[论文解读] Typer vs. CAPTCHA: Private information based CAPTCHA to defend against crowdsourcing human cheating

Jianyi Zhang, Xiali Hei+1 more|arXiv (Cornell University)|Apr 29, 2019

User Authentication and Security Systems参考文献 20被引用 5

一句话总结

本文提出了一种新颖的CAPTCHA设计，利用用户的私有信息（如密码或密码哈希）来区分合法用户与外包CAPTCHA求解的众包‘打字员’（Typers）。通过将私有数据嵌入挑战过程，该方法确保打字员在无此信息的情况下无法成功，而合法用户则能在15秒内以高准确率完成验证，从而对随机猜测攻击具有强抵抗力，同时保持与现有认证工作流的兼容性。

ABSTRACT

Crowdsourcing human-solving or online typing attacks are destructive problems. However, studies into these topics have been limited. In this paper, we focus on this kind of attacks whereby all the CAPTCHAs can be simply broken because of its design purpose. After pursuing a comprehensive analysis of the Typer phenomenon and the attacking mechanism of CAPTCHA, we present a new CAPTCHA design principle to distinguish human (Typer) from human (user). The core idea is that the challenge process of the CAPTCHA should contain the unique information with a private attribute. The notion of our idea is based on the information asymmetry between humans. Without this private information, Typers will not be able to finish the attack even if they recognize all the characters from the CAPTCHA. We formalize, design and implement two examples on our proposed principle, a character-based, and a datagram-based case, according to a web interaction and password handling program. We challenge the user to select the password from the random characters that are not in the password sequence or to place the randomly sorted sequences into the correct order. A novel generation algorithm with a fuzzy matching method has been proposed to add the capability of human error tolerance and the difficulty of random guess attack. Unlike other solutions, our approach does not need to modify the primary authentication protocol, user interface, and experience of the typical web service. The several user studies' results indicate that our proposed method is both simple (can be solved by humans accurately within less than 20 seconds) and efficient (the Typer can only deploy a random guess attack with a very low success rate).

研究动机与目标

• 为应对日益严重的众包人工CAPTCHA攻击威胁，即攻击者将识别任务外包给低成本的人工劳动力（打字员）。
• 通过利用用户私有数据带来的信息不对称，设计一种能够区分合法用户与打字员的CAPTCHA机制。
• 保持与现有网络认证协议、用户界面及用户体验的向后兼容性，无需任何修改。
• 通过两个实际示例（字符型与数据报型挑战）证明该方法的可行性和有效性。

提出的方法

• 提出一种基于信息不对称的新CAPTCHA设计原则：挑战必须包含打字员未知的用户特定私有数据（如密码或哈希值）。
• 设计一种字符型挑战，用户需从序列外的随机字符中选出正确密码，确保打字员因缺乏私有知识而无法猜测。
• 开发一种数据报型挑战，要求用户根据私有信息将随机打乱的序列重新排序为正确顺序。
• 提出一种新颖的模糊匹配生成算法，以容忍人为错误并增强对随机猜测攻击的抵抗能力。
• 将挑战与验证过程嵌入标准HTTP POST流程中，以保持与现有网络应用的兼容性。
• 使用用户密码或其哈希值作为私有属性，确保打字员无法访问，从而无法在攻击中成功。

实验结果

研究问题

• RQ1 能否设计一种CAPTCHA，使得只有拥有私有信息的合法用户才能解决，而即使打字员能识别所有字符也无法成功？
• RQ2 如何在不修改核心认证协议或用户界面的前提下，将用户私有数据整合进CAPTCHA挑战中？
• RQ3 引入私有信息后，打字员的随机猜测攻击成功率降低到何种程度？
• RQ4 所提方法是否能保持高可用性，使合法用户在15秒内完成CAPTCHA验证？
• RQ5 该方法在常见网络应用场景（如登录、注册和证书验证）中是否具备可扩展性？

主要发现

• 所提方法确保打字员仅能进行成功率极低的随机猜测攻击，因为他们无法获取用户的私有信息。
• 合法用户在15秒内以高准确率完成CAPTCHA验证，证明了其良好的可用性与效率。
• 该方法与现有网络服务保持向后兼容，无需修改认证协议、用户界面或用户体验。
• 模糊匹配生成算法成功容忍了人为错误，同时保持对随机猜测攻击的抵抗能力。
• 用户研究证实，该方法通过切断攻击者与打字员之间的共享验证连接，有效防止了众包人工作弊。
• 所实现的两个示例——字符型与数据报型——证明了该原理在真实网络应用场景中的可行性。