reCAPTCHA ist ein Captcha-Dienst, der seit 2009 zu Google gehört. Wie andere Captcha-Dienste soll er dabei helfen, menschliche Zugriffe von automatisierten Zugriffen zu unterscheiden. Frühere Varianten forderten Nutzer häufig dazu auf, eine vorgegebene Zahlen- oder Buchstabenfolge einzugeben. Neuere Varianten können je nach Einbindung auch Auswahlaufgaben, eine Checkbox oder eine Risikobewertung anhand verschiedener Signale verwenden.
Captchas wie reCAPTCHA sollen dabei verhindern, dass Bots auf der Homepage missbräuchlich zum Einsatz kommen können. Dabei handelt es sich um automatisierte Programme, die verschiedene, vorher bestimmte Aktionen auf einer Seite ausführen. Am bekanntesten sind Spambots. Diese werden dazu genutzt, um Foren oder Kommentarfunktionen mit ungewollter Werbung zu füllen.
Aber auch für Streaminganbieter und andere stark frequentierte Dienste ist der Einsatz von Bots ein Ärgernis, da automatisierte Zugriffe hohen Traffic, Kosten oder einen Missbrauch von Funktionen verursachen können. Um die negativen Wirkungen von Bots zu begrenzen, werden Captchas eingesetzt. Dies führt jedoch dazu, dass Angreifer und Bot-Entwickler versuchen, die Prüfungen zu umgehen.
reCAPTCHA gehört zu den bekannten Captcha-Diensten und kommt auf vielen Internetseiten zum Einsatz. Entwickelt wurde reCAPTCHA von Luis von Ahn, Ben Maurer, Colin McMillen, David Abraham und Manuel Blum an der Carnegie Mellon University in Pittsburgh. Ziemlich schnell wurde jedoch Google auf den Dienst aufmerksam und kaufte reCAPTCHA im Jahr 2009.
Funktionsweise von reCAPTCHA
Im Kampf gegen Bots setzten Anbieter im Internet verstärkt auf den Einsatz von Captchas, um die eigene Homepage zu schützen. Viele Angebote verwenden sie in irgendeiner Form, wodurch Internetnutzer Zeit mit dem Lösen entsprechender Prüfungen verbringen. Der ursprüngliche Grundgedanke hinter reCAPTCHA war, diese Eingaben zusätzlich für eine sinnvolle Aufgabe zu nutzen.
Daher kamen Luis von Ahn und sein Team auf die Idee, ein Captcha zu entwickeln, mit dem man das Einscannen von Büchern unterstützen konnte. Bei der Digitalisierung eines Buches kommt es immer wieder vor, dass bestimmte Wörter durch die Software nicht erkannt werden. Unter normalen Umständen bedeutet dies, dass ein menschlicher Mitarbeiter jeden Text durchgehen muss, um die entsprechenden Stellen zu überprüfen. reCAPTCHA nutzte für diese Aufgabe die Menschen, die ein Captcha lösen sollten.
So wurden bei dieser früheren Form von reCAPTCHA keine willkürlichen Zahlen- oder Buchstabenkombinationen verwendet, sondern richtige Wörter. Diese Wörter stammten aus den Scanprozessen der Bücher. Im Verlauf des Prozesses wurde jedes eingescannte Buch von unterschiedlichen Worterkennungsprogrammen analysiert.
Jedes Wort, das die Programme erkannten, wurde mit dem Ergebnis des jeweils anderen Programms und einem Wörterbuch abgeglichen. Stellte man bei diesem Vergleich einen Unterschied fest, dann konnte das betroffene Wort zu einem Captcha werden. reCAPTCHA zeigte dabei zwei Wörter an und der Nutzer wurde aufgefordert, beide einzugeben.
Das erste Wort bei dieser reCAPTCHA-Variante stammte aus dem Pool der nicht erkannten Scanwörter, während es sich bei dem zweiten um ein Kontrollwort handelte. Das Kontrollwort war das Wort, mit dem die Eingabe geprüft wurde. Die Logik hinter dem System war, dass die richtige Eingabe des Kontrollwortes als Hinweis auf eine ebenfalls sorgfältige Eingabe des Scanwortes gelten konnte.
Nutzer, die sich die Mühe machten, bei reCAPTCHA ein Wort richtig zu schreiben, würden dies wahrscheinlich auch bei einem zweiten Wort tun. Es wurde jedoch nicht sofort jede Eingabe als Bestätigung für die richtige Erkennung angesehen. Dazu musste das Wort durch mehrere Auswertungen ausreichend bestätigt werden.
Die damalige Auswertung kombinierte die reCAPTCHA-Eingaben durch Benutzer mit Ergebnissen der Worterkennungsprogramme. Wurde eine unbekannte Zeichenfolge hinreichend bestätigt, konnte sie später selbst als Kontrollwort dienen.
Die Möglichkeit, Captcha-Eingaben für die Digitalisierung von Büchern einzusetzen, war ein Grund, warum Google auf reCAPTCHA aufmerksam wurde. Nach dem Kauf stand damit ein Verfahren zur Verfügung, das beim Aufbau digitaler Textbestände wie Google Books helfen konnte. Seit 2012 wurden außerdem Hausnummern aus dem Google-Street-View-Projekt in Aufgaben eingebunden.
Diese Wort- und Bilderkennungsaufgaben beschreiben vor allem die historische Entwicklung des Dienstes. Heutige Einbindungen müssen nicht mehr nach diesem Schema funktionieren. Sie können technische und verhaltensbezogene Signale auswerten und nur bei einem unklaren Ergebnis eine sichtbare Aufgabe anzeigen. Welche Reaktion angemessen ist, legt die einbindende Website anhand der jeweiligen Risikobewertung und des zu schützenden Vorgangs fest.
Sicherheit von reCAPTCHA
Durch seine weite Verbreitung wurde reCAPTCHA zu einem attraktiven Ziel für die Entwicklung automatisierter Umgehungsverfahren. Bei manchen Programmierern standen dabei nicht einmal finanzielle Interessen im Vordergrund, sondern der Ruhm und die technische Herausforderung.
Damit Umgehungsversuche nicht dauerhaft von Erfolg gekrönt waren, wurde reCAPTCHA regelmäßig aktualisiert. Bei den frühen Texträtseln veränderte man unter anderem die Schriftart und die Darstellungsform der Wörter. Bis 2012 hielten sich öffentlich bekannt gewordene Erfolge gegen diese Varianten in Grenzen.
Im Mai des Jahres 2012 präsentierten jedoch drei Hacker auf einer Konferenz ein System, das dazu in der Lage sein sollte, die damalige reCAPTCHA-Version zu knacken. Das Skript nannte sich Stiltwalker und nutzte einen anderen Ansatz. Anstatt sich auf die Schrift und die Wörter zu konzentrieren, analysierte es die Audiofassung des Captchas. Diese hatte man eingebaut, um auch sehbehinderten Menschen die Nutzung zu ermöglichen.
Die drei Hacker hatten erkannt, dass diese Version nur eine geringe Anzahl von Wörtern benutzte. Auch das Hintergrundrauschen, das einen automatisierten Angriff erschweren sollte, hatten sie analysiert und dabei festgestellt, dass wiederkehrende Einspielungen verwendet wurden. Die angegebene Erfolgsrate des damaligen Verfahrens lag bei 99,1 %.
Google hatte das System noch vor der Präsentation verändert. Als Reaktion darauf wurden weitere Versionen des Angriffsskripts veröffentlicht, für die Erfolgsraten von 60 % angegeben wurden. Google nahm daraufhin eine größere Veränderung am System vor, um die konkrete Schwachstelle zu schließen. Der Vorgang zeigt, dass die Sicherheit eines Captcha-Dienstes nicht dauerhaft und absolut bewertet werden kann: Schutzverfahren und Umgehungsmethoden entwickeln sich fortlaufend weiter.
Ein Captcha sollte deshalb nicht die einzige Schutzmaßnahme sein. Je nach Funktion können zusätzlich serverseitige Prüfungen, begrenzte Anfrageraten, eine Validierung der Eingaben und eine Überwachung auffälliger Zugriffe sinnvoll sein. Websitebetreiber sollten außerdem testen, ob die Einbindung für Tastatur-, Screenreader- und Mobilnutzer bedienbar ist und welche technischen Daten an den externen Dienst übertragen werden.
Zusammenfassung
reCAPTCHA ist ein bekannter Captcha-Dienst, der von Google im Jahr 2009 erworben wurde. Er soll menschliche Zugriffe von automatisierten Zugriffen unterscheiden und hilft dabei, Bots wie Spambots sowie den automatisierten Missbrauch von Formularen und anderen Funktionen zu begrenzen. Entwickelt wurde das ursprüngliche Verfahren an der Carnegie Mellon University.
Die historische Funktionsweise von reCAPTCHA nutzte Captcha-Eingaben, um die Digitalisierung von Büchern zu unterstützen. Anstatt nur willkürliche Kombinationen zu verwenden, zeigte das System echte Wörter aus Scanprozessen an. Dabei stammte ein Wort aus dem Pool der nicht erkannten Scanwörter und das andere diente als Kontrollwort. Später wurden auch Bildaufgaben verwendet. Moderne Einbindungen können darüber hinaus verschiedene Signale bewerten und müssen nicht bei jedem Zugriff eine sichtbare Aufgabe anzeigen.
In Bezug auf die Sicherheit wird reCAPTCHA fortlaufend verändert, um auf neue Umgehungsmethoden zu reagieren. Dennoch gelang es 2012 Forschern, eine damalige Audiofassung mit hoher Erfolgsrate automatisiert auszuwerten. Google nahm daraufhin größere Veränderungen vor. Das Beispiel macht deutlich, dass kein Captcha einen absoluten Schutz bietet und sensible Funktionen durch weitere serverseitige Maßnahmen abgesichert werden sollten.
Häufige Fragen und Antworten
reCAPTCHA ist ein Captcha-Dienst, der seit 2009 zu Google gehört. Er soll Websites dabei helfen, menschliche Zugriffe von automatisierten Zugriffen zu unterscheiden. Abhängig von der eingebundenen Variante kann dies über eine Risikobewertung, eine Checkbox oder eine sichtbare Bild- beziehungsweise Texteingabe erfolgen.
Das ursprüngliche reCAPTCHA verwendete echte Wörter aus Scanprozessen und verband ein noch nicht sicher erkanntes Wort mit einem Kontrollwort. So konnten Nutzereingaben die Digitalisierung von Büchern unterstützen. Spätere und moderne Varianten nutzen auch Bildaufgaben oder eine technische Risikobewertung. Deshalb muss nicht bei jedem Zugriff eine sichtbare Texteingabe erscheinen.
Captchas wie reCAPTCHA werden eingesetzt, um automatisierten Missbrauch von Internetseiten zu begrenzen. Insbesondere Spambots, massenhafte Formularübermittlungen und andere automatisierte Aktionen sollen so erschwert werden. Ein Captcha bietet jedoch keinen vollständigen Schutz und sollte bei sensiblen Funktionen durch serverseitige Prüfungen und weitere Sicherheitsmaßnahmen ergänzt werden.
reCAPTCHA kann automatisierte Zugriffe erschweren, ist aber wie jedes Captcha kein unüberwindbarer Schutz. Im Jahr 2012 wurde beispielsweise eine damalige Audiofassung mit einem automatisierten Verfahren angegriffen. Google veränderte das System daraufhin. Die tatsächliche Sicherheit hängt von der eingesetzten Variante, ihrer Konfiguration und den zusätzlichen Schutzmaßnahmen der Website ab.
