Ein Captcha Bot versucht, Prüfungen für Menschen zu lösen oder zu umgehen, damit ein Skript in Formulare, Kassen oder Kontohandlungen gelangen kann.
Es ist Automatisierung, die auf die Prüfung selbst zielt, im Unterschied zu einer Person, die dafür bezahlt wird, dieselbe Prüfung von Hand zu lösen.
So funktioniert es
Manche Bots schicken die Aufgabe an eine Hilfe von außen, und manche versuchen, sie allein aus der Seite zu beantworten, doch in beiden Fällen will die betreibende Person Menge, ohne dass eine echte besuchende Person anhält und die Prüfung abschließt.
Seiten sehen Sitzungen, die ein Tor passieren und danach in einem Tempo oder einer Wiederholung handeln, die keine Person durchhält.
Abwehr wirkt besser, wenn die Prüfung nur eine Kostenstelle unter anderen ist, einschließlich Verhalten, Identität und Grenzen für sensible Handlungen.
Eine Prüfung, die sich nie ändert oder die für jeden etwas normal wirkenden Client übersprungen wird, wird zu einer Schwelle mit bekanntem Umweg.
Konkrete Beispiele
- Ein Skript erreicht eine Kassenprüfung, besteht sie ohne sichtbare Pause und eröffnet dann dutzende Bestellungen in einer Minute.
- Viele Sitzungen scheitern auf dieselbe Weise und im selben Abstand, was einen Löser zeigt, der noch justiert wird.
- Ein kleiner Teil der Sitzungen besteht die Prüfung und wiederholt sofort ein Passwortraten, was nicht der Weg ist, auf dem eine Person ein Konto zurückholt.
Schutzmaßnahmen
- Behandeln Sie eine bestandene menschliche Prüfung als ein Signal und begrenzen Sie trotzdem die sensiblen Handlungen, die danach kommen.
- Ändern und staffeln Sie Prüfungen, damit ein einzelner Löser nicht monatelang unverändert wiederverwendet werden kann.
- Achten Sie auf bestandene Prüfungen, auf die sofort wiederholte Konto- oder Zahlungshandlungen folgen.
- Messen Sie sowohl automatisierten Erfolg als auch das Scheitern echter Kunden, damit die Prüfung nicht zur Hürde für ehrliche Kaufende wird.
Wie CDPCaptcha hilft
Ein Rechennachweis im Browser hängt jedem automatisierten Lösungsversuch Rechenarbeit an, damit ein skriptgesteuerter Löser bei jeder Aufgabe mehr Aufwand hat.
CDPCaptcha ist eine selbst gehostete Proof-of-Work-Prüfung im Browser, ohne Cookies, ohne Tracking und ohne Bilderrätsel.
Entwickelt und gehostet in der EU, in Deutschland, wird der Dienst unter https://cdpcaptcha.com/ beschrieben.