パスワードを忘れた? アカウント作成
24851 story
Google

Googleの音声CAPTCHAも破られる 34

ストーリー by nabeshin
音の揺らぎはどう作る? 部門より

hiromichi-m 曰く、

以前GmailのCAPTCHAが破られたことが話題になった(/.の記事)が、Googleが視覚障害者向けに通常のCAPTCHAの代わりに提供している「音声CAPTCHA」も、高い確率で機械的に突破できることが実証されたそうだ(実証者のブログ記事)。音声CAPTCHAは、その名のとおり音声でランダムな数字を流し、それを入力させることでボットによる機械的なアカウント作成を防ぐものだ。数字を読み上げる裏ではランダムな音声も同時に流されるものの、数字の発音パターンは常に同じであるため、簡単な処理で機械的に読み上げられた数字を解析できてしまうそうだ。通常のCAPTCHAは、20%程度の割合でしか突破できないが、ブログで紹介されているFFTなどを用いた解析手法を用いれば90%程度の割合でCAPTCHAを突破できるとのことで、Googleだけでなく同様の音声CAPTCHAを使用しているWebサイトは早急に改善が必要だ、としている。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • by Anonymous Coward on 2008年05月08日 12時37分 (#1340931)
    この「簡単な処理で機械的に読み上げられた数字を解析できてしまう」ってのが、どの程度の施設
    を用意してなのか存じませんが。そんなに気にする事ですかね?

    ネットゲームを見れば判るように、やろうと思えば人件費の安い国で人動員してやればどんな制限
    も超えられちゃう訳ですから、そこまでやろうという相手をあまり気にする必要は無いんでは?キャ
    プチャなんて軽いハードルなんですから、ハンディキャップのある人の不便を増してまで対応する
    意味は無いと思います。

    音声キャプチャの強化なんかより、不正っぽいアカウントの監視でもした方が合理的なんじゃないかと。
    • Re:程度問題では? (スコア:3, おもしろおかしい)

      by Anonymous Coward on 2008年05月08日 14時52分 (#1341009)
      技術系の方には自明の話だろうし、わざわざ書くのもいかがなものかとは思うのですが。
      論理の階層が違うと思うのです。
      運用じゃなくて、技術の話なのです。

      不正なアカウント作成対策に、人間と機械を識別する必要が生じた。(運用の話)
      そのため、人間と機械を識別できるような技術を開発した。(技術の話)
      それに対抗して、機械でもその関門を突破できる技術を開発した。(技術の話)
      それをどう使って悪さをされるか・するかは知らないが、改善は必要じゃないかい?(運用の話)

      という四角形の流れになってるのね。

      暗号技術と同じです。
      「運用」とは並行して「技術」の世界があって、「技術」の世界で

      「これならどうだ!」
      「普通に破ったぞ。」
      「いやいやまだまだ。」
      「それも突破できたもーん♪」
      「解き方はわかっても実用時間で解くことはできまい。」
      「計算能力の進歩を忘れていたようですな。」
      「ふっ、切り札は最後まで取っておくものさ。」

      みたいに、いちゃいちゃとやってるのです。
      そうして技術は発展していくのです。
      親コメント
      • by Epsilon (4963) on 2008年05月13日 12時28分 (#1343024)
        これ多分人力なので何しても無駄。
        ブラックマーケットで10000アカウント分入力したら100円くらいとか専用のソフトで
        送られたものを理解して入力するバイトがあるらしい。中東あたりで募集が合ったらしいよ。
        かなりやる人が増えて手間賃がガンガン下がったらしい。

        …読んだ記憶はあるのにどこのサイトか忘れた。
        親コメント
      • by Anonymous Coward
        (「おもしろおかしい」のモデレーションが付くまで、真剣な反論だと思っていた私は負け組)
        人か機械かと判断する手順を目の不自由な人に適用しようとした時、視覚に頼ったCAPTCHAを
        ただ聴覚頼りに移しただけだったって事自体が、技術者の怠慢なんじゃないですかね。

        読み取りにくくするもやもや→雑音
        意味の無いデタラメな文字列の表示→意味の無いデタラメな文字列を読み上げる音声

        CAPTCHAをそのまま移植しようとした以上の考えた跡が見当たらないですよ。

        もっと目の見えない人に特化した認証、機械や健常者には難しい事ってのがあるんじゃ
        ないでしょうか?
    • Re:程度問題では? (スコア:2, すばらしい洞察)

      by Anonymous Coward on 2008年05月08日 13時07分 (#1340954)
      「機械的に読み上げられた数字を解析」といっても、
      実際にスピーカーから音を出す必要もマイクで拾う必要もありません。
      送られてくる音声データを解析するだけの話なので、設備なんて回線と PC だけあれば十分。
      ボットネットで分散処理できない理由もないし、気にしないわけにはいかないでしょう。
      親コメント
    • Re:程度問題では? (スコア:1, すばらしい洞察)

      by Anonymous Coward on 2008年05月08日 12時53分 (#1340942)
      程度というか、面子の問題でしょ。

      「あそこのサービスは不正アカウントの作成に対して何も対処を行ってない」

      と言われたくないでそ。
      親コメント
    • by 127.0.0.1 (33105) on 2008年05月08日 13時18分 (#1340959) 日記
      >音声キャプチャの強化なんかより、不正っぽいアカウントの監視でもした方が
      >合理的なんじゃないかと。

      音声CAPTCHAを強化云々がどれだけ効果あるか疑問というのはおいとくとしても、
      アカウント取得の際のチェックを強化することはGoogleにとっては必要でしょう。

      そして不正アカウントのチェックは言われずとも当然しているでしょう。
      だからこそ、「不正なアカウント取得プログラムが90%の割合で音声CAPTCHAを
      突破できている」という結果が分かるわけで。
      親コメント
      • by albireo (7374) on 2008年05月08日 13時30分 (#1340966) 日記

        そして不正アカウントのチェックは言われずとも当然しているでしょう。
        だからこそ、「不正なアカウント取得プログラムが90%の割合で音声CAPTCHAを
        突破できている」という結果が分かるわけで。

        違う。「90%で突破できる」としているのはGoogleではなく外部の人間。
        そしてそこでテストしているのは「音声CAPTCHAの突破」までであって、「不正アカウントの取得」については可能性を示しているに過ぎない。
        ちゃんと記事を読みましょうよ。
        --
        うじゃうじゃ
        親コメント
        • by 127.0.0.1 (33105) on 2008年05月08日 14時10分 (#1340985) 日記
          ぐはっ。それは失礼した。
          でもGoogle内部で不正アカウントの調査を全くしてないとは思えないんだけど
          実際どうなんでしょうか。
          やっててもまるで追いつかないということなのかな。
          親コメント
          • by Anonymous Coward
            まあ、やってるとしてもネガティブな情報ですし、好んで表に出すとは思えません。

            #ありうるのは、対策後に「従来に比べn%不正されにくくなりました」とか?
    • by Anonymous Coward
      アタッカーがどんなふうにアカウント名を決めるのか知らないけど、
      一回expireされたアカウント名は二度と使えなくなるわけで、
      もしかしたらふつーの人が使いたいアカウント名が、使えなくなるかもしれない。
    • by Anonymous Coward
      > どの程度の施設を用意して

      ほぼ、これ [hatena.ne.jp]でいけると思います。
      きれいなもんだ(笑
  • 初音ミクの発音なら破られない気がする。
    --
    旅に出ます.(バグを)探さないで下さい.
  • じゃ、これもネコ認証で (スコア:1, おもしろおかしい)

    by Anonymous Coward on 2008年05月08日 13時00分 (#1340947)
    にゃーとネコが鳴いているのは何番目ですか?
  • by dagama (34698) on 2008年05月08日 13時36分 (#1340972)
    人間にできることはコンピュータにもできる、ってことでは。
    脳でも繋がないと認証通らないようにしますか?
  • by Anonymous Coward on 2008年05月08日 13時34分 (#1340968)
    入力がインターフェイスかプログラムか
    入力間隔は人の手かプログラムか
    チェックするのが一番確実な気がしてきました
    人海戦術取られるとだめだけど

    #マウスの動きがランダムか否かを解析するスクリプトならあったような気もする
    #ちゃんとやるとユーザーにプログラムのインストールを求める認証画面になりそーでそれはそれで怖い
    • by Anonymous Coward on 2008年05月08日 13時45分 (#1340975)
      物理メールを使う
      オンラインで申し込まれたら登録IDと暫定パスワードを物理メールで返す
      同一宛先から複数登録されたら要注意
      もちろん私書箱は認めない

      費用かかるけどな
      親コメント
      • by Anonymous Coward
        >費用かかるけどな

        逆にすれば?
        申込が郵便。受付完了の手続きがオンライン。
        郵便返送用の切手同封を条件にすれば更にハードルは高くなる。
    • by Anonymous Coward
      ヒトの「認識能力の高さ」に依存してる限りは、
      いつかは破られるんじゃないですかね。

      これからは、「感情」とか「感覚」を入れていくべきかと。

      たとえば、複数の絵や音声を提示して、
      「どれがエロい?」「かわいそうなのはどれ?」みたいな。

      もちろん、感情の不自由な人はどうするんだ、
      という問題はあるけど。
  • by Anonymous Coward on 2008年05月08日 13時59分 (#1340980)
    鈴木松美先生がアップを始めたようです
typodupeerror

一つのことを行い、またそれをうまくやるプログラムを書け -- Malcolm Douglas McIlroy

読み込み中...