Captcha Idee

[Lennie]

Hallo,
Ich bin gerade am bauen eines Captchas, und habe mir gedanken gemacht, wie ich das captcha zur überprüfung übergeben möchte.
Ich habe einfach mal mir eine Menge scripte angeschaut und geguckt was dort benutzt wurde.

Meistens wurde das Captcha in einer session mitgesendet (halte ich für keine sichere variante zum austricksen der bots und spammer) und ansonsten einfach als md5 hash im formular was ich auch nicht so super finde.

Nun habe ich an das Online Banking verfahren gedacht (für die die es nicht kennen: für jede aktion die man ausführen möchte braucht man einen tancode von einer liste. jeder tan funktioniert nur einmal.)

Nun habe ich überlegt mir funktionen zu bauen die automatisch beim aufrufen einer seite neue captcha formeln hinzufügen (das immer ca. 100 vorhanden sind) und beim benutzen das entsprechende captcha mit einer id dem empfangsscript zugeteilt wird. nach benutzung den tan einfach löschen.

Was haltet ihr davon bzw. ist die Idee überhaupt neu?
PS: Ich hab nen Ansatzt dachte aber Brainstorming sei richtiger bereich

[wahsaga]

Re: Captcha Idee

Original geschrieben von Lennie
Meistens wurde das Captcha in einer session mitgesendet (halte ich für keine sichere variante zum austricksen der bots und spammer)

Warum?

Was haltet ihr davon bzw. ist die Idee überhaupt neu?

Ich kann in deinem Vorschlag absolut keinen Vorteil entdecken.

[asp2php]

das Problem war nie der Vergleich, wenn du Daten im Session speicherst, liegen sie auch serverseitig und nicht beim Client (mir scheint's, dass du Session falsch verstanden hast). Das Problem ist das Bild, was du dem User anbietest, man braucht nur die Information im Bild zu entlocken, dann ist es Sche*ß egal wasfür komplexe Formel du im Backend hältst, oder ob du die Formel zur Berechnung dauernd änderst, du musst eh die Usereingabe mit dem auf dem Server vergleichen, et voilà, au revoir captcha

[jmc]

wenn dir ein normales Captcha nicht sicher genug ist, dann gibt es noch eine mögliche Variante:

Der Code wird ebenfalls in einer SESSION gespeichert, aber es wird nicht einfach ein Bild überspielt, sondern viele Bilder. Z.B. 4 Pixel pro Bild, welche dann so angeordnet werden, dass ein Benutzer den Code erkennen kann.

Dies ist aber normalerweise eine etwas übertriebene Vorsichtsmassnahme und ein gutes normales Captcha reicht im Normalfall, ausser es gibt jemanden der dich wirklich nicht mag...

[Lennie]

Original geschrieben von jmc ..., ausser es gibt jemanden der dich wirklich nicht mag... [/B]

Ich glaub wenn ich davor angst habe sollte ich besser aus diesem Forum verschwinden

[Hopka]

Also ich benutze so eine ähnliche Methode. Ist eine Kombination aus der MD5-Variante und deiner Idee. Wenn jemand ein Formular mit CAPTCHA aufruft, wird ein Code erzeugt, auf ein Bild geschrieben und als Datei mit dem Namen md5($geheimer_salt . $code) gespeichert. $geheimer_salt ist dabei etwas, was zwar immer gleich ist, aber nur dem Server bekannt ist. Der MD5-Wert wird dann in einem hidden input Feld mit dem Formular mitgeschickt. Der Server wendet dann nach dem gleichen Verfahren md5($geheimer_salt . $code_vom_benutzer) an. Wenn das nicht gleich dem im hidden input gesendeten Code ist, gilt der Test als fehlgeschlagen. Wenn beide gleich sind, wird noch überprüft, ob es ein Bild mit dem Dateinamen gibt, denn sonnst könnte man immer wieder die gleiche Kombination aus Hash und Code abschicken und würde immer durchkommen. Wenn es das Bild gibt gilt der Test als bestanden und das Bild wird gelöscht damit der Code wieder ungültig wird.
Die TANs sind quasi die Dateinamen der Bilder, allerdings gibt es davon nicht 100 auf Vorrat sondern die werden halt dann erzeugt wenn sie gebraucht werden.

[wahsaga]

Und wo soll dabei jetzt der Vorteil gegenüber einer Ablage des Captcha-Wertes in der Session liegen?

[asp2php]

also Leute, irgendwie habe ich das Gefühl, dass ihr Captcha-Crack falsch verstanden habt; anstatt die Information im Bild sicher zu machen, kümmert ihr euch um den Vergleich

[Hopka]

Der Vorteil gegenüber der Speicherung in der Session liegt darin, dass man keine Session mehr braucht. Und das war eine der Anforderungen, die ich an mich selbst gestellt habe, als ich mir das ausgedacht habe.

Den Code im Bild zu "verstecken" ist natürlich mindestens genauso wichtig und dabei muss man auch einigen Aufwand betreiben, aber das ist eine völlig andere Diskussion.

[wahsaga]

Original geschrieben von Hopka
Der Vorteil gegenüber der Speicherung in der Session liegt darin, dass man keine Session mehr braucht

... und stattdessen Bildobjekte, die nur ein einziges Mal an einen einzigen Client ausgeliefert werden, im Dateisystem ablegt.
Nee, is' klar.

[Hopka]

Wenn das Captcha zwar gelöst, ein anderer Teil des Formulars jedoch fehlerhaft ausgefüllt wurde, wird das Bild auch nochmal angezeigt.

Und was ist schlimm daran, Bilder im Dateisystem zu speichern, selbst wenn sie meistens nur einmal an einen einzigen Client gesendet werden?

[asp2php]

irgendwann läuft die Festplatte voll, meinst du nicht ... oder bist du der Ansicht, dass deine HD gross genug ist und es ist dir daher ziemlich egal, dass sie zugemüllt wird

[Hopka]

Nö.

Denn die Bilder werden gelöscht wenn
a) das Captcha gelöst und das Formular korrekt ausgefüllt wurde,
b) das Captcha falsch gelöst wurde und
c) wenn sie ein vordefiniertes Alter überschritten haben.

Ich hab in dem Text da oben halt ein paar Details ausgespart über die man sich natürlich Gedanken machen muss, wenn man das tatsächlich umsetzt, die aber zum Verständnis des Prinzips nicht wirklich etwas beitragen.

[Lennie]

ich hab mich jetzt für eine mischung aus dem normalen und hopkas entschieden. solltenormalerweise reichen.
als weitere sicherheitsfrage: nach wieviel minuten sollte bei einem cms am besten der admin nach inaktivität wieder ausgeloggt werden?