幹壞事是進步最大的原動力
Cloudflare 從 Google 的 reCAPTCHA 改用自家的 hCaptcha：「Moving from reCAPTCHA to hCaptcha」。
看起來其實就是錢的問題，reCAPTCHA 要收費了，而以 Cloudflare 的量會太貴：
Earlier this year, Google informed us that they were going to begin charging for reCAPTCHA. That is entirely within their right. Cloudflare, given our volume, no doubt imposed significant costs on the reCAPTCHA service, even for Google.
另外 hCaptcha 有提供免費版本給一般網站用，剛出來這幾天等白老鼠寫心得後，再決定要不要跳進去測試...
看到 Hacker News 上「You probably don’t need ReCAPTCHA (kevv.net)」這篇在討論 reCAPTCHA (原始文章在「You (probably) don’t need ReCAPTCHA」這篇)，裡面除了認為 reCAPTCHA harmful 的觀點還 ok 外，其他的觀點我覺得都無法讓人認同...
因為看到 reCAPTCHA 而想到已經用了 CleanTalk 一陣子，效果還不錯，所以寫一篇講一下...
起因是維護「FJC 華語社群」這個站台，這是一個使用 phpBB 架設的站台，為了方便，我透過 RSS + IFTTT，當論壇上有新文章時就會自動貼到 Line 群組上面...
為了避免論壇上面有 spam，我有針對註冊開 reCAPTCHA，但發現還是有不少「全人工註冊」的帳號會貼文，所以就得找更精準的服務來用... 後來在 phpBB 網站上翻到 CleanTalk 這個服務，對於在「CleanTalk Anti-Spam Installation Manuals」這頁看到支援的軟體只要 USD$8/year/site，從一月用到現在超過五個月了，就沒遇到 spam 了...
機制上他會透過 client database 分析他們自己的 spam 資料庫，另外在發文時他也會分析文章內容是不是 spam，所以裝上去之後兩關都有過濾機制...
類似的服務還有 Akismet，不過畢竟是知名品牌，費用相較起來貴不少...
在「用 Google 的 Speech Recognition API 破 Google 的 reCAPTCHA」與「reCAPTCHA 與語音辨識：以子之矛，攻子之盾」都提過用語音辨識功能破 reCAPTCHA，現在又有一套了，而且直接在各瀏覽器的 extension 平台上架：「Buster: Captcha Solver for Humans」。
說明可以看到一樣是透過聲音的部份辨識：
Buster is a browser extension which helps you to solve difficult captchas by completing reCAPTCHA audio challenges using speech recognition. Challenges are solved by clicking on the extension button at the bottom of the reCAPTCHA widget.
除了安裝很簡單以外，設定也弄得很簡單，這個套件支援多種不同語音辨識 API，包括 Google、Microsoft 以及 IBM 的服務，只要在套件的設定頁輸入 API key 就可以了...
另外剛好也跟 reCAPTCHA 有關，在 Hacker News 上的「Google's Captcha in Firefox vs. in Chrome (grumpy.website)」看到 Google Chrome 與 Mozilla Firefox 在跑 reCAPTCHA 的不同之處 (Chrome 的流程順很多，Firefox 卡很多)，不過我覺得證據還有點弱，需要再看其他的測試...
另外裡面有提到一些奇怪的東西，像是 W3C 的替代方案 (這個組織提的東西...)：「Inaccessibility of CAPTCHA」，找時間來研究一下...
Google 的 reCAPTCHA 大概是目前最常用的反制機器人工具了，但因為 accessibility 的原因 (而且應該是有法令要求)，還是需要提供盲人可以存取的方式，也就是以語音判斷是否是機器人。
unCaptcha2 就是用這塊，加上 Google 自家的語音辨識 API (也支援其他家 API) 可以直接打穿：
現有的程式碼已經先被 Google 反制，但目的是展示出這樣的概念。
就是「以子之矛，攻子之盾」的概念，用 Speech Recognition API 破 reCAPTCHA：「ReBreakCaptcha: Breaking Google’s ReCaptcha v2 using.. Google」。
就算 Google 在 reCAPTCHA 的聲音裡面加入 watermark，讓自家的 Speech Recognition API 拒絕分析，還是有其他家的可以用 (像是 Amazon Lex 或是 Bing Speech API)，所以這樣做不是什麼好解法。
在 Cryptome 這邊看到可能可以被拿來用的技巧：「Cloudflare reCAPTCHA De-anonymizes Tor Users」。
當 Tor 使用者連到 CloudFlare 上時，常常會出現 reCAPTCHA 的提示，要求你驗證，而這個驗證過程的 traffic pattern 太龐大而且很明顯，當情治單位同時可以監控 CloudFlare 的上游 (像是「Airtel is sniffing and censoring CloudFlare’s traffic in India and CloudFlare doesn’t even know it.」這篇提到的問題) 或是監控 Tor 的 exit node 的上游，再加上同時監測使用者可能的 ISP，就可以對照湊出使用者：
Each click on one of the images in the puzzle generates a total of about 50 packets between Tor user's computer and the Cloudflare's server (about half are requests and half are real-time responses from the server.) All this happens in less than a second, so eventual jitter introduced in onion mixing is immaterial. The packet group has predictable sizes and patterns, so all the adversary has to do is note the easily detectable signature of the "image click" event, and correlate it with the same on the Cloudflare side. Again, no decryption required.
短短的一秒鐘內會產生 50 個封包，而且 pattern 很清楚...