【 ここから本文 】
Microsoftウォッチ
ソーシャルブックマークに登録 ：
印刷用ページの表示
【解説】
CAPTCHA認証は“終わった”技術なのか――有効性を疑問視する専門家たち
スパム・メールだけではない、CAPTCHAクラッキングの弊害
（2008年08月11日）
「CAPTCHA（Completely Automated Public Turing Test to Tell Computers and Humans Apart）」は、Webサイト管理者が自サイトに訪れたユーザーを（人間かどうか）見極める簡単かつ有用な手段であったはずだ。しかし最近では、「スパム業者が悪事を働くためのツール」と成り果てている。本稿では、CAPTCHAを取り巻く現在の状況を整理するとともに、その将来性についてあらためて考えてみたい。
Steven J. Vaughan-Nichols
Computerworld米国版
Yahoo! Mail、Gmail、Hotmailが相次ぎ被害に
CAPTCHAは、WebメールやSNS（ソーシャル・ネットワーキング・サービス）など、Web上のサービスのアカウントを取得したり、オンライン・フォーラムにコメントを書き込んだりする際、ユーザーに歪んだスクランブル文字の解読とタイプ入力を求めることで、スパマーやマルウェア作者による自動アカウント登録を防ぐ認証システムである。
米国Carnegie Mellon大学の研究者が2000年に完成させたCAPTCHAは、当初は知名度の低いセキュリティ技術の1つにすぎなかった。しかしその後、CAPTCHAはあらゆるWebサイトで採用される技術へと躍進を遂げた。米国Yahoo!の「Yahoo! Mail」や米国Googleの「Gmail」、米国Microsoftの「Windows Live Hotmail」といった大手Webメール・サービスでは、現在もCAPTCHAを採用している。
しかし「CAPTCHAが有効な認証システム」という認識は、もはや過去の物語となってしまったようだ。
実は、Yahoo! MailのCAPTCHAは、2008年1月以前にクラッキングされて話題になった（画面1）。GmailのCAPTCHAは2008年4月に、HotmailのCAPTCHAもGmailと同時期にクラッキングされている（85ページのTopics参照）。そして現在では、CAPTCHAを自動的に攻撃するクラッキング・ツールが、Web上の某所に存在する（もちろん、どこにあるかは教えられないが……）。
これらのクラッキング・ツールは、クラッキングの“スキル”を持たないユーザーでも簡単に利用できる。スパムをばらまきたい、気に入らない人間をネット上で攻撃したい、マルウェアを広めたいなど、オンライン上でさまざまな嫌がらせをしたいという“情熱”さえあれば、すぐに利用できてしまうのだ。
| 画面1：Yahoo! Mailで利用されているCAPTCHA。ユーザーもこうした認証システムには抵抗感がないようだ。あえて言えば、数字の「1」と小文字の「l（エル）」を見分けるのが難しいという程度だった |
 |
Topics
グーグルのBloggerでスパミングが急増
偽のブログを自動作成してスパム商品の販売促進に“活用”
Jeremy Kirk／IDG News Serviceロンドン支局
米国Googleのブログ・サービス「Blogger」にスパマーが偽のブログを自動作成するという行為が広がっており、大量アカウント登録を防ぐために導入されたCAPTCHAの有効性が疑問視される事態となっている。
セキュリティ・ベンダーである米国Websenseのアナリスト、サミート・プラサード（Sumeet Prasad）氏によると、スパマーは、ボットネットのPCに命令コードを送り、無料のアカウントをBloggerに多数登録しているという。ボットネットのPCは、外部ホストにリクエストを出し、CAPTCHAを破ってその答えを戻すよう求める。Websenseによると、このプロセスの成功率はおよそ8〜13％だという。
CAPTCHAを破る方法ははっきりと突き止められているわけではなく、これまではスパマーに雇われた人物が毎回判読していると考えられていた。しかし、研究者たちは、コンピュータを使ったCAPTCHAの破り方について、その成功率を高める方法を見つけ出し、クラッカー同様の方法を用いている可能性を示した。
セキュリティ・ベンダーや研究者らは、最近、MicrosoftやYahoo!、Googleなどの無料のメール・サービスでスパムとして利用されるアカウントの数が急増しており、現行のCAPTCHA技術は有効性を失ったと指摘している。
スパマーは、Bloggerに開設したブログを、スパム商品の販売促進に利用している。しかも、これらのブログには、スパミングに関係する他のWebサイトへブラウザをリダイレクトするJavaScriptコードが組み込まれている場合も少なくない。
Prasad氏は、「リダイレクトを行うアカウントは、実際のスパム・ドメインではなく、さまざまなスパム・キャンペーンに組み込まれている。こうした手法を用いることで、スパマーは、さまざまなアンチスパム・サービスの裏をかくことに成功している」と指摘している。
実際、スパマーは、GoogleのBloggerドメインを隠れみのに使っている。このドメインは、セキュリティ・ソフトウェアから疑わしいドメインとしてブロックされる可能性が低いからだ。
Websenseのセキュリティ調査担当バイスプレジデント、ダン・ハバード（Dan Hubbard）氏は、リダイレクトを禁止すれば、こうした行為を防止することができるとしている。しかし、セキュリティ制限を追加してばかりでは、正当な目的で各種機能を使っているユーザーの離反を招いてしまう可能性もある。
Web 2.0系サイトは、多くのユーザーに支えられているという側面もあるため、ユーザーが離反するようなことになれば大変な痛手となる。また、リダイレクト機能がブログ・ページへの広告配信手段に使われているという事情もある。
さらにGoogleは、ボットによって自動的に作成された偽のブログの特定手段も見つけ出す必要がある。Hubbard氏によると、こうしたブログには、人ではなく機械によって作成されたことを示すさまざまな痕跡が見られるが、それを検知するためのメカニズムが現状ではまだ開発されていないという。
新手のスパム手法が登場したことで、今後偽のブログが増加する可能性もある。しかし、Blogger上のブログはきわめて数が多いため、スパマーの開設したブログが当分の間、検知されない可能性も高いという。
Googleは、以前からBlogger上でのスパム行為と戦ってきた。同社は、スパム・リンクの入ったブログを排除するために、自動スパム分類アルゴリズムを導入している。ユーザーがスパム・ブログをGoogleに直接通知するツールも用意しているが、こうした戦いはこれから先も続きそうだ。
