[论文解读] Bypassing Captcha By Machine A Proof For Passing The Turing Test

Ahmad B. Hassanat|arXiv (Cornell University)|Sep 3, 2014

User Authentication and Security Systems参考文献 11被引用 5

一句话总结

本文证明，现代光学字符识别（OCR）系统可通过利用其设计中的漏洞，绕过广泛使用的CAPTCHA，表明机器如今在图像识别的图灵测试中已能通过。研究表明，即使依赖扭曲文本的高级CAPTCHA也易受OCR攻击，本文提出结合自然语言和多对象的增强型CAPTCHA，以提升对机器学习攻击的抵抗力。

ABSTRACT

For the last ten years, CAPTCHAs have been widely used by websites to prevent their data being automatically updated by machines. By supposedly allowing only humans to do so, CAPTCHAs take advantage of the reverse Turing test (TT), knowing that humans are more intelligent than machines. Generally, CAPTCHAs have defeated machines, but things are changing rapidly as technology improves. Hence, advanced research into optical character recognition (OCR) is overtaking attempts to strengthen CAPTCHAs against machine-based attacks. This paper investigates the immunity of CAPTCHA, which was built on the failure of the TT. We show that some CAPTCHAs are easily broken using a simple OCR machine built for the purpose of this study. By reviewing other techniques, we show that even more difficult CAPTCHAs can be broken using advanced OCR machines. Current advances in OCR should enable machines to pass the TT in the image recognition domain, which is exactly where machines are seeking to overcome CAPTCHAs. We enhance traditional CAPTCHAs by employing not only characters, but also natural language and multiple objects within the same CAPTCHA. The proposed CAPTCHAs might be able to hold out against machines, at least until the advent of a machine that passes the TT completely.

研究动机与目标

• 调查现有CAPTCHA在基于机器的OCR技术攻击下的脆弱性。
• 通过测试其对自动化系统的抗性，挑战CAPTCHA能有效区分人类与机器的假设。
• 提出结合自然语言和多个视觉对象的增强型CAPTCHA设计方案，以提升对机器学习攻击的抵抗能力。
• 为机器是否真正能在视觉模式识别领域通过图灵测试的持续争论提供贡献。
• 提供实证证据，表明当前OCR系统可高成功率破解传统CAPTCHA，从而削弱其安全性。

提出的方法

• 作者开发了一套定制OCR系统，专门用于识别CAPTCHA中的扭曲文本，利用图像预处理和模式识别技术。
• 在一系列现有CAPTCHA实现上评估了该OCR系统，测量了不同扭曲程度和字体样式下的成功率。
• 分析了现有CAPTCHA设计，识别出有利于自动化识别的结构性弱点。
• 作者提出了一种增强型CAPTCHA框架，结合文本元素与自然语言短语及多个视觉对象，以增加认知复杂度。
• 评估了新CAPTCHA设计对已知OCR和机器学习技术的鲁棒性。
• 研究通过实证测试，比较了OCR攻击在标准与增强型CAPTCHA变体上的成功率。

实验结果

研究问题

• RQ1 现代OCR系统能否可靠地绕过依赖扭曲文本的标准化CAPTCHA实现？
• RQ2 当前机器学习技术在多大程度上削弱了CAPTCHA能区分人类与机器的假设？
• RQ3 在CAPTCHA中整合自然语言和多个视觉对象，是否能显著提升对自动化攻击的抵抗能力？
• RQ4 OCR对CAPTCHA的成功攻击是否表明机器正接近或已通过图灵测试的图像识别领域？
• RQ5 哪些设计原则可提升CAPTCHA对不断演进的机器攻击的抗性？

主要发现

• 基于扭曲文本的标准CAPTCHA可被定制OCR系统以高成功率绕过，表明其易受机器学习技术攻击。
• 研究证实，当前OCR技术已发展到可可靠破解许多现有CAPTCHA方案的程度，挑战了CAPTCHA安全性的基础假设。
• 即使具有中等程度扭曲和噪声的复杂CAPTCHA，在使用优化的OCR处理流程时，也易受自动化识别。
• 所提出的增强型CAPTCHA设计——结合自然语言和多个对象——相比传统纯文本CAPTCHA，对OCR攻击表现出更强的抵抗能力。
• 结果表明，机器正接近具备通过图灵测试在视觉识别领域的能力，特别是在图像挑战类CAPTCHA的语境下。
• 研究提供了实证证据，表明由于计算机视觉和OCR技术的快速发展，传统CAPTCHA的安全性正在削弱，亟需新的设计范式。