分享嘉宾：刘浩真 极验
编辑整理：孙晓晴 清华大学
出品平台：DataFunTalk、AI 启蒙者
导读：随着互联网技术的倒退，网络上的黑灰产反抗也日益强烈。在黑灰产攻防单方你追我赶的动静博弈中，验证码扮演着进步攻打门槛、处理歹意流量、辅助危险判断等重要角色。明天将和大家分享验证码的诞生与倒退过程、继续降级的开发设计技术与破解技术，以及极验在验证码设计部署上的实际案例。
一、验证码诞生与倒退历史
验证码（CAPTCHA）是“全自动辨别计算机和人类的公开图灵测试”的缩写，又名 HIP（human interaction proof），即“人类交互行为证实”。下图为最早的验证码，于 1997 年设计颁布并申请了专利。此验证码属于字符型验证码，是基于浏览行为的人类交互行为证实。
- 最后利用
1999 年 slashdot 网站发动在线投票，票选全美计算机科学业余最好的学校。而因为投票系统设计得较为简单，仅反对基于 IP 地址的限度条件，MIT 和 CMU 的学生编写脚本进行批量刷票。这兴许是最早的刷票行为。
验证码的提出者 Luis von Ahn 博士与雅虎网站合作开发了 EZ-Gimpy 字符验证码，部署于雅虎的邮箱注册界面，阻止机器脚本大量注册免费邮箱。
除上述在线投票、账号注册场景外，验证码还利用于搜索引擎、反爬虫、无害邮件、避免爆破行为等场景。
- 最后的对手
字符验证码诞生不久，就遭逢其最后的对手 OCR，即“光学字符识别技术”。上面介绍 OCR 的两种支流实现形式，包含图像识别算法和机器学习模型。
2003 年 Greg Mori 等利用改良的 Shape Context 算法在雅虎的 EZ-Gimpy 数据集上达到 93% 的识别率。须要留神的是，EZ-Gimpy 相较于当今的字符验证码更为简略，验证码上仅包含字典中呈现的 561 个短单词字符。所以，这项工作可能达到如此高的识别率也是因为利用了 EZ-Gimpy 验证码公开的生成逻辑。（Shape Context 算法及实现详情可参看极验公众号上相干文章）
2005 年 Kumar Chellapilla 等利用 CNN 模型进行基于单字符识别的验证码辨认，通过 7 组比照试验论证得出，该 CNN 模型在辨认扭曲单个字符工作中的体现远超人类。
- 验证码的倒退
自验证码诞生至广泛应用以来，各种加强版字符验证码和其它模式验证码层出不穷，察看其发展趋势可总结出两个特点：① 丰盛题目类型；② 采集行为数据。
如下为谷歌 reCAPTCHA 我的项目的三次迭代版本。第一版选取两张扭曲的字符图片拼接后作为题目展现，实质仍属于字符型验证码。该版本的关键技术的前身是 CMU 的一个分布式人工辨认数字化文字收集我的项目。验证码中展现的两张图片中仅一张（图 A）是真正的题目（有明确答案），而 reCAPTCHA 自身无奈辨认另一张图片（图 B）中所蕴含的字符。零碎假如如果使用者正确辨认了图 A，则很大概率上也能够正确辨认图 B。配合大量用户对同一题目的标注后果，该零碎帮忙数字化了大量 ORC 技术难以辨认的印刷文字。该版本于 2018 年 3 月 31 日终止服务。
以后第二代 reCAPTCHA 我的项目更为常见，包含九宫格的图片验证以及判断用户行为的 checkbox。当用户点击 checkbox（I’m not a robot）时，会有局部浏览器数据及用户浏览行为数据被发送至 reCAPTCHA 后端。如果依据以上数据难以判断或判断为有危险用户，会弹出九宫格图片进一步验证。
第三代 reCAPTCHA 我的项目间接摈弃了有界面和交互的验证码模式，而变身为角落中的一个图标，代表隐衷协定。网站主部署此零碎后，其 JS 代码会继续收集用户行为数据，进行用户危险评分（返回一个 0~1 的 float 分值，分数越低代表危险越低）。
从 reCAPTCHA 我的项目三个版本迭代倒退过程中，验证码从字符验证到基于用户行为加图片验证模式，再到齐全依赖用户行为数据，能够看出其 20 年来的发展趋势，即摸索更加丰盛直观的验证模式和基于多维度数据进行危险判断。
- 新型验证码摸索
在字符验证码的安全性受到挑战以及被宽泛反馈用户体验较差后，工业界和学术界都在积极探索对用户更加敌对且平安的验证模式。
如下左图所示为骰子验证码，由 Dice Captcha 于 2010 年独立制作开发。相较于字符验证码，该办法更加敌对、直观、易用，并且晋升了趣味性。但该办法安全性无限，可暴力破解，未失去广泛应用。而右图所示的验证码仅存在于论文中，安全性很高，但用户体验较差。
下图中名为 DotCHA 的验证码于 2019 年提出，也仅存于论文和 demo 中。它利用散落在三维空间中可交互的动静点，组成字符，供应用户辨认。
此外还有基于传感器、小游戏等模式的验证码，而在设计一款新的验证码时，须要同时兼顾易用性与安全性两个方面。
- 行为式验证
除摸索更加丰盛的验证模式外，各款验证码都在尝试利用更多维的数据来晋升判断准确性，其中一个支流的代表是行为式验证。
如下左图所示，是传统的基于图片或拼图的验证码与行为信息判断的联合。而右图则是用户体验更好的“无感验证”模式，即利用用户之前的行为数据进行初步危险断定，前面由 Google 推出的第三代 recaptcha 就与这种模式不约而同。
此外，目前大多数验证码还会收集设施环境信息、网络信息等数据进行辅助判断。
二、验证码在黑灰产反抗中的角色与实际
- 验证码角色
不同于晚期能够简略地依照利用场景划分验证码的角色，在黑灰产攻打伎俩日渐多样化的明天，验证码承当了更加零碎和丰盛的新角色，如用以进步攻打门槛、处理歹意流量和辅助危险判断等。
进步攻打门槛：验证码作为必备组件部署在登录、找回明码、下单、评论发帖等要害业务的入口处，能够无效避免撞库、暴力猜解等攻打，大大提高黑灰产的攻打门槛。
处理歹意流量：以后泛滥互联网企业曾经或正在致力于结合实际业务状况，构建本人的风控系统。在风控系统断定后果的前提下，能够联合不同难度级别的验证码进行解决，晋升用户体验，升高误判。
辅助危险判断：验证码收集到的行为数据可无效丰盛风控系统的信息采集维度，为最终判断提供更多样的视角和根据。比方滑动拼图验证能够收集到用户滑动轨迹，图片辨认验证能够收集用户鼠标点击事件。
- 验证码实际
目前理论应用的支流验证码产品的实质是一个 Web 利用，依赖 HTTP 协定。根本运作流程如下：
① 页面中提前部署基于 Java 或 JS 等代码的验证码程序；
② 经肯定逻辑触发后，初始化程序及后端通信，加载各种资源实现验证码渲染，期待用户交互；
③ 交互实现后将数据发往后端进行综合判断。下图为极验滑动拼图验证码波及到的网络申请，包含 JS、CSS、图片等文件资源申请。
上述过程中，在获取答案和提交答案两局部可能存在被破解的威逼。具体来讲，能够利用计算机视觉、机器学习算法或查库等技术失去验证码答案。之后可采纳各种工具将答案以 HTTP 申请的形式发送给验证码的后端接口。提交答案的工具多种多样，能够简略分为模拟器提交和接口提交两大类。模拟器类工具包含 PC 端的浏览器模拟器，挪动端的手机模拟器等。
2.1 威逼分类
根据上述对黑灰产攻打伎俩的剖析，能够将目前验证码面临的威逼粗略分为如下几类：依据是否有人力参加，分为主动破解和人工打码。主动破解又能够依据团伙规模的大小以及是否对外发售破解能力，分为打码平台和一般破解脚本。平台又能够依据其用处分为图像识别平台和主动破解平台。在图片辨认平台中，用户上传待破解的验证码图像，平台返回相应答案，如缺口地位、汉字坐标等。主动破解平台则接管整个验证过程，用户简直不须要具备任何破解常识和技术。
另外，国内外在黑灰产反抗中面临的威逼有很大区别。以国外的 sneaker bot 产业为例，其中集成了注册、登录、验证、下单、抢鞋等各种性能。在破解验证码环节集成了市场上常见的各种验证码的破解办法。其产业规模宏大而目前又难以有明确的分类规范。而在国内的法律监管下，此类产业很难失去如此大的生存空间。
2.2 验证码产品安全性
2.2.1 根底设置安全性
首先为基础设施的安全性。以后绝大多数验证码实质是一个 Web 利用，须要前后端配合实现。因而在安全性方面须要：
爱护端侧业务逻辑，相干技术包含 JavaScript/Java SDK 的混同加固；
保证数据的安全可靠，通过数据加密传输等伎俩，升高数据被篡改和伪造的可能性；
保障前后端逻辑的健壮性，避免破绽利用和 SCA，同时还包含后端服务器的主机平安。
2.2.2 验证模式安全性
验证模式上的安全性，是验证码安全性的最直观的体现，也是学术界比拟关注的钻研点。
首先，依据验证码提出时的定义，即题目的设计要基于人和当下 AI 的能力差异，利用难题阻挡 bot 流量。而当 bot 能够侧面解决验证码问题的时候，相干的 AI 难题也被解决了，由此反过来推动了 AI 技术的倒退。但设计和采纳 AI 问题时也要思考理论利用中的诸多限度。
其次，安全性还来自于信息差和时间差，所有新模式的验证码在一开始都是平安的。而随着攻击者的深入研究和计算机技术的整体倒退，任何模式的验证码安全性都会衰减甚至生效。所以验证码平安是一个在动静反抗中不停晋升本人的过程。
最初，针对暴力破解伎俩和泛化性较差的辨认模型，海量题库会带来较高的安全性。
2.2.3 数据策略安全性
能够应用设施环境信息、网络信息等辅助判断危险，也能够利用通用的或者题目特有的行为数据进行综合判断。另外针对其余维度的数据挖掘和解决能力也会带来更高的安全性。
2.2.4 经营策略安全性
开发和部署验证码的过程中咱们本质上是在与 bot 背地的攻击者们的博弈，是人与人之间的反抗。因而验证码产品的经营也是其安全性的重要保障。经营中能够配合应用实时拦挡和延时标记技术。同时能够采纳基于主动反馈的动静更新形式，通过低成本的开发与保护反抗攻击者高老本的破解。
三、将来瞻望
举荐：极验第四代验证码
这部分介绍了可能影响验证码安全性的技术倒退因素：
AI 倒退程度：短期内，验证码题目设计仍然是要寻找人类和 AI 在某个能力上的差别和边界。但目前 AI 模型在很多单个工作上的体现已远超人类，验证码题目设计方向会向如语义加图像、语义加行为等综合性方向倒退。
硬件遍及程度：以后存在的许多令人眼前一亮的传感器等模式的验证码，在理论落地利用上还存在肯定间隔，但势必会随着计算机硬件的倒退和遍及产生更重要的影响。
隐衷爱护：隐衷爱护与依赖丰盛数据的风控仿佛是人造对抗的关系，摸索在无限数据空间内的人机辨别形式是一个重要的方向。
社会价值：验证码最后的设计理念就是一个可能能够用来推动 AI 程度提高的工具，而且在数据价值日益凸显的时候，验证码或者会在数据标注等方面施展得天独厚的劣势。
四、现场问答
Q：请问验证码如何和 WAF 进行联动？
A：WAF 的工作地位比拟靠前，收集到的信息比拟偏协定层局部，进行较为根本的过滤。而验证码是一个 Web 利用，所波及到的数据更丰盛一些。另外，还能够在设计拦挡思路时进行联动，比方将 WAF 的危险评估分数传递至验证码辨认的后端，配合延时解决理念，升高攻击者感知。
Q：请问验证码如何和其它安全设备进行联动？
A：如果是指和风控系统的联动的话，能够进行辅助判断。对于高风险用户进行较高难度的验证码校验。
Q：以后是否有人工打码和机器打码的占比统计？如何辨别二者？
A：目前没有具体数据。辨别人工打码和机器打码有一个小技巧，就是利用攻击者在破解过程中可能会犯的一些谬误进行辨别。比方模拟器为骗过鼠标轨迹检测策略，会在提交之前成心晃出一个轨迹，但大量数据分析下会发现机器轨迹依然会呈现出固定模式，据此可断定为是机器打码。
明天的分享就到这里，谢谢大家。