[Beendet] µitLight April - Mitte Juni

MatthiasG.

Thema: Sicherheit in Skripten
Erstellen eines abgesicherten Captcha

Bitte aktualisiertes Datum beachten!

Hallo allerseits!

Der letzte Wettbewerb wird noch ausgewertet, der neue ist jetzt schon dran! Da jetzt Ferien sind und einige im Urlaub sind, verschiebe ich die Abgabeschluss um zwei Wochen auf den Sonntag, 20. Juni 2010 um 23:59 Uhr, der nächste Wettbewerb läuft dann über Mitte Mai + Juni.

Konkret geht es diesmal um folgendes: Es soll ein Captcha erstellt werden, dass schwer zu knacken sein soll. Welche Form von Captcha ihr nehmt, bleibt euch überlassen. (z.B. Buchstaben-Captcha, Kreis-Captcha,...). Wichtig ist nur, dass es für einen Menschen gut zu erkennen ist, für einen Bot jedoch nicht. Bildstörungen sollten vorhanden sein. Ihr sollt in der Aufgabe eine GUI erstellen, die einfach das Bild (Die Größe dieses ist variabel und soll von dem Skript ausgefüllt werden, also nicht z.B. in der oberen linken Ecke bleiben. Mindest-Größe ist immer 200*100px) und eine InputBox enthält. Die Werte für das Captcha (heißt bei einem Buchstabencaptcha die richtigen Buchstaben) müssen gegen Cheat-Engine weitestgehend geschützt werden. Ob ihr das über Pointer oder Verschlüsselung macht, ist euch überlassen. Seid kreativ!

Bewertungsaspekte:
1. Berechnungszeit des Captchas (Heißt nur die Zeit, die benötigt wird, das Captcha zu zeichnen. GUI-Aufruf wird nicht mitgerechnet)
2. Kreativität des Captchas
3. Sicherheit gegnüber Cheat-Engine
4. Barrierefreiheit (auch für eingeschränkte Nutzer nutzbar? Geht von z.B. Sehschwäche aus)
5. Botsicher

Falls noch Fragen bestehen, stellt sie. Diesmal die Archive bitte per PM oder Mail senden und nicht hier hochladen, um etwas Übersicht zu schaffen! Danke!

Lösungen an L3viathan2142 oder mich:
[Blockierte Grafik: http://img9.abload.de/img/captchafs3l.png]
[Blockierte Grafik: http://img9.abload.de/img/matthiasbtdg.png]

Viel Erfolg!

Edit: Bis jetzt haben eingeschickt:

Auswertung siehe letzter Post!

JuraX

wird das beste dann auch veröffentlicht?

MatthiasG.

Es werden wie die Monate zuvor alle Skripte veröffentlicht. Ja!

**Schnitzel**

Wow tolle idee.
Ich hoffe ich finde wieder etwas zeit.
Aber das hört sich genauso spannend an wie der Primzahlen µlight

name22

Ich denke das wird lustig
Für die optische Darstellung des Captchas verwende ich natürlich GDI+^^
Jetzt muss ich mich nur noch mit Pointern beschäftigen

MatthiasG.

Musst du nicht unbedingt. Sei kreativ, denk dir was aus.

Ich persönlich hatte die Idee einer MD5-Verschlüsselung. Nicht nachmachen

**UEZ**

Zitat von MatthiasG.

...
3. Sicherheit gegnüber Cheat-Engine
...
5. Botsicher
...

Wie wird gemessen, ob ein Captcha gut ist?

Gruß,
UEZ

name22

Er schreibt einen Bot und testet es mit CheatEngine

MatthiasG.

UEZ:

Zu 3.: Testen mit Cheat-Engine

Zu 5.: Augenmaß, wenn das Bild klar ist und die Buchstaben z.B. nicht verzerrt o.ä. ist, gibt es Möglichkeiten. Ich werde natürlich nicht einen Bot schreiben. Dazu fehlt mir auch die Zeit

name22

Zitat

Ich werde natürlich nicht einen Bot schreiben. Dazu fehlt mir auch die Zeit

Das war ja auch nur ein Scherz
Also mein Captcha Creator funtkioniert im Prinzip perfekt und es sieht auch richtig gut aus, nur kann ich ihn immer noch mit Cheat Engine bearbeiten.
Da muss ich wohl noch mal ran...
Soll ich mal ein Bild hochladen? Nur so als Beispiel

MatthiasG.

Wenn du alle anderen neidisch machen willst, gerne!

Denke aber bitte an die Geschwindigkeit, die mitbewertet wird!

name22

Neidisch naja soooooo toll ist es auch wieder nicht , aber dank vieler Fabrvariationen und einem einstellbarem Sicherheitslevel, dürfte es für Bots schwer werden.... Hoffe ich
Immerhin ist es absolut CheatEngine sicher . (Mehrfach getestet)
Und Geschwindigkeit ist absolut kein Problem^^ Im Moment braucht es so ca. 8 Millisekunden.

MatthiasG.

Herzlichen Glückwunsch, sieht doch gut aus!

Ich weise aber nochmal (für andere) darauf hin, dass es sich nicht unbedingt um ein Buchstaben-Captcha handeln muss.

Mit Cheat-Engine-sicher meine ich aber nicht, dass es die Buchstaben aus dem Bild auslesen soll, sondern, dass die Variablen mit den Buchstaben drin gesichert sind. (Als Hinweis)

Naja, allen anderen viel Erfolg

Denk an die Größenänderung!

**UEZ**

Zitat von MatthiasG.

UEZ:

Zu 3.: Testen mit Cheat-Engine

Zu 5.: Augenmaß, wenn das Bild klar ist und die Buchstaben z.B. nicht verzerrt o.ä. ist, gibt es Möglichkeiten. Ich werde natürlich nicht einen Bot schreiben. Dazu fehlt mir auch die Zeit

Zu 3: Was ist eine Cheat-Engine genau? Reverse Engineering?
Zu 5: naja, dann denke ich, dass das Ganze keinen Sinn macht, wenn man nicht algorithmisch prüfen kann, ob der Captcha gut ist oder nicht! Ob ein Captcha gut ist nur "aus dem Bauch" zu entscheiden, ist zu sehr subjektiv!

Gruß,
UEZ

**BugFix**

Zitat von UEZ

Was ist eine Cheat-Engine genau?

Cheat Engine

name22

Ich schicke mal meine Version ein, ich denke ich habe alle Bugs beseitigt.
Cheat Engine ist ein hartnäckiger Gegner was diesen Wettbewerb betrifft Deswegen wünsche ich allen anderen viel Glück bei ihren Projekten.
Wollte noch mal ein wenig angeben und hab deswegen noch ein Bild angehängt

**UEZ**

Zitat von BugFix

Cheat Engine

Und eine Cheat-Engine für Captchas? Also doch Reverse Engineering!

Gruß,
UEZ

**BugFix**

Zitat von UEZ

Und eine Cheat-Engine für Captchas? Also doch Reverse Engineering!

So richtig klar ist es mir nicht.
Da im realen Leben auf das Skript für das Captcha nicht zugegriffen werden kann erscheint mir der Einsatz von Cheat-Engine als völlig sinnfrei.
Somit verstehe ich nicht den Sinn der Forderung "Cheat Engine - sicher". :wacko:

Es ist mir schon beim letzten Wettbewerb aufgefallen: Die Wettbewerbsbedingungen sind nicht klar genug und ebenfalls fehlt eine Testarea. (Doch das nur mal am Rande)

name22

Aber wenn ich einmal mit Cheat Engine die Adresse der Variable hab, könnte ich doch theoretisch immer wieder ihren Wert auslesen. Ich habe das mal mit meinem alten Script versucht und geschafft, insofern ergibt das doch durchaus Sinn oder?

**BugFix**

Zitat von name22

wenn ich einmal mit Cheat Engine die Adresse der Variable hab, könnte ich doch theoretisch immer wieder ihren Wert auslesen.

Genau das meine ich. Hier fehlt eine Testarea, die dieses simuliert. Real ist es sowieso nicht, da ich hier beim eigenen Skript natürlich genau weiß wo und was ich suchen muß. Und wenn ich weiß, wie ich es programmiert habe, nützt mir auch eine Verschlüsselung und tausend Adresssprünge herzlich wenig. - Also selbst kann ich es niemals dahingehend testen, dass ich es nicht knacke.