Vor ein paar Tagen schrieb ich über die „Problematik von Captchas“:https://nureinblog.at/3521-Die-unendliche-Geschichte-der-Captchas und verwiese auf ein paar ältere Beiträge.

Das Google Watchblog hat nun eine ganz „aktuelle Geschichte zu Recaptcha“:http://www.googlewatchblog.de/2012/05/recaptcha-audio-captchas-wurden-fast-geknackt/ veröffentlicht.

Eine Hacker Gruppe fand heraus, dass Google nur eine handvoll Begriffe für sein Audio Captchas verwendet. Also einem Programm diese beigebracht, Audioerkennung an (wahr wohl in der Realität ein wenig komplexer) und schon wäre Google offen da gestanden. Google hat aber anscheinend Wind davon bekommen und seine Audioausgabe verändert. Mehr Rauschen, mehr Hintergrundmusik,… und schon ging die Erkennung nicht mehr.

Aber die Geschichte zeigt uns, dass Captchas – abgesehen von deren begrenzter bis gar nicht vorhandener Barrierefreiheit – nicht unbedingt sicher sein müssen und eventuell bald gar keine Hürde für Hacker mehr darstellen.

Nachtrag: Ich hatte aufgrund meines Artikels die Rückmeldung, dass Captchas doch so praktisch seien, weil man sich die Moderation spare. Naja. Ich habe das schon kurz vorher angemerkt und heute ein praktisches Beispiel bei der Hand. Jemand kommentierte in meinem Blog. Eindeutig kein Bot, wäre daher durch jedes Captcha als Mensch durchgekommen. Aber der Inhalt des Kommentars war nicht sehr menschlich. Daher hätte ich ihn löschen müssen, wäre er auf meinem Blog erschienen.

Ich kann es nur nochmals betonen. Captchas sind wenig barrierefrei und bilden auch für sehende/hörende Menschen eine Hürde. Sie schützen eventuell vor Bots aber nicht vor menschlichen Spammern oder Kommentaren, die nicht in ein Blog gehören. Bots können andere Mechanismen auch sehr gut abwehren, der Rest ist weiterhin eine Frage der Moderation oder anderweitiger Funktionen.

Zum Schluss. Würde mich freuen über Hinweise auf Erfahrungen mit Captchas, neue Ideen zur Spamabwehr – und insbesondere im Zusammenhang mit der Frage der Barrierefreiheit.

Wieder mal taucht im Dialog die Frage auf, ob man denn nicht doch Captchas verwenden kann. Immerhin gäbe es auch welche die nicht nur grafisch sondern auch auditiv sind und somit für blinde oder gehörlose Menschen funktionieren (sollten).

Ich habe daher mal schnell ein paar Beiträge zusammen gesucht.

Markus Ladstätter referierte beim Accessibility Stammtisch über „Wie kann man Spam bekämpfen“:http://www.bizeps.or.at/news.php?nr=9530. Wie Markus in seinem Artikel festhält erlauben die Web Content Accesibility Guidelines (WCAG) 2.0 Captchas unter bestimmten Voraussetzungen. Aber sie sind nicht der Weisheit letzter Schluss.

Grafische Captchas sind für blinde und sehbehinderte nicht lesbar bzw. für deren Screenreader nicht interpretierbar. Und auch ich habe mir zuletzt bei Facebook die Zähne ausgebissen und erst beim 5. Versuch ein solches Captcha richtig interpretiert. Und Audio-Captchas: Schon mal reingehört, wie die klingen. Auch diese werden verzerrt, mit Hintergrundrauschen versehen, da die automatische Interpretationen (und somit der Angriff durch Bots) durchaus auch gegeben ist.

So oder so sind Captchas immer ein Hindernis für den/die NutzerIn und somit vielleicht ein Grund keinen Kommentar zu hinterlassen, den Kauf abzubrechen oder sonst eine Aktion zu unterlassen, die man eigentlich erreichen wollte. Außerdem überlässt man es quasi dem/der Nutzer/in sich um die Spamabwehr zu kümmern.

Nicht zuletzt zeigt das Referat von [[Peter Purgathofer zu Captchas]] – das er 2008 (!) hielt – wie leicht Captchas auszuhebeln sind.

Wie Markus erwähnt gibt es auch andere Möglichkeiten. Hier im Blog ist zum Beispiel der [[Bayes Spamfilter im Einsatz]]. Hier zeigt sich noch ein anderer Vorteil. Es gibt durchaus auch Spams die die Captchas überwinden können, nämlich die, die von Menschen getippt wurden. Bayes und Co. haben hierzu bessere Möglichkeiten diese Texte herauszufiltern. Wobei schlußendlich nichts hundertprozentig ist, aber das muss man im Web wohl gewohnt sein.

Kurz gesagt: Bitte vergesst Captchas (soweit es geht) und nutzt bessere Alternativen bzw. entwickelt sie.

Im Rahmen der A-TAG07 (ich berichtete) hat Dr. Peter Purgathofer einen interessanten Vortrag über die Entwicklung von Captchas gehalten.

Auf der BIZEPS Website gibt es nun das Referat als Transkript. Auf alle Fälle lesenswert. Nachdenkenswert ist die Tatsache, dass wir uns auch hier in einer Spiral der Hochrüstung befinden. Hier kämpfen die Spambots (einfach gesagt „automatisierte Spamprogramme“) gegen die Spamabwehr.

Dass sich unbedarfte Surfer als Spammithelfer „gewinnen“ lassen können zeigt Dr. Purgathofer ebenfalls auf, wie ich auch in meinem Beitrag „Unfreiwillige Spamhilfe“ berichten musste.

Wer vielleicht vor ein paar Sätzen von Dr. Purgathofer stutzte, der/die sei darauf verwiesen, dass er seinen Vortrag mittels einer witzigen Präsentation hielt. Aber der gesamte Text sollte auch ohne diese Präsentationen gut verständlich sein.

In meinem Blog setze ich (aus Gründen der Barrierefreiheit) keine Captchas ein sondern auf ein mehrstufiges Verfahren. Erstens werden einige Bots per .htacces abgewiesen. Die [[Serendipity]]/S9y eigene Spamabwehr fütter ich laufend mit Phrasen, die ebenfalls automatisch abgewiesen werden. Über weitere interne Routinen und das eingebundene Akismet filtere ich verdächtige Kommentare und Trackbacks aus den übriggebliebenen heraus. Über diese lasse ich mich per E-Mail informieren, was bedeutet täglich zwischen 5 bis 50 Mails kurz nach etwaigen Kommentaren durchzusehen die fälschlich als Spam verdächtigt werden. Das heißt täglich sind so 5 bis 10 Minuten Arbeitszeit dafür notwendig. Hin und wieder lösche ich die auf Moderation geschalteten Kommentare und Trackbacks auch aus S9y.