Audio-captcha makkelijk te kraken

Op sites als eBay, Yahoo, Digg en Live.com slaagt de software erin om de authenticatiepuzzels in 41 (Digg) tot 89 (Authorize) procent van de gevallen met succes

. Als het programma meer pogingen kan doen, neemt de kans op het doorbreken van de beveiliging alleen maar verder toe.

In bijna alle testen slaagde de software, Decaptcha geheten, erin om de code bij honderd pogingen minimaal één keer te achterhalen. Daarmee wordt het programma interessant voor beheerders van botnets die bijvoorbeeld op grote schaal accounts willen aanmaken waarvoor het ‘oplossen’ van een captcha (afkorting van ‘completely automated public Turing-test to tell computers and humans apart’) verplicht is.

Decaptcha verwijdert de achtergrondruis uit de gesproken captcha (dergelijke captcha’s zijn bedoeld voor blinden en slechtzienden). Vervolgens is het een koud kunstje om de letters te herkennen. De makers van audio-captcha’s voegen de achtergrondruis juist toe om te voorkomen dat de captcha met behulp van spraakherkenningssoftware kan worden opgelost.

Volgens de onderzoekers zijn audio-captcha’s vermoedelijk ‘inherent onveilig’ (pdf). ‘Het is daarom van belang om op zoek te gaan naar alternatieven.’ Het Pushdo-botnet, dat wordt gebruikt voor het versturen van spam, heeft de audio-captcha’s van Microsofts Live.com al met succes gekraakt. Op die manier konden de spammers grote aantallen e-mailadressen aanmaken.

Het onderzoek betekent een nieuwe nagel in de doodskist van de captcha. Captcha’s worden gebruikt om te voorkomen dat kwaadwillenden op geautomatiseerde wijze e-mailadressen en dergelijke kunnen registreren. De traditionele captcha, waarbij gebruikers vervormde letters moeten herkennen, ligt al jaren onder vuur. Nu lijkt ook het failliet van de audio-captcha in zicht.