人類CAPTCHA求解器以及他們揭示了對照設計的內容

信息安全往往采用軍備競賽的形式，因為攻擊者培養了在網絡上使用或濫用服務的新方法，以及捍衛者爭搶適應并阻止這些新技術。

很少有技術更好地舉例說明這個武器比賽而不是稱為CAPTCHA的Web元素。該組件旨在識別和阻止攻擊者用于自動化和擴大攻擊的機器人，例如憑證濫用，網頁刮擦，或者在運動鞋機器人這樣的工具中，以便快速購買時尚運動鞋等有限的商品用品。

CAPTCHAS雜草雜志通過在瀏覽器中呈現謎題，從而透明地只有人類可以解決。在開始，這些謎題主要是視覺，通常需要用戶解析扭曲的文本并鍵入它。

隨著時間的推移，CAPTCHA已經包括不同類型的謎題，包括在復雜圖像中識別特定對象，轉錄短音頻文件或解決邏輯謎題，例如轉動右側圖像。

人體求解器現象

十多年來;然而，攻擊者可以在規模和速度下繞過CAPTCHA，而不是通過計算機視覺或人工智能的進步，而是通過在發展??中經濟體中識別和農業向人工人員網絡（在該行業中稱為索盤）的謎題，然后返回正確的響應使機器人可以繼續為其分配的任務。

這些服務成本攻擊者（即求解服務器服務的客戶）根據拼圖的服務和類型，每1000個正確的解決方案大約1-3美元。求解器網絡;但是，只有1,000個精確解決方案的工資工人近0.40美元。根據求素的速度，將他們的支付每天2至5美元。

在點的情況下，在印度，包括7個人CAPTCHA求解器的單個網絡可以每天圍繞時鐘每天解決50,000個CAPTCHA - 為1,000個條目約2美元。

要清楚，截至2020年，由于多種原因，現在的人員CAPTCHA求解器存在的風險現在或多或少可管理（如果沒有解決）。

對于一個，它是一種舊的練習，安全從業者廣泛熟悉，幾個安全供應商已經設計了檢測人類驗證案件網絡的方法。一些安全供應商開發了機器人緩解或防欺詐解決方案來取代CAPTCHA。與此同時，基于人工智能的CAPTCHA求解器的進步威脅要使人類求解網絡過時。

那么為什么現在PE進入這些人類求解器網絡？盡管風險很低，但這種做法應該受到徹底檢查，因為黑客的簡單性質。

而不是與捍衛者競爭發展復雜的人工智能，CAPTCHA求解器使用低成本，全球分布的人工作為僵尸網絡的前端。這個問題解決了信息安全中攻擊者和捍衛者之間的戰斗基本方面。正如CAPTCHA元素一樣舉例說明了武器競爭，這種規避安全控制的方法揭示了安全從業者經常誤解攻擊者的優勢的性質。

打開誤導可以為設計可以超越這一軍備競賽的未來控制并經支出時間的驗證，為一般指導提供線索。

重新評估信息安全軍備競賽

使人類CAPTCHA求解器如此有理由對安全武器競爭的事物并不躺在技術細節中。相反，它是他們最重要的事情。人類CAPTCHA求解器的漏洞，而不是利用漏洞的編碼錯誤或誤診，而不是利用漏洞，而是利用關于人類勞動時間價值的假設。也就是說，CAPTCHAS圍繞系統所有者設計的假設，不可能使用人工勞動來擴大CAPTCHA求助客戶承諾的攻擊種類。

在一種方式，假設是正確的。實際攻擊者代表的技術人士在短時間內乘以數百或數千次來說太昂貴。然而，鑒于允許這種分散，分布式勞動力供應來滿足其需求的必要基礎設施，解決CAPTCHA所需的相對不熟練的勞動力不是太貴。

結果是，在21世紀，攻擊者支付人類的貧困工資，以充當機器人的前端，這反過來像人類一樣，以便以沒有設計的方式使用信息系統。這照亮了核心問題：對于攻擊者來說，它從來沒有真正關于機器人 - 它是關于可擴展性的。

機器人是末端的手段;當防守者使用CAPTCHAS難以使用擊球機時，攻擊者發現人們對此。面對一場戰斗，在表面上，似乎是關于人工智能或計算機視覺，攻擊者，而是在人類勞動的成本方面找到了一種重新描述的方法。

這意味著實際上是什么意思

安全從業者通常專注于策略，技術和程序（TTP），因為它們是允許在安全運營中心（SoC）中的人或法醫分析中的人員來診斷或減輕攻擊的細節。

然而，CAPTCHA求解器表明，涉及到設計主動控制或安全計劃（而不是緩解持續攻擊時），專注于TTPS只是為了到目前為止。這是因為TTP經常代表攻擊者的一組一次性手段。

在某種程度上，我們可以將安全軍備競賽的整個歷史歸結為攻擊者社區，以爭奪安全界已經制定的條款，并迫使安全從業人員反過來調整。

相比之下，可以使整個策略（如可擴展性，持久性或隱藏等）無效的控件將提供更大的跨時間，空間和佩戴系統的實用程序。換句話說，TTP在信息安全的許多應用中都是至關重要的，但他們既不是鎮上的最后一句話也不是唯一的游戲。

實際上，在這種戰略層面運營的控制必須提出應用程序架構及甚至是商業模式的問題。在業務中更深入地將信息安全的想法既不是新的也不是爭議。

此外，這里的含義是，它代表了通過在董事會努力更加積極主動降低安全成本的機會。我并不意味著暗示致力于減輕機器人的時間和專業知識已經缺乏花費，但我認為聚焦onyAttackers正在做某事可以富有成效，因為聚焦Onowthey正在進行它。