スラッシュドット・ジャパン

まったくです、男性諸氏としては喜ぶべきことでしょう。
これで夢のモザイク除去技術が一歩前進したといえますから。

#mozaiku-jyokyo.jpの中の人なので

##なわけない

>CAPTCHAを用意してる側は画像生成アルゴリズムを（少し）変更すれば、
>微々たる作業でこれを防ぐことができます。

できます、という根拠が不明なので何とも評価しにくいのですが、
根本的にCAPTCHAを無力化するような画期的な仕組みが開発されたとしたら
微々たる作業で済むどころか、何やっても無駄ということに
なりかねないんじゃないですか?

>「1000万通のスパムを受信しない方法にお金出すよ！」っていうのは全然ありません。

そういうことだと、世の中に有償のスパム対策システムが存在できないと思いますが
現実には沢山存在しますよ。

>エンジニアとしては喜ぶべきことでしょう。なぜなら画像処理技術がまた一歩前進したからです。
>CAPTCHAを用意してる側は画像生成アルゴリズムを（少し）変更すれば、
>微々たる作業でこれを防ぐことができます。

攻撃側が画像処理技術の秘匿に成功し続け、かつ技術の詳細が不明であるがため、
これを防ぐためのアルゴリズム変更が困難であり続ける可能性について。

#そのうち漏れる可能性の方が高いと思うけど

> 画像処理技術がまた一歩前進した

オープンになってくれないと OCR とかに入れられない…。

> 「1000万通のスパムを受信しない方法にお金出すよ！」っていうのは全然ありません。

spam を送信しようとしている側は真っ当な技術を持ってないが、逆側は各社内部でなんとかしてるんじゃないでしょうかね。

うちは私が spam filter 導入したんですが、その直前は毎日の朝の仕事が spam の選分けになっていて、とても焦っていました（「皆が同じことをしているとしたら、一体幾らの損失だろう！」）。

spam filter も CPU を結構食うので今は先に maildrop を通しています（ある種のヘッダ条件が揃えばゴミ箱へ）。私自身は一度誤検出された正規のメールがあったので spam 候補をざっと眺めることにしていますが、それでも玉石混合状態から探すよりは大分マシです。

ただ、spam の全体量が増えると spam filter から漏れ出てくる量も増えるので、今後も楽観視は出来ないような話も聞いています。

>CAPTCHAを用意してる側は画像生成アルゴリズムを（少し）変更すれば、
>微々たる作業でこれを防ぐことができます。
日本人向けにひらがな/カタカナ/漢字を混ぜた認証システムを作ればいい。
そうすれば外人会員排除にも有効?

>「1000万通のスパムを受信しない方法にお金出すよ！」っていうのは全然ありません。
表立っては無いでしょうけどセキュリティー会社に売り込めるし、本当にその能力あるなら
自分で会社創設も可能かも。

数年前のことになりますが、その当時のYahoo!のCAPTCHAは比較的容易に突破できました。

そのCAPTCHAは、うねった英単語が表示されるタイプで、
片っ端から画像をかき集めると、確か画像数は全体で数万点程度になったと思います。

が、恐らく自動一括で生成した際の情報がそのまま残っていたのか、
HTTPヘッダに更新日時の記録が残されており、
その順に画像ファイルを並べ替えると、きれいに画像が英単語のabc順に並んでしまいました。
しかも一つの英単語につき20種類ぐらいずつ画像が作成されていたため、
結局、高々千個程度の英単語を読み上げるだけで対応表を作成できました。

ロシアでは微積分を解答させるCAPTCHAというのがすでに存在するので、日本だと、百人一首の下の句を答えさせるとかの方法もありかもしれない．．．



やっぱり無理．．．orz

日本人用に漢字を導入しても同じなんだろうか？

現状でもたまに読めないやつがあるんだが。
OとQ、Iとlはよく間違える。
だからもっととんちを利かす方向に行って欲しいな。
何度入力しても駄目だと思ったらたぬきの絵が描いてあったとか。

既に、
・画像がはみ出してて読めない(はてなダイアリー)
・白黒になってて元の文字が見えない(どこだか忘れた)
というのには遭遇しています。

スパマー対策というと、スパムボットをはじくためのフィルタとか、CAPTCHAとか、認証ばかりに目がいきがちですが、
それと同時に、「巡回してくるボットが登録フォームの存在をかぎつけないように、フォームの存在を隠す」対策も必要ではと思います。
大手ではなく一般のサイトでは、スパムターゲットは手動ではなくロボットが見つける事が大半でしょうから、特に有効かと思います。

実際、私の運営しているウェブサイトのアクセスログを取ってみると、たとえ本物のCGIプログラムではなくて、フォームの使い方の解説用としてHTMLファイルに記述したダミーフォームであっても、そのフォームに定期的にPOSTしようと試みてはいつも失敗している怪しげなスパムボットがやって来る事があります。
どうやら、掲示板やブログやメールフォーム等の投稿フォームにありがちなフォームのパターン（name, emailといった名前のテキストボックスに加えてtextareaという構成）をスパムクローラが見つけると、スパムターゲットとみなされてロックオンされてしまうようです。

掲示板やブログやメールフォーム等のCGIプログラムの開発を考えているなら、完全な投稿フォームを、クローラから見える範囲に丸裸で置いておくのではなくて、チューリングテストにパスした時だけ見せるのがスパム防止に有効です。
実際私も、チューリングテストとまではいかないまでも、入口に「氏名」のテキストボックス＋「次画面」ボタンだけの単純な投稿フォームを作って、そのフォームにPOSTしないとtextarea要素を含む完全な投稿フォームを表示しないよう、メールフォームプログラムを手直ししたところ、一時期毎日のように来ていたスパム投稿がパタリと止んだ実績があります。

もっとも、HotmailやYahoo並の大手サービスとなると、犯罪者もボットで探すのではなく手動で個別に対応するでしょうから、また別の話になるかもしれませんが。

スパマーからしたら、HotmailやYahooやGmailなどメールサービスは狙い目でしょうから対策にコストをかけざるを得ないかもしれませんね。
    一般のサイトではまだそこまで心配しなくても良いのでは…、と思います。

　一般のblogや掲示板の場合、むしろ、CHAPTCHAをもっと優しくするべきだと思ってます。
　それらの場合に防ぎたいのは、無差別のspam書き込みです。無差別のspam書き込みを防ぐには、「CAPTCHAがある」ことだけで十分です。

　既にいわゆるCAPTCHAを解析するツールは色々あります(*)。しかし、少なくとも今のところ、CAPTCHAの種類を判定してそれに合わせた解析を行い、その結果をformの正しい項目に当てはめる「賢い」spam投稿プログラムは（たぶん）無いでしょうから。

*:参考
CAPTCHA --- Radium Software Development 2006-11-07 [radiumsoftware.com]
PWNtcha - captcha decoder [zoy.org]
Breaking a Visual CAPTCHA [cs.sfu.ca]
/aiCAPTCHA : CAPTCHA Comment Spammer [mperfect.net]

　ただし、あまり軟弱なのもどうかとは思います。特に、「狙い撃ち」される可能性がそれなりにあるサイトでは。
　「高木浩光＠自宅の日記 - 飾りじゃないのよCAPTCHAは ～前代未聞のCAPTCHAもどき, CAPTCHA機能の発注仕様をどうするか [takagi-hiromitsu.jp]」で扱われているほど酷くなくても、「CAPCHAもどき」と言えそうなのを時々見ます。
　メジャーなサイトでは例えば、はてなダイアリーのguestで投稿する場合のCAPTCHA。簡単そうだよなーと思って試したら、簡単に機械投稿できました [hatena.ne.jp]。ビットマップの画像データを色々いじった経験のある人なら、簡単でしょうね。

＞真面目に画像処理で突破するなら。
＞フーリエ記述子が使えそうですね。

この手の解析については，
・文字とは異なる色でダミーの線を追加する
・文字を点描で描く/かすれさせる
でガードが可能です。