經(jīng)常使用互聯(lián)網(wǎng)的你,一定見過下面這個家伙吧?
沒錯,它就是驗證碼。
(資料圖)
可別小看這個家伙,很多人都在它面前栽過跟頭。
想象個場景:你登錄12306網(wǎng)站,發(fā)現(xiàn)還有最后一張余票,正準備下單時,驗證碼彈了出來,很不巧,你手速慢了一步,近在眼前的回家機會和你失之交臂。
先別氣急敗壞,大部分人都遇到過這樣的窘境,或許這不是你的問題。根據(jù)360瀏覽器提供的大數(shù)據(jù),用戶一次性填對驗證碼的概率只有8%,兩次輸入正確的比例也不過27%。
國民級搶票平臺12306網(wǎng)站,為了防止黃牛刷票,不斷增加驗證碼難度,僅2015年,就推出了581種驗證碼方式。
看下圖,感受一下,能3秒鐘說出正確答案的朋友,請原地封神,哈哈~
我們都知道,驗證碼的出現(xiàn),是為了防止機器惡意攻擊而設(shè)置的屏障。通過驗證碼題目,將計算機和人做區(qū)分——將人放行,把計算機攔截在外。
但也不可否認,如今的驗證碼已經(jīng)不再是簡單的輸入數(shù)字和字母這么簡單,有的題目簡直懷疑人生。人們不禁感慨,我該如何證明自己是個正常的人類?
今天,我們一起來聊聊驗證碼的前世今生。
驗證碼的前世今生
1. 驗證碼是什么
驗證碼的專業(yè)術(shù)語叫“全自動區(qū)分計算機和人類的圖靈測試”,通過設(shè)置特定的題目來區(qū)分當前設(shè)備背后是人在操作還是機器。
2. 驗證碼的用途
主要用于防止:黑客窮舉破解密碼(再復(fù)雜的密碼通過無限窮舉和排列也可以被破解)、自動化程序注冊僵尸用戶(下文提到的雅虎郵箱就是慘痛的教訓(xùn))、第三方程序惡意抓取內(nèi)容(內(nèi)容型平臺的護城河)、自動化程序發(fā)帖評論(造成社區(qū)秩序混亂、質(zhì)量下降)、批量操作(比如刷票)等。
中國工商銀行注冊頁面
3. 驗證碼怎么出現(xiàn)的
2000年左右,人們主要通還是過郵件交流,雅虎郵箱堪稱當時互聯(lián)網(wǎng)行業(yè)的“殺手級”應(yīng)用,很多中國人的第一個電子郵箱后綴就是@yahoo.com。
有流量的地方就會有黑產(chǎn)。
當年國際上最大的黑產(chǎn)是尼日利亞人,世紀之交時,他們開始用機器注冊大量的雅虎馬甲郵箱,用來發(fā)送垃圾郵件,進行網(wǎng)絡(luò)詐騙,被媒體稱作“雅虎男孩”。當時用戶打開自己的郵箱,充斥著各種垃圾郵件,苦不堪言。
這個問題困擾了雅虎很久,當時被列為“雅虎十個無法解決的問題”之一。
后來一位叫路易斯·馮·安的人為雅虎設(shè)計了一套人機驗證方案,也就是最早的字符驗證碼。
當時的驗證碼還比較簡單,主要是一些簡單的數(shù)字,利用了“人類會識字,但機器不會”的原理,這把當時的黑產(chǎn)打了一個措手不及。驗證碼的上線,將困擾雅虎很久都垃圾郵件問題得到了明顯解決,用戶體驗呈指數(shù)級提升。
4. 驗證碼被迫增加難度
道高一尺,魔高一丈,黑產(chǎn)怎么會被輕易打?。靠梢哉f,驗證碼給我們帶來的困擾,全都是黑產(chǎn)的“功勞”。
你出數(shù)字圖形驗證碼,我就用OCR光學(xué)識別;你的圖片加上噪點,我就去除噪點;你出滑動驗證碼,我就用瀏覽器測試工具模擬人類滑動。
拿OCR技術(shù)舉例:很多人應(yīng)該都聽說過OCR技術(shù),平時我們用手機將圖片拍攝掃描自動轉(zhuǎn)化成文本文字,使用的就是OCR技術(shù)。2003年有人通過圖像識別算法對簡單字符型對驗證碼進行自動化識別,可以達到93%的成功率。可怕吧?科技是把雙刃劍,為我們帶來便捷的同時,也被壞人所利用。
但OCR技術(shù)只能處理一些簡單的字符型驗證碼,稍微復(fù)雜一些的,比如扭曲和翻轉(zhuǎn)的字符,處理的難度就比較大了。因此后來很多網(wǎng)站開始使用復(fù)雜型字符,以抵抗反驗證技術(shù)。
2005年,有人利用機器學(xué)習(xí)模型對單個字符對驗證碼進行自動化識別,計算機對識別成功率竟然還比人類對成功率高。但訓(xùn)練機器的難度和成本是很高的,從技術(shù)門檻上已經(jīng)極大的提高了反驗證的難度。再后來,驗證碼繼續(xù)升級,推出了算術(shù)題、圖像識別題等高難度題目,讓反驗證技術(shù)難上加難。
研發(fā)解碼程序的難度和成本越來越高,到后來,索性衍生出了“打碼員”的黑色利益鏈條。黑產(chǎn)們雇傭大量真人,通過系統(tǒng)派發(fā)打碼任務(wù),打碼員根據(jù)任務(wù)到相關(guān)網(wǎng)站人工識別驗證碼,從而獲得收益。
驗證碼最大的天敵是真實的人,當人與人進行對抗時,基本技術(shù)發(fā)揮不了多大的作用。
5. 驗證碼有哪些種類
正如上文所說,驗證碼被反驗證技術(shù)倒逼升級,從簡單數(shù)字、字母,到加減法,再到后來閃爍變形字母、干擾線變形字母,甚至到變態(tài)級的選圖題…
其實字符扭曲,基本就可以阻擋住大部分機器的識別了,已經(jīng)算是比較高的難度,在當時的20年內(nèi),其安全性也都能排在前列。
如今的驗證題目,比如算術(shù)題,除了簡單的加減乘除外,有時還會考平方計算(沒上過初中或許還真答不對)。
為了防止機器識別,甚至漢字還用上了古文字;滑動滑塊也是比較有效的方式,通過判斷滑動的時間和快慢來識別是否是機器在操作(筆者曾經(jīng)多次因手速滑動太快而為誤認為是機器,真想喊冤);隨著二維碼的普及,掃碼登錄的方式也被更多網(wǎng)站所使用,自己證明自己,有意思;當然,像人臉識別、指紋識別、聲紋識別等高級的驗證方式也在進行探索和實驗,目前主要用于銀行類網(wǎng)站。
隨著技術(shù)的發(fā)展,近些年,還有許多新型驗證方式誕生。比如Gif動畫驗證碼,通過提供GIF動態(tài)的驗證碼圖片,使得識別器不容易辨識哪一個圖層是真正的驗證碼圖片;手機語音驗證碼實現(xiàn)自動語音播報,同時短信也能同時發(fā)送到用戶手機,實現(xiàn)雙保險確保萬無一失;視頻驗證碼是驗證碼中的新秀,隨機數(shù)字、字母和中文組合而成的驗證碼動態(tài)嵌入到MP4,flv等格式的視頻中,增大了破解難度。
驗證碼屬于安全驗證的一種。
而安全驗證,無外乎是如下三個方面的判斷:
1)基礎(chǔ)信息判斷
比如注冊時設(shè)置的用戶名、密碼、找回密碼的問題和答案,對用戶身份有一個基礎(chǔ)判斷。
2)判斷是真人
這就出現(xiàn)了我們經(jīng)常見到的圖形驗證碼、數(shù)字驗證碼、選圖驗證碼等,用來判斷你是不是真人。
3)判斷是本人
以上兩個方式,只能判斷你是真人,且是知道一定真實信息的真人,但還無法確定你就是賬號的所有者。所以就出現(xiàn)了短信驗證碼、微信掃碼、人臉識別等驗證方式。
目前很多網(wǎng)站已經(jīng)在使用雙重認證或多重驗證的方式來保證用戶和網(wǎng)站的安全。除了輸入用戶名、密碼外,在發(fā)送驗證碼前還會進行滑塊驗證。
全民被驗證碼“白嫖”
或許你還不知道,驗證碼除了用來區(qū)分人和計算機,還在免費白嫖集體網(wǎng)民的智慧。
還記得上文提到的路易斯·馮·安嗎?在發(fā)明了初代驗證碼后,他在2004年帶領(lǐng)團隊又上線了一個叫recaptcha的驗證碼系統(tǒng)。
當時有很多文獻和圖書都想做數(shù)字化(也就是我們現(xiàn)在看到的電子圖書),但很多古書褪色嚴重,計算機無法識別,于是路易斯·馮·安想到了一個辦法:把一個驗證碼分為兩部分,用戶需要輸入兩個驗證信息,前面的驗證碼,用來區(qū)別真人與機器;后面的驗證碼是古書上機器無法識別的內(nèi)容,用戶提交的結(jié)果會發(fā)送到數(shù)據(jù)庫,把許多人達成共識的答案再經(jīng)由后臺人員甄別,得出來的就是古書的正確內(nèi)容,以此供計算機學(xué)習(xí)。據(jù)說準確率能夠達到99%。
即便放到現(xiàn)在來看,這也仍然是一個聰明絕頂?shù)南敕?。群眾的力量是強大的,有?shù)據(jù)統(tǒng)計,通過這種方式,驗證碼系統(tǒng)每天能夠數(shù)字化兩億個字符,到今天為止,已經(jīng)數(shù)字化2500萬本書。當時紐約時報一整年的所有內(nèi)容,只需要4天就能實現(xiàn)全部數(shù)字化。
2009年,谷歌收購了recaptcha,利用這個方式擴充自家的谷歌圖書項目,谷歌圖書館目前已經(jīng)是全球最大的電子圖書館,擁有近3000萬冊圖書。
人的貪婪是無限的,只讓網(wǎng)民翻譯古書已經(jīng)不能滿足期待,于是recaptcha 2.0版本應(yīng)運而生,你應(yīng)該也不陌生,看看下面這個圖片:
谷歌的AI技術(shù)一直是其驕傲的地方。
拿谷歌的AI無人駕駛技術(shù)來說,想提高機器判斷精準度,其實并沒有什么捷徑可走,需要無數(shù)數(shù)據(jù)和樣本供機器學(xué)習(xí)和訓(xùn)練,這是一項成本極高又很耗時間的投入。
谷歌如何做的呢?
他們將道路上的圖片抓拍,并用在驗證碼上,讓網(wǎng)民幫其判斷,并將這些結(jié)果數(shù)據(jù)傳回機器學(xué)習(xí)。如果說這是一個天才想法,應(yīng)該不為過吧?
驗證碼的一些思考
1. 驗證碼是最優(yōu)解嗎?
驗證碼的出現(xiàn)絕對是無奈之舉,它對用戶的干擾很大。
仔細思考你會發(fā)現(xiàn),驗證碼其實并不能完全解決問題,甚至在一些極限情況下會出現(xiàn)不成立,比如:驗證碼能成立的前提是【發(fā)起惡意行為時,相比機器自動化完成,人工成本更高】,但在人工非常廉價的地方,只需要付出少許的成本就可以利用真人順利完成驗證,驗證碼完全失效。
但在目前的技術(shù)實現(xiàn)上來看,驗證碼雖然不是一個好的設(shè)計,但確實是一個有效的設(shè)計。如果沒有驗證碼系統(tǒng),每年春運,我們根本搶不到票。
2. 驗證碼的適老化問題
當年輕人在判斷到底是“0還是o”,“日還是曰”時,對于老年人簡直是災(zāi)難。
在《移動互聯(lián)網(wǎng)(APP)適老化通用設(shè)計規(guī)范》中也明確對驗證碼做了要求,不過縱觀目前國內(nèi)的互聯(lián)網(wǎng)產(chǎn)品,在驗證碼適老化方面還有很大的提升空間。除了提供傳統(tǒng)驗證碼放大能力以外,還應(yīng)該支持更多元的驗證方式,比如語音驗證碼等。
3. 驗證碼能一勞永逸嗎?
隨著技術(shù)的持續(xù)發(fā)展,未來計算機和人類的差距會越發(fā)縮小,驗證碼是階段性背景下的產(chǎn)物,人和機器的對抗還將持續(xù)進行下去。
4. 有沒有可替代的方案
目前也陸續(xù)出現(xiàn)了更多元的驗證方式,比如指紋、虹膜、體感、聲紋技術(shù)等,不過目前推廣起來難度較大,這些技術(shù)的使用需要搭配額外的硬件來實現(xiàn),拋開硬件的價格,精度本身都是個大問題,更何況安全性和便捷性也并不一定高。
蘋果推出了私人訪問令牌(無感驗證),當用戶開始使用手機時,系統(tǒng)就會自動開始跟蹤記錄,綜合用戶完成的一系列動作來判斷設(shè)備背后是真人還是機器。但這是以犧牲個人隱私和數(shù)據(jù)為代價。盡管蘋果承諾這些數(shù)據(jù)不會被用作其他用途。
5. 驗證碼的安全性和體驗性
要對驗證碼進行升級,就必須考慮安全性和體驗性,既要在交互上盡可能少的阻礙用戶,又要做到足夠安全,這本身就是很難平衡的天平。
近幾年,國內(nèi)互聯(lián)網(wǎng)產(chǎn)品都在努力改進驗證碼方式,很多網(wǎng)站已經(jīng)改為了短信驗證碼/掃碼登錄的方式,在用戶體驗和便捷性上都有了不小的提升,不過考慮到掃碼也會存在潛在安全性,部分網(wǎng)站還是會將傳統(tǒng)驗證碼和掃碼結(jié)合使用,雙重防護。
結(jié)語
筆者認為,雖然目前我們還沒有更好的辦法進行人機驗證,不過可以盡可能少的對用戶使用進行阻礙,在不必要的環(huán)節(jié)盡可能少的使用驗證碼。驗證碼慎用,驗證碼慎用,驗證碼慎用。
雖然痛恨它,但也感謝它,更要繼續(xù)超越它,驗證碼的發(fā)展史,就是人機抗衡的革命史,沒有任何解決方案可以一勞永逸,但在可控的范圍內(nèi),我們可以選擇更友好的方式,在體驗上,在特殊人群上,都可以做的更好一點點。
記住,人永遠是最高級的生物,無論何時。
- 環(huán)球速讀:互聯(lián)網(wǎng)苦「驗證碼」久矣
- 全球觀察:迪士尼“反超”Netflix
- 天天快訊:法國道達爾宣布退出俄羅斯一天然氣項目
- 當前播報:追趕寧德時代 中創(chuàng)新航將推出支持1000公里續(xù)航的三元電池
- 【世界時快訊】法國總統(tǒng)結(jié)束對阿爾及利亞的訪問 兩國簽署多項合作協(xié)議
- 當前關(guān)注:構(gòu)建以行業(yè)研究為核心的產(chǎn)學(xué)研協(xié)同創(chuàng)新體系 上海交通大學(xué)深圳行業(yè)研究院正式成立
- 全球通訊!國家能源局:2025年 兩個“50%”!
- 當前熱議!電解液價格回落 新宙邦二季度凈利環(huán)比下滑 還遭大股東減持
- 當前關(guān)注:營收凈利雙增 青島銀行發(fā)布中期業(yè)績
- 世界快消息!南方電網(wǎng)回應(yīng)四川用電緊張:暫時性短缺 發(fā)電方式相互調(diào)節(jié)會更好
- 百事通!由弱變強,中國試飛員隊伍已可以與西方強國比肩
- 全球看點:直擊2022成都車展|油價高企時代 自主品牌插混、混動車型正面挑戰(zhàn)合資品牌燃油車
- 世界最資訊丨川渝地區(qū)高溫限電擋不住電動車的熱情 燃油車市場被加速蠶食
- 【天天報資訊】愛仕達:公司中標慕思集團東莞工廠智能制造變革項目2期-套床二部智能化組裝生產(chǎn)線項目 目前正有序推進
- 全球最資訊丨吉林省20座水庫水位超汛限運行
- 世界今日訊!最新研究:疫苗加強針可預(yù)防新冠重癥 有效時間至少為6個月
- 天天熱頭條丨被圍捕的鱷雀鱔 幾十塊就能買到?能吃嗎?
- 快資訊:美國紐約州發(fā)現(xiàn)脊髓灰質(zhì)炎病毒 衛(wèi)生官員稱病毒正在擴大傳播
- 今日最新!格力電器河北經(jīng)銷商變局:徐自發(fā)退出 新經(jīng)銷商浮現(xiàn)京東身影
- 播報:針對新一輪較強降雨來襲 國家防總辦公室、應(yīng)急管理部要求嚴防旱澇急轉(zhuǎn)
- 安徽出臺實施意見強化外賣配送行為監(jiān)管 保障外賣食
- 福建:依法調(diào)查處理對小規(guī)模工程承發(fā)包企業(yè)設(shè)限行為
- 遼寧沈陽:藥品監(jiān)管領(lǐng)域?qū)崿F(xiàn)涉企電子證照全覆蓋
- 浙江寧波:啟動商品市場“小門”管控專項整治 營
- 黑龍江全力推進部署特殊食品監(jiān)管 堅決守牢食品安全
- 南京建鄴開展加油站計量專項監(jiān)督檢查工作 強化內(nèi)部
- 福建省上半年消費市場總體平穩(wěn) 全省社會消費品零
- 廣州開展“正品正貨在行動”活動 推動全市放心消
- 上饒突出重點構(gòu)建新型監(jiān)管模式 持續(xù)優(yōu)化法治化營
- 江西強化進口冷鏈食品全程監(jiān)管 織密扎牢外防輸入
- 1 環(huán)球速讀:互聯(lián)網(wǎng)苦「驗證碼」久矣
- 2 全球觀察:迪士尼“反超”Netflix
- 3 天天快訊:法國道達爾宣布退出俄羅斯一天然氣項目
- 4 當前播報:追趕寧德時代 中創(chuàng)新航將推出支持1000公
- 5 【世界時快訊】法國總統(tǒng)結(jié)束對阿爾及利亞的訪問 兩
- 6 當前關(guān)注:構(gòu)建以行業(yè)研究為核心的產(chǎn)學(xué)研協(xié)同創(chuàng)新體
- 7 全球通訊!國家能源局:2025年 兩個“50%”!
- 8 當前熱議!電解液價格回落 新宙邦二季度凈利環(huán)比下
- 9 當前關(guān)注:營收凈利雙增 青島銀行發(fā)布中期業(yè)績
- 10 世界快消息!南方電網(wǎng)回應(yīng)四川用電緊張:暫時性短缺