发现“巨大安全漏洞” ！ 西北大学合作研究成果或将终结“文本验证码”时代
我们在日常登录网站或者各种应用软件的时候
常常会遇到“烦人”的验证码
有这样的
还有这样的
以及这样的
虽然过程繁琐，但是验证码却起着相当重要的作用，它们的目的是使后台系统验证登录者身份，即登录者是真正的“人”而不是“计算机程序”，从而避免由于恶意登录而导致的密码泄露、刷票、作弊等现象。事实上，在最近十年，验证码已经成为大部分网站和应用程序必备的安全机制之一。
然而，目前普遍采用的诸如字符扭曲、混淆背景等方式的复杂文本验证码机制，真的可靠吗？
来自中国西北大学的房鼎益、陈晓江教授团队联合北京大学、英国兰卡斯特大学的研究成果对这一问题给出了答案。
该团队基于最新的人工智能技术建立了一套新型验证码求解器。该验证码求解器能够以更高精度、更快时间、更低攻击成本破解现有方法无法破解的复杂验证码。
（与传统破解方法比较结果）
实验表明，仅利用500个目标验证码优化求解器，便可使求解器在0.05秒之内攻破验证码，该方法可以攻破全球排名前 50 网站使用的所有文本验证码（截至 2018年 4 月）。这些网站包括大家熟悉的诸如谷歌、eBay、微软、维基百科、淘宝、百度、腾讯、搜狐和京东等网站。
在验证码的识别率上，该项研究比2017年发表在Science上的研究成果平均高出20%。在某些类型的验证码上，该求解器甚至取得了比人工更高的识别率。研究表明，这是一个“巨大的安全漏洞”。
该研究成果具有重要的科学价值和深远的应用前景。
该项技术不仅可以应用到文本验证码的攻击上，还可能应用到其它基于图像的攻击场景中。目前，我们正致力于利用人工智能技术合成更为安全的验证码来抵御此类攻击。
——论文第一作者西北大学信息科学与技术学院在读博士叶贵鑫通过该项研究，我们希望可以提高业界对文本验证码安全性的重视和关注。近年来在人工智能技术取得重大突破这一背景下，文本验证码的安全性已变得非常脆弱。因此，我们亟需考虑使用新型的验证码方案。
——论文通讯作者西北大学信息科学与技术学院副教授汤战勇
该研究成果发表在刚刚举办的国际信息安全顶级会议ACM CCS (25th ACM Conference onComputer and Communications Security)上，论文题目为“YetAnother Text Captcha Solver: A Generative Adversarial Network Based Approach”。文章获得了最佳论文提名，这也是中国大陆地区在今年CCS上唯一一篇入围最佳论文提名的文章。
CCS是ACM主办的信息安全领域会议。它是中国计算机学会(CCF)推荐的A类国际学术会议，同时也是国际公认的计算机系统安全领域的顶级会议之一。CCS以关注信息安全领域最前沿的研究成果著称，自举办以来一直引领国际信息安全研究的潮流，诸多里程碑式的研究进展也都选择在该会议上发表。
此项研究工作除了引起学术界的关注外，还获得美国《每日科学》、西班牙《国家报》、Digital Trends等国际知名媒体的广泛报道。
此前，该团队对手机图形锁的研究，颠覆了我们对于手机安全和信息泄露的传统认知。该成果被《泰晤士报》、《福布斯》杂志、《英国每日电讯》等媒体相继关注报道。
更多精彩，不容错过~
素材来源/ 信息科学与技术学院
采编/ 李琛 叶好