C'è qualcosa di insicuro su Google ReCaptcha?

Naviga le tue risposte
28

In questa domanda sui consigli software, l'OP chiede un'alternativa a Google reCAPTCHA perché "anche per ragioni di sicurezza non vogliamo dipendere da nessun servizio esterno".

Per quanto ne so, chiedi a Google un CAPTCHA, lo visualizzi, invii l'input dell'utente a Google che ti dice se l'input era corretto o meno.

Dov'è la possibile insicurezza?

Non è che tu invii a Google il login dell'utente, la password, il numero di conto bancario o qualsiasi altra informazione sensibile.

Suppongo che un attaccante veramente determinato possa usare un attacco man-in-the-middle, ma perché? I CAPTCHA vengono generalmente utilizzati per dimostrare che non sei un bot e non come credenziali di accesso.

Mi manca qualcosa? L'OP è giusto per essere preoccupato o si sta solo facendo un sacco di lavoro extra, forse cercando di implementare il proprio sistema che ritiene essere più sicuro di Google perché ... la sicurezza attraverso l'oscurità?

    
posta Mawg 28.09.2015 - 14:35
fonte

3 risposte

55

Beh, potrebbero esserci un paio di dubbi:

  • Denial of service: nel caso in cui il sistema Google reCaptcha non funzioni, i tuoi utenti probabilmente non saranno più in grado di autenticarsi. Questo potrebbe anche accadere se implementano una sorta di aggiornamento, che interrompe l'intero sistema.
  • Librerie JavaScript esterne: quando si utilizza Google reCaptcha, è necessario includere alcune librerie JS . Nel caso in cui Google voglia eseguire qualche attacco XSS, l'hai reso molto più semplice per loro.
  • Tracciamento: chiunque passi tra i "consensi" di reCaptcha a essere rintracciato da Google . Ciò potrebbe avere un impatto sulla privacy dei tuoi utenti, oltre a fornire un mezzo per Google per tracciare il traffico sul tuo sito web.

Tuttavia, come menzionato in questa risposta , probabilmente si preoccupano di più della loro reputazione piuttosto che di compromettere il tuo sito web. Anche se ne dubito quando si tratta del problema del 'tracciamento'.

    
risposta data 28.09.2015 - 14:42
fonte
9

Non è chiaro dalla domanda dell'OP, ma è possibile che per motivi di sicurezza l'intero sistema non sia in grado di comunicare con reti di terze parti. L'OP potrebbe desiderare di avere un sistema che può implementare sul lato server perché il server, e potenzialmente anche i client, non sono in grado di connettersi a Google o da qualsiasi altra parte su Internet. I vantaggi della sicurezza di non essere connessi a Internet quando non è necessario essere sono ampiamente conosciuti.

    
risposta data 28.09.2015 - 16:59
fonte
3

Secondo blog di Egor Homakov :

  1. Google reCAPTCHA fa affidamento su una whitelist basata sul tuo precedente comportamento online (cookie) che non rende il compito difficile per i robot poiché il flusso legacy è ancora disponibile e i vecchi robot OCR possono continuare a riconoscere il vecchio CAPTCHA.
  2. La sostituzione della tradizionale procedura sfida / risposta da questa whitelist dei cookie rende l'intero servizio vulnerabile agli attacchi tramite clickjacking .
risposta data 28.09.2015 - 21:22
fonte

Leggi altre domande sui tag

Qualche tecnologia impedisce a una CA di revocare unilateralmente un certificato? Mi sento come se fosse impossibile imparare il reverse engineering [chiuso]