[논문 리뷰] Gotta CAPTCHA 'Em All: A Survey of Twenty years of the Human-or-Computer Dilemma

Meriem Guerar, Luca Verderame외 3명|arXiv (Cornell University)|2021. 03. 02.

User Authentication and Security Systems참고 문헌 96인용 수 4

한 줄 요약

이 논문은 2000년에서 2020년까지의 CAPTCHA 체계에 대한 종합적이고 최신의 종합적 검토를 제시하며, 전통적인(텍스트, 이미지, 오디오) 및 새로운 유형(행동 기반, 센서 기반, 생존성 검출)을 포함하는 혁신적인 10개 카테고리 분류 체계를 도입한다. 공격 방법을 분석하고 보안과 사용성 간의 상충 관계를 평가하며, 차세대 CAPTCHA에 대한 열린 도전 과제를 규명한다.

ABSTRACT

A recent study has found that malicious bots generated nearly a quarter of overall website traffic in 2019 [100]. These malicious bots perform activities such as price and content scraping, account creation and takeover, credit card fraud, denial of service, etc. Thus, they represent a serious threat to all businesses in general, but are especially troublesome for e-commerce, travel and financial services. One of the most common defense mechanisms against bots abusing online services is the introduction of Completely Automated Public Turing test to tell Computers and Humans Apart (CAPTCHA), so it is extremely important to understand which CAPTCHA schemes have been designed and their actual effectiveness against the ever-evolving bots. To this end, this work provides an overview of the current state-of-the-art in the field of CAPTCHA schemes and defines a new classification that includes all the emerging schemes. In addition, for each identified CAPTCHA category, the most successful attack methods are summarized by also describing how CAPTCHA schemes evolved to resist bot attacks, and discussing the limitations of different CAPTCHA schemes from the security, usability and compatibility point of view. Finally, an assessment of the open issues, challenges, and opportunities for further study is provided, paving the road toward the design of the next-generation secure and user-friendly CAPTCHA schemes.

연구 동기 및 목표

• 2000년에서 2020년까지의 CAPTCHA 체계에 대한 종합적이고 최신의 검토를 제공하여 전통적 및 신규 유형을 모두 포함한다.
• 행동 기반, 센서 기반, 생존성 검출 CAPTCHA를 포함하는 혁신적인 10개 카테고리 분류 체계를 도입하며, 이는 이전의 검토에서 다루지 않은 분야이다.
• 각 CAPTCHA 카테고리의 보안 취약점을 분석하여, 성공적인 공격 방법(예: 인공지능 기반 공격, 사이드 채널 공격 포함)을 요약한다.
• 현대 CAPTCHA 체계, 특히 행동 기반 및 센서 기반 체계의 사용성, 프라이버시, 호환성 간의 상충 관계를 평가한다.
• 차세대 보안성, 사용자 우수성, 프라이버시 보호를 갖춘 CAPTCHA 체계 설계를 위한 열린 연구 과제와 기회를 규명한다.

제안 방법

• CAPTCHA 체계의 새로운 10개 카테고리 분류를 제안: 텍스트 기반, 이미지 기반, 오디오 기반, 비디오 기반, 게임 기반, 슬라이더 기반, 수학 기반, 행동 기반, 센서 기반, 생존성 검출을 위한 CAPTCHA.
• 77개의 CAPTCHA 체계에 대한 체계적 문헌 검토를 수행하여, 개발 연도와 해체 연도, 해체 비율을 포함한 타임라인을 구축하였다.
• 공격 벡터를 카테고리 간 분석하여, 인공지능 기반 공격(예: 왜곡된 텍스트에 대한 딥러닝) 및 사이드 채널 공격(예: 타이밍 공격, 설계 결함)을 포함한다.
• 형태 요소, 센서 의존성, 클라이언트 측 검증 위험도를 비교하여 보안, 사용성, 호환성 간의 상충 관계를 평가한다.
• 행동 및 센서 데이터 수집과 관련된 프라이버시 위험을 평가하고, 클라이언트 측 보호 없이도 원격 서버에 전송되는 테스트 결과만 전송하는 등의 완화 전략을 제안한다.
• 기존 연구의 격차를 규명하여, 특히 행동 기반 및 센서 기반 CAPTCHA의 사용성 연구 부족과 경량형, 하드웨어 독립형 솔루션의 필요성을 제기한다.

실험 결과

연구 질문

• RQ1 최근 20년간 개발된 CAPTCHA 체계의 주요 카테고리는 무엇이며, 설계 및 목적 측면에서 어떻게 다릅니까?
• RQ2 기존 CAPTCHA 체계를 해체하기 위해 공격 방법은 어떻게 진화했으며, 가장 효과적인 기법은 무엇입니까?
• RQ3 행동 기반 및 센서 기반 CAPTCHA 체계는 전통적 체계와 비교해 보안, 사용성, 프라이버시 측면에서 어떤 제한이 있습니까?
• RQ4 현재 CAPTCHA 체계는 왜 기기 간에 균일하게 호환되지 않으며, 데스크톱 및 노트북에서 이를 구현하는 데는 어떤 과제가 있습니까?
• RQ5 차세대 보안성, 사용자 우수성, 프라이버시 보호를 갖춘 CAPTCHA 체계 설계를 위한 열린 연구 과제는 무엇입니까?

주요 결과

• 특히 텍스트 기반 및 이미지 기반 CAPTCHA 체계의 대부분은 현대 인공지능에 의해 해체되었으며, 딥러닝 모델이 왜곡된 텍스트에서 최대 99.8%의 정확도를 달성했다.
• 타이밍 또는 렌더링 결함 등의 설계 결함을 악용하는 사이드 채널 공격는 인공지능 문제를 해결하지 않더라도 몇몇 CAPTCHA 체계를 성공적으로 해체했다.
• 행동 기반 CAPTCHA, 예를 들어 구글의 reCAPTCHA v3는 이제 생산 환경에서 주로 사용되며, 사용자 친화적인 도전 과제를 제공하지만 기기별 상호작용 패턴에 의존한다.
• 가속도계나 자이로스코프 데이터를 사용하는 센서 기반 CAPTCHA는 매우 효과적이지만 모바일 및 웨어러블 기기로 국한되어 있어 이식성과 호환성 문제를 야기한다.
• 행동 기반 및 센서 기반 CAPTCHA에서는 사용자 행동 및 생체정보 유사 데이터 수집으로 인해 프라이버시 위험이 크며, 특히 클라이언트 측 보호 조치 없이 원격 서버에 전송될 경우 더욱 심각하다.
• 행동 기반 또는 센서 기반 CAPTCHA의 사용성에 대해 완전히 평가한 연구는 존재하지 않으며, 이는 그들의 보급이 증가하고 있음에도 불구하고 중요한 연구 격차를 드러낸다.