Hacker lại tìm ra được cách hack reCAPTCHA

Thư viện Speech2Text của Google đã vô tình ‘ hack’ được reCAPTCHA cũng của hãng này thông qua một thủ thuật nhỏ.

Nếu bạn vào một trang web cần đăng ký, bạn hay thấy cuối mẫu đăng ký có một mục ghi “Tôi không phải robot” và bạn cần một số thao tác để xác nhận, đó chính là hệ thống reCAPTCHA.

Hệ thống này của Google được thiết kế nhằm nhận biết những người đăng ký dịch vụ sử dụng công cụ để đăng ký chứ không phải đăng ký thực. Tuy nhiên reCAPTCHA lại vô tình bị hack bởi một hệ thống khác của cùng hãng – đó là Speech2Text – công cụ tự động chuyển nội dung âm thanh thành văn bản.

Để ngăn các hệ thống tự động tạo tài khoản với dịch vụ của họ, hầu hết các trang web đều sử dụng reCAPTCHA (miễn phí) hoặc các hệ thống tương tự. Tuy nhiên reCAPTCHA có một công cụ xác thực dành riêng cho người khiếm thị. Công cụ này thay vì xác thực thông qua các thao tác trên màn hình thì người dùng sẽ nhận được một âm thanh và nhập lại những gì họ nghe được.

Vào tháng 4 năm 2017, một nhóm các nhà nghiên cứu từ Đại học Maryland đã phát triển một phương thức tấn công vượt qua được reCAPTCHA với độ chính xác 85,15% chỉ trong 5,42 giây. Hệ thống này có tên unCaptcha có khả năng tải xuống âm thanh, phân tích nội dung và tải nó lên lại dịch vụ sau khi được chuyển thành văn bản. Ngay sau đó, Google đã vá lỗi này bằng cách tạo các đoạn âm thanh phức tạp hơn.

Hacker lại tìm ra được cách hack reCAPTCHA

Nhưng mới đây, nhóm đã trở lại với phiên bản unCaptcha2 với khả năng thậm chí còn mạnh hơn trước. unCaptcha2 tỏ ra hiệu quả hơn, với độ chính xác cao hơn trong tất cả các thử thách của reCAPTCHA. Nguyên tắc hoạt động của unCaptcha2 cũng tương tự như bản cũ như sau:

- Chuyển đến trang web ReCaptcha của Google.
- Mở lên đoạn xác thực bằng âm thanh.
- Tải xuống âm thanh.
- Gửi âm thanh đến thư viện nhận diện nội dung âm thanh qua văn bản.
- Nhận được nội dung văn bản sau khi phân tích.
- Gửi lại nội dung lên và xác thực với reCAPTCHA.

Theo trưởng nhóm George Hughey, unCaptcha2 đạt tỷ lệ thành công 91% trong hơn 600 thử nghiệm. Cao hơn nhiều so với “người anh” của mình. Điểm đổi mới ở đây là unCaptcha2 sử dụng thư viện chuyển nội dung âm thanh thành văn bản của nhiều bên để thực hiện so sánh bao gồm công nghệ của Google, Microsoft, IBM và Wit.ai.

Hiện tại các nhà nghiên cứu đã gửi thông tin đến Google nhưng vẫn chưa có sự phản hồi nào.

Theo Bleeping Computer