Buenas noches,
ayer estaba intentando crear el tipico captcha donde se muestra una imagen con una cadena aleatorio, por ejemplo "KSAX 934" pero supuestamente este método muy seguro que digamos no es, (además que me da errores y aparece todo negro [otro tema]) entonces pensé y pensé que sistema de captcha seguro podría hacer... Una idea que se me ocurrió era generar un valor random del 1 al 99, otro valor random del mismo rango, y otro random del 1 al 2...

entonces sería el primer valor random (A) y el segundo valor random (B)... por último el random de rango de 1 a 2 sería el tipo de operación (1 = suma y 2 = resta)
teniendo eso en cuenta ya podría  hacer el captcha...

Pero al final lo descarte porque no me parecio muy seguro tampoco (y otra que la experiencia del usuario bajaría muchisimo, en lo personal no me gustaría estar haciendo operaciones matematicas cada vez que deseo enviar algo a través de un formulario)

Como último se me ocurrió hacer que el usuario escriba lo que ve en X imagen, es decir ya no serían cadenas aleatorias, sino un dibujo... Un perro, gato, casa, arbol, etcétera..
y que el usuario escriba lo que tiene la foto (algo sencillo pero seguro)

Todavía para hacerlo más seguro se me ocurrió en vez de mostrar una imagen, muestre dos y más arriba diga "Escribe lo que ves en la imagen A" y para otro captcha podría decir "Escribe lo que ves en la imagen B" (sería random)

Quería leer opiniones. sugerencias, y criticas constructivas...

Otra duda que tenía era porque debería ponerse un captcha de strings random en una imagen, aunque me imagino que si estuviera el texto en el html el "atacante" podría simplemente copiarlo (igual nose...)

Gr acias...

Claro lo que tenía pensado era eso decir que es lo que hay en la imagen con una sola palabra..
muestro la imagen de un gato (una imagen monocolor) y que la respuesta a esto sea "gato", el problema con esto sería la imagen png o jpge va a tener que tener un nombre digamos captchas/001.jpeg
y un atacan obtendría la ruta de la imagen 001.jpeg y diría bueno esta imagen es la de un gato sería...

if($ruta == 'captchas/001.jpeg')
{
     $la_respuesta = 'gato';
}
 

Aunque nose si un atacante puede llegar a hacer eso, igual me intereso esos captchas "clickleables" ¿como se llaman? así puedo ver como se hacen..

¡Te agradezco mucho! 

Los bots pueden imitar a los humanos. Pero los humanos no pueden imitar a los bots.

Si intentas averigurar si es un humano, podría ser un bot o un humano.
Si intentas averiguar si es un bot, no puede ser un humano.

Mira los movimientos de cursor por la página. Le puedes poner un canvas, svg, o varios event listener a elementos con mouse over. Si se teleporta es un bot. Si va en linea recta perfecta es un bot. Si percorre la distancia en muy poco tiempo o va a tirones es un bot.

El capcha sería clickar 4 check boxes. Tras clickar cada checkbox usas un randomizador para situar el siguiente en un sitio aleatorio. Y compruebas la distancia recorrida. Si se hacen parones regulares. Si se percorre perfecto en varios trozos, velocidad de trazado, etc.

El tema está en que no se sepa que comprobaciones haces.

El tema de usar imágenes es horrible. Pueden simplemente hacer software para obtener las imágenes que usas en tus captchas. Tu esas imágenes las quitas de algún sitio. Se puede buscar en Google la imagen e introducir todas las palabras de la página original en la que sale la imagen y los tags asociados a ella en un array.
Cada vez que me salga esa foto mete una palabra distinta. Cuando la encuentre la guarda en un archivo de texto.

O podría hacer unas cuantas a mano y guardar las palabras y meterlas sin ni siquiera saber que imagen estas metiendo.
Entro a tu web, me sacas una foto de un perro de captcha, y solo tengo que decirle al bot:

MantenerBucle=true;
while(ManternerBucle)
{
NuevaPestañaUrl("www.example.com/captcha.php");
Input = "TAB, TAB, TAB, TECLA(p), TECLA(e), TECLA(r), TECLA(r), TECLA(o), ENTER";
MandarInput(Input);
Sleep(3000);
   if (PestañaUrl == "www.example.com/captcha.php")
   {
   Input ="Control + TECLA(o)";
   MandarInput(Input);
   }
   else {MantenerBucle = false;}
}
//Acceso Obtenido.

En algún momento volverás a sacar la imagen del perro y obtendré acceso. Si después de X números de accesos bloqueas la IP, se podría usar Tor para obtener una nueva identidad cuando bloqueas el bot o meterle una lista de proxychains.

También tendrías que tener cuidado con el generador pseudoaleatorio. Podría tenerse revisión de que imagenes usas. Si metes una semilla fija, te tiran el server y te piden captcha. Miran la imagen.

Hacen un bot con la palabra correspondiente a esa imagen. Te tiran el server y meten la palabra xD.

Lo mejor es que prohibas acceso por cuenta y no dejes al usuario no registrado hacer nada qie te pueda perjudicar. Cada 10 intentos fallidos seguidos bloqueas las cuentas asociadas al email y pones una dirección de correo de soporte para desbloquear el email.

Algo tipo: Se detecto actividad sospechosa en tu cuenta y por seguridad fue bloqueada. Si es un error envia un correo electrónico a soporteCaptcha@example.com indicando el problema para volver a activar tu cuenta.

---

Mod: Obligatorio el uso de etiquetas GeSHi para codigos.

@string Manolo, me hace mucha gracia porque hace unos posts le decias a Miguel que reCaptcha era poco seguro y aquí estás sugiriendo comprobaciones que ya están implementadas en reCatpcha pero a lo básico y poco eficiente  


@Miguel, sinceramente, aprende todo lo que quieras sobre captchas, hay muchas cosas interesantes y muchos métodos guays, pero a la hora de la verdad, invertir tanto en un captcha que luego no va a ser ni el 20% de eficaz/seguro/accesible de lo que va a ser uno donde se han invertido millones como puede ser reCaptcha. Te doy un ejemplo muy básico, qué harás para los usuarios que necesitan accesibilidad, digamos por ejemplo, una persona ciega?


Para aprender esta genial hacerse un captcha, y aún más divertido es luego intentar saltarselo (vease ocr, bruteforce, bypass etc), pero en un entorno en producción, usa algo que ya está requete testado.



Saludos