[論文レビュー] A Study of CAPTCHAs for Securing Web Services

M. Tariq Banday, Nisar A. Shah|arXiv (Cornell University)|Dec 23, 2011

User Authentication and Security Systems参考文献 22被引用数 25

ひとこと要約

この論文は、ウェブサービスのセキュリティを確保するために使用されるテキストベースおよび画像ベースのCAPTCHA方式を、そのセキュリティと使いやすさの観点から評価することで分析している。既存のCAPTCHA設計を分類し、生成および破壊の手法を概説し、自動攻撃に対して耐性を高めつつユーザーフrndlyな設計を維持するためのガイドラインを提示している。テキストおよび画像ベースのCAPTCHAの有効性と限界について包括的な比較研究が行われている。

ABSTRACT

Atomizing various Web activities by replacing human to human interactions on the Internet has been made indispensable due to its enormous growth. However, bots also known as Web-bots which have a malicious intend and pretending to be humans pose a severe threat to various services on the Internet that implicitly assume a human interaction. Accordingly, Web service providers before allowing access to such services use various Human Interaction Proof's (HIPs) to authenticate that the user is a human and not a bot. Completely Automated Public Turing test to tell Computers and Humans Apart (CAPTCHA) is a class of HIPs tests and are based on Artificial Intelligence. These tests are easier for humans to qualify and tough for bots to simulate. Several Web services use CAPTCHAs as a defensive mechanism against automated Web-bots. In this paper, we review the existing CAPTCHA schemes that have been proposed or are being used to protect various Web services. We classify them in groups and compare them with each other in terms of security and usability. We present general method used to generate and break text-based and image-based CAPTCHAs. Further, we discuss various security and usability issues in CAPTCHA design and provide guidelines for improving their robustness and usability.

研究の動機と目的

• 既存のCAPTCHA方式が人間とボットを区別する効果的であるかを評価すること。
• CAPTCHA設計におけるセキュリティおよび使いやすさの課題を特定すること。
• 構造および自動攻撃に対する耐性に基づいてCAPTCHAの種類を分類すること。
• CAPTCHAの耐性を高めるとともにユーザーアクセシビリティを損なわないようにするための実行可能なガイドラインを提供すること。

提案手法

• 視覚的および認知的課題に基づいて、CAPTCHAをテキストベースと画像ベースに分類すること。
• ランダム化、歪み、ごまかし技術を含むCAPTCHAの一般的な生成プロセスを分析すること。
• 光学文字認識（OCR）および機械学習に基づく画像認識などの一般的な攻撃ベクトルを検討すること。
• 自動ボットネットおよびAI駆動のパターン認識を含む、既存のCAPTCHA破壊技術をレビューすること。
• 異なるCAPTCHA実装間でのセキュリティおよび使いやすさのメトリクスを比較すること。
• 自動攻撃に対して耐性を高めるが、ユーザーエクスペリエンスを損なわない設計原則を提言すること。

実験結果

リサーチクエスチョン

• RQ1 テキストベースと画像ベースのCAPTCHAは、セキュリティと使いやすさの観点でどのように異なるか？
• RQ2 ボットがCAPTCHA方式を破壊できる主な脆弱性は何であるか？
• RQ3 自動攻撃に対して高い耐性を示すCAPTCHAの設計パターンは何か？
• RQ4 CAPTCHAシステムは、ボットを効果的にブロックしつつ、使いやすさを維持できるか？
• RQ5 CAPTCHA設計におけるセキュリティ強度とユーザーアクセシビリティの主なトレードオフは何か？

主な発見

• テキストベースのCAPTCHAは、予測可能な文字の歪みのため、OCRに基づく攻撃に対して脆弱である。
• 画像ベースのCAPTCHAは自動攻撃に対してより高い耐性を示すが、視覚障害を有するユーザーにとっては使いにくくなる可能性がある。
• 多くのCAPTCHA方式は、セキュリティと使いやすさのバランスに失敗しており、高失敗率や高度なボットによる容易な回避を引き起こしている。
• ランダムな歪みと複雑な背景パターンの使用は耐性を高めるが、同時にユーザーの誤り率を増加させる。
• 既存のCAPTCHAシステムは、機械学習を用いた進化するボットの能力に適応できていないことがしばしばある。
• 歪みの多様性、ユーザーフィードバック、適応的難易度を重視する設計ガイドラインは、セキュリティと使いやすさの両面で顕著な向上をもたらす。