Apropó: a legnehezebb regelésem egy ír on-line lapon volt. Az volt a kérdés, hogy ki a jelenlegi Taoiseach. Vazze, Wikipédiát kellett olvasnom, hogy rájöjjek.
Youtube-on van pár könnyen azonosítható captcha. Úgy értem, könnyen azonosítható de még akkor is hibásnak jelzi, ha tökéletesen írtad be.
capcha.... olyan jó a védelem, hogy már lassan a felhasználótól is megvédi... megauploadon olyan captcha van, amit általában úgy 3. generálásra tudok elolvasni, még akkor is nehezen. Volt mikor 5x kellett újat generálnom mire dekódolható szöveget kaptam. Az a vicces amikor a szaros captchaknál mondjuk az L-betû alsó részét telibe takarja egy másik, így ha 60 évig dekódolod, és erre áldozod az életed se lehetsz benne biztos hogy az L-e vagy I
Én annyira utálom a captchát, hogy minden létezõ helyen kikapcsoltam. A blogomon is, mert úgy van megcsinálva, hogy hiába vagyok én admin, ha egy kommentre szeretnék reflektálni, nekem is meg kell fejteni a rejtvényt. Akkor inkább ne legyen; kommentelhessen mindenki bátran. Ha fel akarják törni az oldalt, úgyis feltörik; ez ellen én nem sokat tehetek, mert nem vagyok infós és nem is érdekel ez a része a dolognak. Viszont az oldalt sincs miért feltörni.
a T által osztogatott modemben 1x le kell cserelni a fostalicska kondenzatorokat ujra, es akkor semmi baj nincs vele. En megtettem, es tokeletesen mukodik tovabb :) Sikeres-e vagyok?
Vannak drága és óccsó változatok, a doboz tartalma alaposan eltér. A tré által osztogatott DLink adsl modemmel nekem is tele van, most egy külsõ 12cm-es venti biztosítja a mûködését...
Ízlések és pofonok különbözõek. Nálam spec. csak D-link-es cuccok vannak otthon és nincs vele gondom. Mekkora mázlista vagyok! És így jártam a szerencsejátékkal is, nyertem!!! Hát hiába vannak akiknek összejönnek a dolgok és vannak akiknek nem... :-D
A cikkre visszatérve szerintem sem egy jó ötlet a captchás megoldás és valójában igen kevés ember van, aki távolról szeretné elérni az otthoni rendszerét. Talán a többség igényeire kéne koncentrálni. A maradék 1-2% meg -ha már úgyis profi- keressen magának egyéni megoldást.
Nekem egy legolcsóbb D-link routerem van otthon, és tudja azt, amiért megvettem: tudok netezni a lakáson belül a PDA-n és a laptopon. Egy éve megy, hiba nélkül.
Ahol nem kell vállalati rendszerbe integrálható faszomtudja milyen fícsörökkel ellátott hipertitkos kapcsolatot létesítõ cucc, csak az az egy szempont hogy az asszony tudjon Youtube-on showder klubot nézni amíg én dolgozom az asztali gépen, oda minek a 7000 Ft-os teszkós rúternél komolyabb?
Volt olyan rendszergazda ismerõsöm, aki a "délink" hangkombináció hatására könnyes röhögésben tört ki és majd` fél percig úgy is maradt :D de jó tapasztalatom nekem sincs ezzel a "márkával".
Az egyik legjobb védelmi eljárás az, ha a bejelentkezési kísérletek közt idõkorlát van. Béluska félregépeli a jelszavát, 15 másodpercig nem tud újra próbálkozni. Ehhez captcha nem kell, a legtöbb ember pedig többnyire elsõre belép. Kiegészíthetõ captcha-val de majdnem felesleges. A bruteforce és dictionary típusú támadásokat alaposan megnehezíti. És ki lehet egészíteni remekül. Például több hiba nagyobb idõkorlát: elõször csak 15, aztán 20, aztán 25 másodperc és így tovább. Az X-ik (általában 3, 4, vagy 5-ik) próbálkozás után jöhet captcha, azután a felhasználói azonosító tiltása fél vagy egy napra. Erre még rá lehet tenni azzal, hogy a captcha is variálható: képes, találós kérdéses, betûzött matematikai, milyen állat van a képen (SÜN! :D) és társai. Szélsõségesebb esetben a létezõ legböngészõ-specifikusabb JavaScript dialektust használva generálni a beviteli ûrlapot és ezzel még a szerveroldali JS értelmezõket is egész barátságosan meg lehet szivatni anélkül, hogy a felhasználó ebbõl bármit is érzékelne. És tovább is lehet fokozni, de minek.
A captcha jó ötlet, de pettyet túl van értékelve. Volt olyan alig látogatott oldalam amin az akkoriban elterjedt reCAPTCHA nevû megoldást alkalmaztam, fél év múlva minden nap 2-3 botos regisztrációt kellett törölnöm mígnem arra jutottam hogy leveszem a captcha-t és minden regisztrációt kézzel hagyunk jóvá. Nem volt kedvem és nem is érte volna meg ennél tovább cifráni.
Mindegy, nem ragozom tovább nagyon, a captcha önmagában csak a felhasználó életét nehezíti meg ma. A legbiztonságosabb a kikapcsolt számítógép - bár ha hálózatra van kötve, bizonyos esetekben ez se 100% (macera, de lásd pl. WOL). A bekapcsolást követõ minden másodpercben fokozatosan nõ a biztonsági kockázat és mire a felhasználó eljut a bejelentkezõ képernyõig rendszertõl függõen 20-30%-ra is emelkedhet. És ekkor még be sem lépett. A legtöbb biztonsági elemzõ abban is egyetért, hogy a legsúlyosabb biztonsági kockázatot a felhasználó jelenti - de ebbe már tényleg nem megyek bele, mert annak a vége szociológia lenne, ahhoz meg aztán végképp nem értek.
Nagyjából én is ugyanezt írtam korábban. :)
Én is találkoztam már olyan oldallal, amelyen a captchákat sokadszorra sem tudtam megoldani, pedig elég jól tudok angolul ahhoz, hogy a szófelismeréssel ne legyen gondom. Csakhogy az a bizonyos oldal értelmetlen betûkombinációkban torzított el egyes betûket a felismerhetetlenségig, így csak jelentés alapján lehetett volna kitalálni - ami persze nem volt. Hagytam is a fenébe az egészet.
"A D-Link azonban - a többi gyártóhoz hasonlóan - igyekszik lépést tartani a korral"
- Ez meg a legnagyobb vicc az egész cikkben. Captcha-val 3 éve még egész jól be lehetett védeni valamit. Idestova legkevesebb 1 éve azt kutatja a szakma krémje, hogy mivel lehetne kiváltani, mert jövõre már többet fog ártani az üzletnek az alkalmazása mint amennyit használ. Több oldal is leállt a használatáról azért, mert a felhasználóknak a töke tele van az egésszel. Az igazán hatékony captcha az amit a felhasználó is csak negyedjére tud kiolvasni - de ilyet még monopol helyzetben lévõ cég se engedhet meg magának hosszú távon.
Különféle cracker csoportok rengeteg warez oldalon és feltehetõen néhány legálisan üzemeltetett populárisabb oldalon is évek óta azonosíttat olyan captcha képeket és nem kép típusú captcha-kat, amik egy másik site-hoz tartoznak. Ez a legrégebbi trükk. A kép hash-ét és a megoldást párosítva letárolják, és amikor a bot találkozik egy captcha-val az adott site-on, csak a hash alapján csinál egy ellenõrzést és jó eséllyel maximum néhányszor 10 próbálkozásból talál egy azonosságot. A google és az msn captcha védelmét ettõl eltérõ technikával törték fel ha jól tudom.
A captcha nem biztonságos, önmagában elégtelen. A biztonságosság sosem egy adott technológia határozza meg, hanem a technológiák megfelelõ kombinálása. A megfelelõ kombinálásnál át kell gondolni, hogy a célközönséget mennyire korlátozza. Emellett szem elõtt kell tartani, hogy biztonsági kockázat mindig van, mivel tökéletes védelem nem létezik és nem is létezhet. Ezért általában olyan védelmet célszerû alkotni, aminek a kijátszására nem éri meg idõt feccölni.
A captcha alapú védelmek kijátszására ma nagyon széles a választék, kezdve a fentebb felsoroltakkal és folytatva a legkülönbözõbb kliensoldalra épített megoldásokkal: XSS, böngészõ-specifikus rések, adathalászat, vírusok, trójaiak, amikbõl egész izmos adatkollektor hálózatok építhetõek (a legdurvább botnetek óránként tonnányi jelszót, captcha kulcsot és más értékes információt lapátolnak össze).
Amúgy a D-link tipikusan az a gyártó, akitõl akkor se vennék semmit ha õk fizetnének...
A csúnya bácsik egy ideje azt a trükköt alkalmazzák, hogy sokakat érdeklõ weboldalakon adják fel a megoldandó captcha-feladványokat, így tömegesen és egyszerûen fejthetik meg õket. A D-Link ezzel kicsit lemaradt, szerintem is inkább reklám az egész.
Azon kívül, hogy reklám nem hiszem, hogy ez a legjobb megoldás. Vagy ne engedj távoli hozzáférést, vagy csak megbízható ip-rõl. Sajnos belsõs gépeknél ez sem véd, de hát csodák nincsenek.
Informatika és tudomány
