[论文解读] Gotta CAPTCHA 'Em All: A Survey of Twenty years of the Human-or-Computer Dilemma

Meriem Guerar, Luca Verderame+3 more|arXiv (Cornell University)|Mar 2, 2021

User Authentication and Security Systems参考文献 96被引用 4

一句话总结

本文对2000年至2020年间的CAPTCHA方案进行了全面且最新的综述，提出了一种新颖的10类分类体系，涵盖传统类型（文本、图像、音频）和新兴类型（行为型、传感器型、活力检测型）。文章分析了攻击方法，评估了安全与可用性之间的权衡，并指出了下一代CAPTCHA系统面临的关键开放挑战。

ABSTRACT

A recent study has found that malicious bots generated nearly a quarter of overall website traffic in 2019 [100]. These malicious bots perform activities such as price and content scraping, account creation and takeover, credit card fraud, denial of service, etc. Thus, they represent a serious threat to all businesses in general, but are especially troublesome for e-commerce, travel and financial services. One of the most common defense mechanisms against bots abusing online services is the introduction of Completely Automated Public Turing test to tell Computers and Humans Apart (CAPTCHA), so it is extremely important to understand which CAPTCHA schemes have been designed and their actual effectiveness against the ever-evolving bots. To this end, this work provides an overview of the current state-of-the-art in the field of CAPTCHA schemes and defines a new classification that includes all the emerging schemes. In addition, for each identified CAPTCHA category, the most successful attack methods are summarized by also describing how CAPTCHA schemes evolved to resist bot attacks, and discussing the limitations of different CAPTCHA schemes from the security, usability and compatibility point of view. Finally, an assessment of the open issues, challenges, and opportunities for further study is provided, paving the road toward the design of the next-generation secure and user-friendly CAPTCHA schemes.

研究动机与目标

• 提供2000年至2020年期间CAPTCHA方案的全面且最新的综述，涵盖传统类型和新兴类型。
• 提出一种新颖的10类分类体系，包括行为型、传感器型和活力检测型CAPTCHA，这些类型在以往的综述中代表性不足。
• 通过总结成功的攻击方法（包括基于人工智能和侧信道的攻击），分析各类CAPTCHA方案的安全漏洞。
• 评估现代CAPTCHA方案在可用性、隐私和兼容性方面的权衡，特别是行为型和传感器型方案。
• 识别设计下一代安全、用户友好且保护隐私的CAPTCHA系统所面临的开放研究挑战与机遇。

提出的方法

• 提出CAPTCHA方案的新10类分类：基于文本、基于图像、基于音频、基于视频、基于游戏、基于拖拽、基于数学、行为型、传感器型以及用于活力检测的CAPTCHA。
• 对77种CAPTCHA方案进行了系统性文献回顾，整理了其创建年份与被破解年份的时间线，并计算了被破解的百分比。
• 分析了各类方案的攻击向量，包括基于人工智能的攻击（如对扭曲文本使用深度学习）和侧信道攻击（如时序攻击、设计缺陷）。
• 通过比较不同方案在形态、传感器依赖性和客户端验证风险方面的差异，评估其在安全性、可用性和兼容性方面的权衡。
• 评估了收集行为和传感器数据所涉及的隐私风险，并提出了缓解策略，例如仅发送测试结果。
• 识别出现有研究中的空白，特别是行为型和传感器型CAPTCHA缺乏可用性研究，以及对轻量级、硬件无关解决方案的需求。

实验结果

研究问题

• RQ1 过去20年中，CAPTCHA方案的关键类别有哪些？它们在设计和用途上如何不同？
• RQ2 攻击方法如何演变以破解传统CAPTCHA方案？针对它们最有效的技术是什么？
• RQ3 与传统方案相比，行为型和传感器型CAPTCHA方案在安全性、可用性和隐私方面存在哪些局限性？
• RQ4 为何当前的CAPTCHA方案在不同设备间并非统一兼容？在台式机和笔记本电脑上支持它们面临哪些挑战？
• RQ5 设计下一代既安全、用户友好又保护隐私的CAPTCHA系统，面临哪些开放的研究挑战？

主要发现

• 大多数传统CAPTCHA方案——尤其是基于文本和基于图像的方案——已被现代人工智能攻破，深度学习模型在扭曲文本上的准确率最高达到99.8%。
• 通过利用设计缺陷（如时序或渲染缺陷）的侧信道攻击，已成功破解多个CAPTCHA方案，而无需解决底层的人工智能问题。
• 行为型CAPTCHA（如Google的reCAPTCHA v3）如今在生产系统中占主导地位，提供无感挑战，但依赖于设备特定的交互模式。
• 传感器型CAPTCHA（利用加速度计或陀螺仪数据）效果极佳，但仅限于移动设备和可穿戴设备，引发可移植性和兼容性问题。
• 由于收集用户行为和类似生物特征的数据，行为型和传感器型CAPTCHA存在显著隐私风险，尤其是在未在客户端进行保护的情况下将数据发送至远程服务器时。
• 目前尚无研究全面评估行为型或传感器型CAPTCHA的可用性，尽管其部署日益广泛，这凸显了一个关键的研究空白。