[논문 리뷰] Bypassing Captcha By Machine A Proof For Passing The Turing Test

Ahmad B. Hassanat|arXiv (Cornell University)|2014. 09. 03.

User Authentication and Security Systems참고 문헌 11인용 수 5

한 줄 요약

이 논문은 현대적인 광학 문자 인식(OCR) 시스템이 설계상의 취약점을 악용하여 널리 사용되는 CAPTCHA를 우회할 수 있음을 입증하며, 기계가 이미지 기반 터링 테스트에서 CAPTCHA 해결의 맥락에서 이제는 통과할 수 있음을 보여준다. 이 연구는 왜곡된 문자에 의존하는 고도로 발전한 CAPTCHA 역시 OCR 기반 공격에 취약하다는 것을 보여주며, 자연어와 다중 객체를 활용한 강화된 CAPTCHA를 제안하여 기계학습 공격에 대한 저항력을 높인다.

ABSTRACT

For the last ten years, CAPTCHAs have been widely used by websites to prevent their data being automatically updated by machines. By supposedly allowing only humans to do so, CAPTCHAs take advantage of the reverse Turing test (TT), knowing that humans are more intelligent than machines. Generally, CAPTCHAs have defeated machines, but things are changing rapidly as technology improves. Hence, advanced research into optical character recognition (OCR) is overtaking attempts to strengthen CAPTCHAs against machine-based attacks. This paper investigates the immunity of CAPTCHA, which was built on the failure of the TT. We show that some CAPTCHAs are easily broken using a simple OCR machine built for the purpose of this study. By reviewing other techniques, we show that even more difficult CAPTCHAs can be broken using advanced OCR machines. Current advances in OCR should enable machines to pass the TT in the image recognition domain, which is exactly where machines are seeking to overcome CAPTCHAs. We enhance traditional CAPTCHAs by employing not only characters, but also natural language and multiple objects within the same CAPTCHA. The proposed CAPTCHAs might be able to hold out against machines, at least until the advent of a machine that passes the TT completely.

연구 동기 및 목표

• 기존 CAPTCHA의 기계 기반 공격, 특히 OCR 기술을 활용한 공격에 대한 취약성을 조사하는 것.
• CAPTCHA가 인간과 기계를 효과적으로 구분한다는 가정을 도전하며, 자동화된 시스템에 대한 그들의 내구성 테스트.
• 기계학습 공격에 대한 저항력을 높이기 위해 자연어와 다중 시각적 객체를 통합한 강화된 CAPTCHA 설계를 제안하는 것.
• 기계가 시각적 패턴 인식 분야에서 진정으로 터링 테스트를 통과할 수 있는지에 대한 지속적인 논의에 기여하는 것.
• 현재의 OCR 시스템이 높은 성공률로 기존의 CAPTCHA를 쉽게 뚫을 수 있음을 경험적으로 입증하며, 이는 그들의 보안을 약화시킨다.

제안 방법

• 저자들은 CAPTCHA 내의 왜곡된 문자를 인식하도록 맞춤형 OCR 시스템을 개발하였으며, 이미지 전처리 및 패턴 인식 기법을 활용하였다.
• 저자들은 다양한 기존 CAPTCHA 구현체에 대해 이 OCR 시스템을 평가하여, 다양한 왜곡 수준과 폰트 스타일에서의 성공률을 측정하였다.
• 기존 CAPTCHA 설계를 분석하여 자동 인식을 용이하게 하는 구조적 취약점을 규명하였다.
• 저자들은 인지적 복잡성을 높이기 위해 텍스트 요소와 자연어 어구, 다중 시각적 객체를 조합한 강화된 CAPTCHA 프레임워크를 제안하였다.
• 기존의 OCR 및 기계학습 기법에 대한 신규 CAPTCHA 설계의 내구성을 평가하였다.
• 연구는 표준 CAPTCHA와 강화된 CAPTCHA 변형 간의 OCR 공격 성공률를 비교하기 위해 경험적 테스트를 사용하였다.

실험 결과

연구 질문

• RQ1 현대적인 OCR 시스템은 왜곡된 문자에 의존하는 표준 CAPTCHA를 신뢰성 있게 우회할 수 있는가?
• RQ2 현재의 기계학습 기법은 CAPTCHA가 인간과 기계를 구분할 수 있다는 가정을 어느 정도 무너뜨리는가?
• RQ3 CAPTCHA에 자연어와 다중 시각적 객체를 통합함으로써 자동 공격에 대한 저항력이 상당히 향상될 수 있는가?
• RQ4 OCR 기반 공격이 CAPTCHA에 성공적으로 적용된다는 것은 기계가 시각 인식 분야의 터링 테스트를 통과하거나 이미 통과하고 있다는 것을 의미하는가?
• RQ5 기계 기반 공격의 진화에 대응하기 위해 CAPTCHA의 내구성을 높일 수 있는 설계 원칙은 무엇인가?

주요 결과

• 왜곡된 문자에 기반한 표준 CAPTCHA는 맞춤형 OCR 시스템을 통해 높은 성공률로 우회 가능하며, 이는 기계학습 기법에 대한 취약성을 입증한다.
• 이 연구는 현재의 OCR 기술이 인간과 기계를 구분하는 데 기반을 두고 있는 CAPTCHA 보안의 근본적 전제를 도전할 정도로 발전했다는 것을 확인한다.
• 중간 수준의 왜곡과 노이즈가 포함된 복잡한 CAPTCHA도 최적화된 OCR 파이프라인을 거치면 자동 인식에 취약하다.
• 자연어와 다중 객체를 통합한 제안된 강화된 CAPTCHA 설계는 기존의 단일 텍스트 기반 CAPTCHA보다 OCR 기반 공격에 대해 더 높은 저항력을 보였다.
• 결과적으로 기계가 시각 인식 분야에서 터링 테스트를 통과할 수 있는 능력에 가까워지고 있음을 시사하며, 특히 이미지 기반 도전 과제인 CAPTCHA의 맥락에서 그렇다.
• 이 연구는 컴퓨터 비전 및 OCR 분야의 급속한 발전으로 인해 기존 CAPTCHA의 보안가 빠르게 약화되고 있으며, 새로운 설계 철학이 필요하다는 경험적 증거를 제공한다.