at least an 80 percent success rate. The really hard task is teaching a computer how to process information in a way similar to how humans think. In many cases, people who break CAPTCHAs concentrate not on making computers smarter, but reducing the complexity of the problem posed by the CAPTCHA.

Let's assume you've protected an online form using a CAPTCHA that displays English words. The application warps the font slightly, stretching and bending the letters in unpredictable ways. In addition, the CAPTCHA includes a randomly generated background behind the word.

A programmer wishing to break this CAPTCHA could approach the problem in phases. He or she would need to write an algorithm -- a set of instructions that directs a machine to follow a certain series of steps. In this scenario, one step might be to convert the image in grayscale. That means the application removes all the color from the image, taking away one of the levels of obfuscation the CAPTCHA employs.

Next, the algorithm might tell the computer to detect patterns in the black and white image. The program compares each pattern to a normal letter, looking for matches. If the program can only match a few of the letters, it might cross reference those letters with a database of English words. Then it would plug in likely candidates into the submit field. This approach can be surprisingly effective. It might not work 100 percent of the time, but it can work often enough to be worthwhile to spammers.

What about more complex CAPTCHAs? The Gimpy CAPTCHA displays 10 English words with warped fonts across an irregular background. The CAPTCHA arranges the words in pairs and the words of each pair overlap one another. Users have to type in three correct words in order to move forward. How reliable is this approach?

As it turns out, with the right CAPTCHA-cracking algorithm, it's not terribly reliable. Greg Mori and Jitendra Malik published a paper detailing their approach to cracking the Gimpy version of CAPTCHA. One thing that helped them was that the Gimpy approach uses actual words rather than random strings of letters and numbers. With this in mind, Mori and Malik designed an algorithm that tried to identify words by examining the beginning and end of the string of letters. They also used the Gimpy's 500-word dictionary.

Mori and Malik ran a series of tests using their algorithm. They found that their algorithm could correctly identify the words in a Gimpy CAPTCHA 33 percent of the time [source: Mori and Malik]. While that's far from perfect, it's also significant. Spammers can afford to have only one-third of their attempts succeed if they set bots to break CAPTCHAs several hundred times every minute.

You'd think that the inventors of CAPTCHA would be upset that their hard work is being picked apart by hackers, but you'd be wrong. Find out why in the next section.

Electronic Ears

Audio CAPTCHAs aren't foolproof either. In the spring of 2008, there were reports that hackers figured out a way to beat Google's audio CAPTCHA system. To crack an audio CAPTCHA, you have to create a library of sounds representing each character in the CAPTCHA's database. Keep in mind that depending on the distortion, there might be several sounds for the same character. After categorizing each sound, the spammer uses a variation of voice-recognition software to interpret the audio CAPTCHA [source: Networkworld].

Luis von Ahn of Carnegie Mellon University is one of the inventors of CAPTCHA. In a 2006 lecture, von Ahn talked about the relationship between things like CAPTCHA and the field of artificial intelligence (AI). Because CAPTCHA is a barrier between spammers or hackers and their goal, these people have dedicated time and energy toward breaking CAPTCHAs. Their successes mean that machines are getting more sophisticated. Every time someone figures out how to teach a machine to defeat a CAPTCHA, we move one step closer to artificial intelligence.

사람들이 보안 문자를 피할 수 있는 새로운 방법을 찾으면서 von Ahn과 같은 컴퓨터 과학자는 AI 분야의 다른 문제를 해결하는 보안 문자를 개발합니다. CAPTCHA의 한 걸음 후퇴는 여전히 AI의 한 걸음입니다. 모든 패배는 승리이기도 합니다[출처: Human Computation ].

그러나 웹 관리자는 어떻습니까? 그들은 폰 안의 철학이 그다지 매력적으로 느껴지지 않을 수도 있습니다. 그들의 관점에서 그들은 여전히 ​​스패머와 해커와 같은 엄청난 문제를 해결해야 합니다. 웹 사이트를 유지 관리하거나 온라인 투표 를 만드는 사람들 은 여러 CAPTCHA 시스템이 더 이상 효과적이지 않다는 사실을 알아야 합니다. 어떤 CAPTCHA 응용 프로그램이 여전히 신뢰할 수 있는지 약간의 조사를 하는 것이 중요합니다. 그리고 주제에 대한 최신 정보를 유지하는 것도 마찬가지로 중요합니다. 한 CAPTCHA 시스템이 실패하면 관리자는 자신의 사이트에서 코드를 제거하고 다른 버전으로 교체해야 할 수 있습니다.

CAPTCHA 디자이너는 미세한 선을 걸어야 합니다. 컴퓨터가 더욱 정교해짐에 따라 테스트 방법도 진화해야 합니다. 그러나 테스트가 인간이 더 이상 적절한 성공률로 CAPTCHA를 풀 수 없을 정도로 발전하면 시스템 전체가 실패합니다. 답변에는 텍스트가 뒤틀리거나 왜곡되지 않을 수 있습니다. 사용자가 수학 방정식을 풀거나 단편 소설에 대한 질문에 답해야 할 수 있습니다. 그리고 이러한 테스트가 더 복잡해짐에 따라 사용자의 관심을 잃을 위험이 있습니다. 2차 방정식을 먼저 풀어야 한다면 얼마나 많은 사람들이 여전히 게시판에 답글을 게시하고 싶어할까요?

2014년 Google(2009년 reCAPTCHA 인수)은 기존 서비스를 단계적으로 중단하기 시작했습니다. 그 자리에서 "나는 로봇이 아닙니다."라는 단어가 있는 상자를 선택하도록 요청했습니다. 이것은 No CAPTCHA라고 불렸습니다. 2017년 Google은 No CAPTCHA를 제거한다고 발표했습니다. 대신 서비스는 화면 포인터를 어떻게 움직이는지 알아차리거나 탐색 습관을 분석하여 사용자가 사람인지 로봇인지 확인하는 것과 같은 기술에 의존합니다. 이것을 보이지 않는 reCAPTCHA라고 합니다. 의심스러워 보이는 경우(사실 로봇일 수도 있음) 추가 확인으로 해결해야 하는 기존 reCAPTCHA 문제 중 하나가 표시됩니다[출처: Titcomb ].

관련 기사

더 좋은 링크