一文带你看懂验证码攻防技术那些事儿

本文目录

验证码为什么越变越复杂？

验证码有哪些破解方式？

验证码如何进行顶层产品能力设计？

---

“天生反骨”的验证码总是让人类头疼不已。

比如最基础的英文数字组合验证码，就已经会让人陷入自我怀疑：

“I还是1？0还是O？2还是Z？9还是q？vv还是w？”

再比如无数网友被12306网站验证码支配的恐惧。

如果想顺利买到火车票，抢票页面的“余票充足”并不能代表能买到，只有在付款前的验证码环节顺利通关，才算成功一半。

要么是在一群明星的照片中找出影帝影后，要么是在一堆山寨商品中找出真货，更过分的是在一打方言中选出”海南话“……

无数被烦人验证码挡在网页外的网民，心里都有一声愤怒的呐喊：

验证码，人类一生之敌。

但验证码越来越“变态”的背后实际上是安全攻防人员与黑灰产之间的持续对抗。

近日，顶象在CSDN直播间就验证码的攻防问题与大家展开讨论，反欺诈专家大卫老师就现阶段验证码黑灰产会有哪些破解方式谈起，从防御角度深度剖析如何应对黑灰产的攻击，那么，验证码如何以技术万变钳制黑灰产之变？验证码产品又改做哪些产品安全能力设计？

验证码为什么越变越复杂？

人机验证码相信大家都不陌生。

人机验证从最早的传统字符型验证码到图形验证码再到行为验证码再到如今的智能验证码，验证方式可以说是千变万化的。

那么，为什么随着验证码的不断迭代，验证码反而越来越“变态”？我们越来越难以证明我是人而不是机器？

要回答这个问题，大卫认为可以从以下两个角度来分析：

一是机器难度，即安全性；一是人的难度，即用户友好程度。

这两个要素一直是验证码的核心关注点。可以看到，传统的字符类验证码虽然难度不高，但对机器来说却几乎没有难度；为了增加机器破解的难度，针对其他验证方式做了混淆，比如在图片上做噪点来提升安全性，这样一来，反而增加了人的视觉难度。

所以也就可以理解我们为什么觉得验证码越来越“变态”。

但整体来看，传统验证码验证方式设计不合理，只增加了人的难度， 缺乏感知能力 以及调整能力，安全纵深不足，这也很好的解释了验证码为什么迭代到如今的智能验证码。