यह कैसे काम करता है: कैप्चा

कितने वर्षों तक हबर का अस्तित्व रहा है - अगले कैप्चा पर इतने सालों के पोस्ट नियमित रूप से इस पर दिखाई देते हैं - क्या यह चित्र बनाने के लिए एक स्क्रिप्ट है, बिल्लियों के साथ कैप्चा के लिए एक नया विचार और पसंद है। नवीनतम उदाहरण जो एक व्यक्ति को काफी समझ में नहीं आता है कि कैप्चा को सभी को समान रूप से कैसे काम करना चाहिए (पोस्ट टेक्स्ट और हालिया टिप्पणियां देखें), लेकिन साथ ही साथ अपनी गलतियों को समुदाय के साथ साझा करता है। किसी को लगता है कि कैप्चा अधिकांश डेवलपर्स के लिए ऐसा टेरा इन्कॉग्निटा है - दोनों उन लोगों के लिए जो इसे केवल इस उम्मीद में अगले रूप में पेंच करते हैं कि यह "बॉक्स से बाहर" काम करेगा, और उन जैसे कैप्चा के साथ आने वालों के लिए जो आपको कई तस्वीरों में से एक बिल्ली की तस्वीर का चयन करने की आवश्यकता है।

इस लेख में उन लोगों के लिए उपयोगी जानकारी है जो अपने सर्वर पर कैप्चा का उपयोग करते हैं, बजाय reCaptcha जैसी तृतीय-पक्ष सेवा पर भरोसा करते हैं।

और बीज के लिए - अगर आपको लगता है कि इस तरह के एक कैप्चा काम करेगा:
if($_POST['captcha'] == $_SESSION['captcha']) return true; (केस स्टडी)
तब आप गहराई से गलत हैं।

कैप्चा

इसकी परिभाषा के अनुसार, कैप्चा एक ट्यूरिंग स्वचालित सार्वजनिक परीक्षण है (एक ऐसा परीक्षण जो एक व्यक्ति पास कर सकता है, लेकिन कंप्यूटर नहीं)। लेख में मैं कैप्चा के गुणों को इसके सबसे सामान्य रूप के उदाहरण पर विचार करूंगा - चित्र में पाठ, हालांकि लिखा लगभग सब कुछ किसी भी प्रकार के कैप्चा पर समान रूप से लागू होता है।

कैप्चा के दो मुख्य गुण

किसी भी कैप्चा में दो गुण होने चाहिए, जिसके बिना यह काम नहीं करेगा:

मान्यता प्रतिरोध - एक संपत्ति जो एक एल्गोरिथ्म द्वारा मान्यता से कैप्चा की रक्षा करती है - उदाहरण के लिए, एक पाठ मान्यता प्रणाली। यह गारंटी देता है कि कोई व्यक्ति चित्र में पाठ पढ़ सकता है, लेकिन कंप्यूटर नहीं करता है।
विरोधी उदाहरण: मानक phpBB 2.x फोरम कैप्चा में यह संपत्ति नहीं है - मान्यता के सापेक्ष आसानी के कारण, लिपियों ने प्रकट किया कि एक पंक्ति में सभी मंचों ने वेबमास्टर्स को मजबूर किया कि कैप्चा को और अधिक स्थिर करने के लिए बदल दिया जाए।

अनुमान लगाना अनुमान कैप्चा की एक संपत्ति है जो थोड़ी सी संख्या में प्रयासों (1000 से कम) में अपने मूल्य का अनुमान लगाने की अनुमति नहीं देता है। यदि कैप्चा के संभावित मूल्यों का सेट छोटा है, तो कार्यक्रम को मान्यता के बजाय इसके चयन का अनुमान लगाना मुश्किल नहीं होगा।
एक उदाहरण: एक अंकगणितीय कैप्चा जैसे "1 + 2" (1 से 20 तक की संख्या को जल्द ही परिणाम देगा)।
विरोधी उदाहरण: कई छवियों से चुनें जिस पर बिल्ली को चित्रित किया गया है।

कैप्चा चेक

सत्यापन के लिए मूल्य सर्वर पर संग्रहीत किया जाना चाहिए, और चित्र के साथ ब्राउज़र में प्रेषित नहीं किया जाना चाहिए। कैप्चा के विज़िटर और सही मान की तुलना करने के लिए, आपको एक निश्चित कुंजी का उपयोग करने की आवश्यकता होती है, जो कैप्चा (सत्र पहचानकर्ता, कैप्चा संख्या, आदि) के साथ प्रसारित होती है।
विरोधी उदाहरण: यदि आप स्वयं कैप्चा और उसके सत्यापन के लिए मूल्य (एन्क्रिप्टेड सहित) को स्थानांतरित करते हैं, तो यह एक व्यक्ति के लिए एक बार इस तरह के कैप्चा को पहचानने के लिए पर्याप्त है और उसके स्क्रिप्ट में संयोजन "प्रतिक्रिया" - "सत्यापन के लिए मूल्य" का उपयोग करें (बस पोस्ट की शुरुआत में लिंक) ऐसा मामला)

उत्तर की जांच करने से पहले - आपको यह सुनिश्चित करने की आवश्यकता है कि यह खाली नहीं है। अन्यथा, एक हमलावर, एक तस्वीर अपलोड किए बिना या वर्तमान सत्र के पहचानकर्ता को हटाए बिना, खाली मान पारित कर सकता है और बंदी को पारित कर सकता है, क्योंकि दो खाली तारों की तुलना की जाती है (PHP में, एक शून्य मान एक रिक्त स्ट्रिंग के बराबर होता है)।
विरोधी उदाहरण: कोड मैंने पहले ही उल्लेख किया है if($_POST['captcha'] == $_SESSION['captcha']) return true;
इसके अलावा, यह कोड एक अनुभवी प्रोग्रामर द्वारा लिखा गया था।

सत्यापन के बाद, संग्रहीत कैप्चा मान हटा दिया जाना चाहिए। यदि ऐसा नहीं किया जाता है, तो हमलावर इस मान का उपयोग कई बार असीमित संख्या में कर सकेगा। हां, जब किसी फॉर्म के साथ किसी पेज को रिफ्रेश किया जाता है, तो कैप्चा भी अपडेट किया जाता है (या तो कोई फॉर्म जेनरेट करते समय या कोई पिक्चर जेनरेट करते समय), केवल स्क्रिप्ट फिर से फॉर्म को लोड नहीं कर सकती है (यह ध्यान दिया जाना चाहिए कि साइट के फॉर्म के लिए एक बार के सीएफएफ टोकन का उपयोग करने पर यह प्रासंगिक नहीं है)।
एंटी-उदाहरण: एक काल्पनिक लॉगिन फॉर्म जिसमें यह एक बार कैप्चा को सही ढंग से दर्ज करने के लिए पर्याप्त है, और फिर सर्वर पर कैप्चा पुनर्जनन से बचने के लिए एक स्क्रिप्ट के साथ पासवर्ड का चयन करें।

बुलेटप्रूफ कैप्चा

ओवरकिल सुरक्षा। यदि आपका कैप्चा मान्यता के लिए प्रतिरोधी है, लेकिन गणना के लिए बहुत प्रतिरोधी नहीं है (उदाहरण के लिए, आपको इस पर केवल 3-4 अंक पढ़ने की आवश्यकता है), तो गलत उत्तरों की संख्या को "एक आईपी से" / "एक लॉगिन के लिए" आदि सीमित करना उचित है। इस तरह के प्रतिबंधों को कैप्चा की जाँच से पहले ही जाँच लिया जाना चाहिए (यानी, सही ढंग से दर्ज कैप्चा के मामले में, यदि कोई प्रतिबंध है तो इसे पारित नहीं माना जाना चाहिए) अन्यथा यह खोज में हस्तक्षेप नहीं करेगा।

DoS सुरक्षा। अपने सर्वर पर कैप्चा उत्पन्न करते समय, आपको यह समझने की आवश्यकता है कि यह DoS हमलों के लिए एक सुविधाजनक वेक्टर है (जो, DDoS के विपरीत, कोई भी छात्र व्यवस्था कर सकता है)। सुरक्षा के लिए, आप एक आईपी के लिए कैप्चा पीढ़ी की संख्या को सीमित कर सकते हैं, कैप्चा को कैशिंग कर सकते हैं, आदि। इस पर अधिक

मान्यता संरक्षण। यदि आप कैप्चा चुनते हैं, या आप अचानक इसे स्वयं लिखने जा रहे हैं, तो यह समझना उचित है कि कैप्चा मान्यता से अधिक सुरक्षित है। रेडी-मेड यूनिवर्सल कैप्चा मान्यता स्क्रिप्ट हैं जो ओसीआर सिद्धांत के अनुसार काम करते हैं, और यदि आपकी साइट में स्पैमर्स में रुचि है, तो एक जोखिम है कि वे विशेष रूप से आपके कैप्चा के लिए एक स्क्रिप्ट का उपयोग / लिखेंगे। उत्तरार्द्ध सत्य यांडेक्स या वीके स्तर की साइटों पर अधिक लागू होता है, लेकिन सामान्य ओसीआर के खिलाफ सुरक्षा के साथ एक विकल्प प्रदान करना उचित है।

फाटकों के खिलाफ संरक्षण। औपचारिक रूप से बोलते हुए, एक ट्यूरिंग टेस्ट के रूप में एक कैप्चा आपको एंटी-गेट्स से बचाने के लिए आवश्यक नहीं है, क्योंकि इस मामले में एक व्यक्ति इसे पहचान लेगा। व्यावहारिक दृष्टिकोण से, यह मुद्दा बहुत प्रासंगिक है और किसी भी तरह अपने आप को बचाने के लिए आवश्यक है।
कोई भी "गोल्ड स्टैंडर्ड" नहीं है और न ही हो सकता है (क्योंकि इस मामले में एंटी-गेट्स अपने समर्थन को लागू करेगा), इसलिए आप कैप्चा को एंटी-गेट के माध्यम से अपनी पहचान बनाने के लिए किसी भी चाल के साथ पूरक करने के लिए स्वतंत्र हैं। उदाहरण के लिए:
- गैर-मानक कैप्चा (पहेली संग्रह, छवि रोटेशन, फोटो में क्षेत्र पर क्लिक करें, आदि);
- सिरिलिक कैप्चा - सबसे सरल समाधान, लेकिन इसके कई नुकसान हैं: यह केवल रूसी भाषी दर्शकों के साथ परियोजनाओं के लिए उपयुक्त है, सिरिलिक वर्णमाला के समर्थन के साथ विरोधी द्वार हैं;
- गैर-मानक वर्ण या आंकड़े दर्ज करने के लिए कैप्चा के बगल में वर्चुअल कीबोर्ड का उपयोग (यह मोबाइल उपयोगकर्ताओं के लिए असुविधाजनक हो सकता है);

प्रयोज्य

यदि आप पहले से आश्वस्त हैं कि आपके सामने एक व्यक्ति है, तो कैप्चा के लिए मत पूछिए। यहां, हालांकि, किसी को यह सावधानी बरतनी चाहिए कि किसी व्यक्ति द्वारा एक बार कैप्चा में प्रवेश करने के बाद फॉर्म का उपयोग असीमित संख्या में स्क्रिप्ट द्वारा नहीं किया जा सकता है।
उदाहरण: पंजीकरण फॉर्म। अगर मैं कहीं पंजीकरण करता हूं, और "ज़िप कोड" फ़ील्ड दर्ज करना भूल गया, लेकिन कैप्चा सही ढंग से दर्ज किया गया - मुझे एक नया दिखाने की कोई आवश्यकता नहीं है। घर पर कहीं रखने के लिए 10 मिनट का समय लें कि एक जीवित व्यक्ति इस विशेष रूप को भरने की कोशिश कर रहा है।

किसी व्यक्ति द्वारा मान्यता की सुविधा के लिए: एक ही समय में कैप्चा में अक्षरों और संख्याओं का उपयोग न करें, दोनों अपरकेस और लोअरकेस अक्षरों का उपयोग न करें, समान वर्णों को बाहर करें।

कैप्चा का उपयोग करने से मना करना

सबसे अच्छा कैप्चा कैप्चा की कमी है। जहां आप इसे उपयोग करने से मना कर सकते हैं - यह किया जाना चाहिए। आपको अतिरिक्त सीमाएं और जांच लागू करने की आवश्यकता हो सकती है, लेकिन उपयोगकर्ता आपको धन्यवाद देंगे।
लेकिन यहां आपको बहुत सावधान रहना होगा। उदाहरण के लिए: कैप्चा के बिना एक पंजीकरण फॉर्म, एक ईमेल फ़ील्ड के साथ जिसमें एक सक्रियण पत्र आता है। अतिरिक्त सुरक्षा उपायों के बिना, इस तरह के फॉर्म को "बाएं" पते से अभिभूत किया जा सकता है, और आपकी साइट को डाक सेवाओं की काली सूची में शामिल किया जाएगा। इस मामले में, आप कैप्चा के बिना कर सकते हैं, लेकिन केवल अगर आपके पास सुरक्षा की एक अलग रेखा है, जैसे कि आईपी सीमा।

कुछ के लिए, इस विषय में जानकारी स्पष्ट प्रतीत होगी, लेकिन अगर मुझे जीवन में इन सरल सिद्धांतों की गलतफहमी के उदाहरणों का सामना नहीं करना पड़ा, तो अनुभवी साथी डेवलपर्स से, मैंने इस पाठ को लिखने में समय नहीं बिताया।