在這個(gè)互聯(lián)網(wǎng)時(shí)代，大家對(duì)驗(yàn)證碼都不陌生。驗(yàn)證碼的初衷，是為了讓用戶隱私得以保護(hù)，網(wǎng)上交流、支付等行為更加安全，那么，驗(yàn)證碼真的如大家期待的那樣安全嗎？
近期，西北大學(xué)房鼎益教授團(tuán)隊(duì)的研究成果顯示，文本驗(yàn)證碼可以被破解，這就意味著，驗(yàn)證碼并不能完全保障上網(wǎng)安全。
房鼎益教授18日在接受華商報(bào)記者采訪時(shí)表示，這一研究，目的是為了對(duì)抗驗(yàn)證碼容易被破解的問(wèn)題，未來(lái)研究出更加方便、安全性高的驗(yàn)證碼，保障上網(wǎng)安全。
新聞背景
最新科研成果：驗(yàn)證碼被破解了
日前，西北大學(xué)發(fā)布消息說(shuō)：來(lái)自西北大學(xué)的房鼎益、陳曉江教授團(tuán)隊(duì)聯(lián)合北京大學(xué)、英國(guó)蘭卡斯特大學(xué)發(fā)布了一項(xiàng)研究成果，引起了計(jì)算機(jī)安全領(lǐng)域的震動(dòng)。
該團(tuán)隊(duì)基于最新的人工智能技術(shù)，建立了一套新型驗(yàn)證碼求解器。該驗(yàn)證碼求解器能夠以更高精度、更快時(shí)間、更低攻擊成本破解現(xiàn)有方法無(wú)法破解的復(fù)雜驗(yàn)證碼。
該研究?jī)H利用500個(gè)目標(biāo)驗(yàn)證碼優(yōu)化求解器，便可使求解器在0.05秒之內(nèi)攻破驗(yàn)證碼，該方法可以攻破全球排名前50網(wǎng)站使用的所有文本驗(yàn)證碼（截至2018年4月），包括大家熟悉的很多社交及購(gòu)物網(wǎng)站。
該研究成果發(fā)表在剛剛舉辦的國(guó)際信息安全頂級(jí)會(huì)議ACM CCS上，獲得了最佳論文提名，這也是大陸地區(qū)在今年CCS上唯一一篇入圍最佳論文提名的文章。
知道一下
驗(yàn)證碼是什么？
我們?cè)谌粘５卿浘W(wǎng)站或者各種應(yīng)用軟件時(shí)，常遇到“煩人”的驗(yàn)證碼，有的是一串?dāng)?shù)字，有的是字母加數(shù)字，有的是變形了的字母加數(shù)字。
雖然輸入驗(yàn)證碼的過(guò)程繁瑣，但驗(yàn)證碼卻起著相當(dāng)重要的作用，它們的目的是使后臺(tái)系統(tǒng)驗(yàn)證登錄者身份，即登錄者是真正的“人”而不是“計(jì)算機(jī)程序”，從而避免由于惡意登錄而導(dǎo)致的密碼泄露、刷票、作弊等現(xiàn)象。
如果沒有驗(yàn)證碼，你想在網(wǎng)站上買火車票，但是一些黑客網(wǎng)站，可以通過(guò)簡(jiǎn)單的編程來(lái)刷票，只需要計(jì)算機(jī)操作，就會(huì)把所有放出來(lái)的票都搶光。如果沒有驗(yàn)證碼，部分社交網(wǎng)站只需要設(shè)個(gè)程序，就可以給設(shè)定好的人評(píng)論、點(diǎn)贊、投票等。而驗(yàn)證碼的出現(xiàn)，需要在最后一關(guān)，由人親自去操作，保證了網(wǎng)上操作的安全性。
專家表示，在最近10年，驗(yàn)證碼已成為大部分網(wǎng)站和應(yīng)用程序必備的安全機(jī)制之一。
然而，房鼎益教授團(tuán)隊(duì)卻用最新的科研成果證明，文本驗(yàn)證碼可以被破解，目前的驗(yàn)證碼存在“巨大的安全漏洞”。
馬上實(shí)驗(yàn)
不用人工操作
驗(yàn)證碼迅速被破解
■實(shí)驗(yàn)時(shí)間：12月18日
■實(shí)驗(yàn)人員：
西北大學(xué)信息科學(xué)與技術(shù)學(xué)院教授、博士生導(dǎo)師，陜西省教學(xué)名師 房鼎益
西北大學(xué)信息科學(xué)與技術(shù)學(xué)院副院長(zhǎng)、教授、博士生導(dǎo)師 陳曉江
西北大學(xué)信息科學(xué)與技術(shù)學(xué)院副教授 湯戰(zhàn)勇
■實(shí)驗(yàn)地點(diǎn)：西北大學(xué)信息科學(xué)與技術(shù)學(xué)院實(shí)驗(yàn)室
■實(shí)驗(yàn)過(guò)程：
實(shí)驗(yàn)人員在計(jì)算機(jī)后臺(tái)輸入程序，便不再觸碰鍵盤。
隨后，計(jì)算機(jī)進(jìn)入某著名支付網(wǎng)站，計(jì)算機(jī)頁(yè)面出現(xiàn)“用戶名”、“驗(yàn)證碼”字樣，在沒有人操作的情況下，計(jì)算機(jī)自己輸入182××××××××的用戶名，當(dāng)看到“JYBQ”的驗(yàn)證碼時(shí)，又主動(dòng)輸入了這4個(gè)字母，成功登錄了。
計(jì)算機(jī)再次進(jìn)入這個(gè)支付網(wǎng)站，計(jì)算機(jī)頁(yè)面出現(xiàn)“用戶名”、“驗(yàn)證碼”字樣，計(jì)算機(jī)再次自己輸入“182××××××××”的用戶名，當(dāng)看到“EWOP”的驗(yàn)證碼時(shí)，輸入錯(cuò)了的驗(yàn)證碼，導(dǎo)致登錄失敗，但程序又會(huì)重新開始新一輪登錄，這次又成功登錄了。
“除了這個(gè)支付網(wǎng)站，我再給你們演示一下國(guó)際上很火的一個(gè)社交網(wǎng)站?！睂?shí)驗(yàn)人員說(shuō)著，又在后臺(tái)進(jìn)行了輸入，頁(yè)面到達(dá)了某網(wǎng)站的登錄界面，實(shí)驗(yàn)人員不操作的情況下，計(jì)算機(jī)頁(yè)面上又出現(xiàn)了自動(dòng)輸入用戶名和驗(yàn)證碼的過(guò)程，一次輸入正確，登錄成功。
整個(gè)過(guò)程，實(shí)驗(yàn)人員沒有操作計(jì)算機(jī)，計(jì)算機(jī)卻模擬人，準(zhǔn)確破解了驗(yàn)證碼。
■實(shí)驗(yàn)結(jié)論：文本驗(yàn)證碼被破解了，驗(yàn)證碼并不安全。
>>專家釋疑
如何破解驗(yàn)證碼？
原本看起來(lái)鑄就上網(wǎng)安全盾牌的驗(yàn)證碼，怎么就被破解了呢？
對(duì)此，房鼎益教授解釋了原理：“破解驗(yàn)證碼的原理，通俗來(lái)講很簡(jiǎn)單，我們看到的驗(yàn)證碼，大多是數(shù)字、字母的結(jié)合體，現(xiàn)在多數(shù)網(wǎng)站為了提高安全性，對(duì)字母、數(shù)字進(jìn)行了扭曲、靠近或添加背景，我們的研究，就是通過(guò)計(jì)算機(jī)程序，把字母、數(shù)字的距離拉伸，把扭曲的字母、數(shù)字?jǐn)[正，再去掉那些復(fù)雜的背景，還原出簡(jiǎn)單的驗(yàn)證碼，再進(jìn)行破解。”
房鼎益說(shuō)的寥寥幾句，聽起來(lái)似乎很簡(jiǎn)單，但就是這項(xiàng)研究，他和他的團(tuán)隊(duì)付出了一年的時(shí)間。
這項(xiàng)研究有什么價(jià)值？
對(duì)于該研究成果的科學(xué)價(jià)值和應(yīng)用前景，西北大學(xué)信息科學(xué)與技術(shù)學(xué)院在讀博士葉貴鑫表示，該項(xiàng)技術(shù)不僅可以應(yīng)用到文本驗(yàn)證碼的攻擊上，還可能應(yīng)用到其他基于圖像的攻擊場(chǎng)景中。目前，團(tuán)隊(duì)正致力于利用人工智能技術(shù)合成更為安全的驗(yàn)證碼來(lái)抵御此類攻擊。
西北大學(xué)信息科學(xué)與技術(shù)學(xué)院副教授湯戰(zhàn)勇說(shuō)，通過(guò)該項(xiàng)研究，希望可以提高業(yè)界對(duì)文本驗(yàn)證碼安全性的重視和關(guān)注。近年來(lái)在人工智能技術(shù)取得重大突破這一背景下，文本驗(yàn)證碼的安全性已變得非常脆弱。因此，我們亟需考慮使用新型的驗(yàn)證碼方案。
驗(yàn)證碼易被破解怎么辦？
我們?cè)詾榘踩尿?yàn)證碼被破解了，那么怎么上網(wǎng)才安全？這，才是房鼎益團(tuán)隊(duì)的最終目的。
“大家普遍認(rèn)為，文本驗(yàn)證碼越復(fù)雜越難破解，這種難，其實(shí)是對(duì)人的，對(duì)于機(jī)器來(lái)說(shuō)，難度都一樣?！狈慷σ嬲f(shuō)，目前存在的驗(yàn)證碼，也有難破解的，比如“聲音驗(yàn)證碼”、“問(wèn)題類驗(yàn)證碼”、“計(jì)算題驗(yàn)證碼”等等，但過(guò)于復(fù)雜的驗(yàn)證碼并不適合普通網(wǎng)友。
房鼎益透露，目前他們正在研究的，就是更為安全的驗(yàn)證碼，通過(guò)對(duì)驗(yàn)證碼頁(yè)面元素的改造，讓機(jī)器對(duì)驗(yàn)證碼的辨識(shí)增加難度，從而抵御驗(yàn)證碼輕易被破解的攻擊。目前，這項(xiàng)研究已經(jīng)初步有了進(jìn)展，等到成果出來(lái)之后，文本驗(yàn)證碼時(shí)代或?qū)⒈唤K結(jié)。
