はてなのキャプチャ

徒然 セキュリティ

「はてなのCAPTCHAを破るプログラムは30分あれば書ける」http://d.hatena.ne.jp/yaneurao/20090802#p1

懐かしいネタなので，過去記事から掘り起こしてみた．

ついで．

CAPTCHA*1が基本的に荒らし対策目的で使用されるものであることは以前にも書いた。ユーザビリティの犠牲が少ないものは早いうちに破られるし、改良してもイタチごっこになることも目に見えている。それでもなお活用する意義があるのは、使用目的が荒らし対策だからだ。新規ユーザ登録や、ログインなしでできるコメントやトラックバックなど、元々自由に利用させる機能である限り、完全に防ぐことはできないのであり、たとえ将来破られる可能性があろうとも何もしないよりはましだというわけだ。（荒らしがよりハードルの低いところへ行ってくれることを期待できる。）

http://s02.megalodon.jp/2009-0802-1040-27/takagi-hiromitsu.jp/diary/20060810.html

スパマーは「大量」且つ「長期間」に渡って*1スパムコメントを付けるのが目的．スパマーの視点から見れば，はてな限定で，しかも短期間しか有効でないことが分かってる「期間限定はてな専用CAPTCHA破りプログラム」にはあまり意味はなく，本気で取り組むだけのメリットは少ないと思う．*2どんなCAPTCHAでも解読できる「万能CAPTCHA破りプログラム」ならスパマーは欲しがるだろうが，それの開発費は相当に高く付くだろう．そしてそれさえも，しょせんはイタチごっこ．新しいCAPTCHAが開発されるまでの命なのだ．

http://d.hatena.ne.jp/JavaBlack/20071029/p1

キャプチャなんて「突破可能な技術」であることは最初から分かっているので，１００％の安全性なんて誰も求めてない．予想されるリスクと秤にかけて十分な安全性が確保できるなら，それ以上に金をかける意味なんて無いんだよな．

それに「はてな」には「なぞなぞ認証」もあるしね．これはコンピューターでの自動解読はほとんど不可能だ．たとえできても，おそろしく高くつくものになる．


あと興味深いのがfc2の「日本語読み」キャプチャ．数字の「イチ に さん ヨン」のような日本語読みを表示して数字を入力させるもので，これを解読する技術的な難易度はさほどでもないけれど，初歩の日本語知識がない人間には解読できない．また，たとえ解読プログラムを作ったとしても，それは日本語環境限定なのでスパム業者にとって魅力の薄く，投資を回収するのが難しいものになる．

*1:この頃は，まだ「なぞなぞ認証」がなかった頃なのかな？