透过现象看本质—戏说12306验证码

2015-12-11 13:39:43 来源：开源中国社区抢沙发

2015-12-11 13:39:43 来源：开源中国社区

摘要：人类一直在与机器就验证码展开拉锯战，网页和App上验证码出现的原因只有一个：确保你是活人，而不是机器代码。
关键词：验证码

　　年关将至，一场世界级的社会壮举又将上演，那就是咱们的春运，短短的十几天将搬运30亿人次的客流，让国外的记者和看客们都不得不佩服咱们伟大祖国的交通运输能力。为了准备这场“大戏”，抢票这种全民级现象已经提前上演，虽然买票难的问题已经逐年好转，但在抢票过程中仍然槽点不断，其中的明星当属验证码了，这两天12306的验证码已经被大家各种吐槽各种调侃，那么这次和大家一起来研究一下关于这个验证码背后的问题。

　　验证码的由来

　　其实一开始，互联网上是没有验证码的。那时想要在论坛上发帖，只需轻轻敲一下回车键。然而，当时的黑客也十分猖狂，他们编写了一种能够大量、重复编写信息的程序，伪装成人类用户，肆无忌惮地朝网络上倾倒大量的、无意义的“僵尸”信息，垃圾邮件、垃圾广告、垃圾评论到处乱飞。这时出现了一个人，他的名字叫路易斯·范·安，他在研究过程序机器人的“工作手法”之后，给出了一个独特的方案，就是在用户进行操作之前，就将那些机器人从正常用户里揪出来。通常人类可以用肉眼很轻易地识别图片里的文字信息，而机器就不能，并且当时的计算机辨识技术还很落后，对于那些镶嵌在图片中的、被扭曲过的文字无法辨识，而人类只需要稍稍皱眉就可以识别出来，所以验证码就诞生了

　　验证码的作用：防止有人利用机器人自动批量注册、对特定的注册用户用特定程序暴力破解方式进行不断的登陆、灌水等。

　　(2015年，时年36岁的路易斯·范·安)

　　时过近迁，原来的配方，熟悉的味道

　　就像那句广告词“原来的配方，熟悉的味道”，从验证码发明到现在的15年间，这种针对于网站的探测式攻击呈逐年增长的态势（据安全狗2014年发布的《中国互联网服务器安全分析报告》提供的数据，全年的探测试攻击已经超过2.5亿次），正所谓一攻一防，一防一攻，大家在打打闹闹中无形的为网络安全的发展做出了贡献。同样的经过这些年的发展，普通的验证码早已难不倒那些黑客了，为了应对这种情况，也就迸发出了无数千奇百怪的验证码。

　　令人惊叹的验证码艺术

　　在这里把验证码称为艺术可能有一些过了，可是发展至今验证码已经深入到每个人的生活中了，手机短信验证、图片验证码、字母验证码、语音验证码〃拼图验证码、选择题验证码、问答验证码…….等等各式各样花样百出，如果把验证码当成一件作品，相信每年还可以搞一次评选，如“年度最佳验证码奖”“年度最难验证码奖““年度最具创意验证码”等等。在这里不得不佩服验证码设计师的脑洞。

　　为什么会产生这些天才般的验证码设计？因为许多数字和字母组成的二维码，黑客可以用OCR（光学字符识别）技术识别，12306之前的验证码被抢票软件轻易破解了。而据某些专家认为，采取图片技术之后，就很难有黑客能破解了，就算图像识别技术能识别图片，也很难识别出问题，更别说将两者对应起来了。

　　但实际测试表明，借助于Google等巨头的智能识图技术，能够识别大部分图片的涵义，准确率85%。于是聪明的12306工程师开始琢磨着让验证码变得更加复杂、图片变得更难认、并且经常更新，这是一场浩大的技术攻防持久战，为了保证百姓能买到回家的车票，为了提防抢票软件和背后的黄牛党，在这里不得不赞叹一下工程师们的劳苦用心。

　　互联网+思维与12306的激情碰撞

　　12306的工程师们为了打好这场防御战不得不说是做足了功课，要设计出足够复杂又要让人类可以辨识的验证码，真得要上知天文，下知地理，娱乐、动漫、网络热点须无一不通。

　　看到这种强大到连自己都怕的验证码，一股浓浓互联网味道扑面而来，不得不说互联网+思维成功的和铁路局来一次完美的融合，而小编刚有更棒的点子，那就是：广告植入。

　　“请选出下面哪款洗发水是沙宣、请选出下图中的超薄款Durex、以下哪位明星代言了宝洁的广告、请选出奔跑吧兄弟的冠名赞助商……”

　　这，就是互联网思维，互联网+12306，激发巨大的想象空间，中国铁路未来扭亏为盈不是梦。（其实图片验证码广告技术是国内一位大学生的创意，现在这技术被铁路局发扬光大了。PS：办公室的某位小伙伴，今天中午一直在抢票，最后红着眼告诉我说：终于订了张火车票）

　　验证码辛酸的背后是反黑技术不够聪明

　　人类一直在与机器就验证码展开拉锯战，网页和App上验证码出现的原因只有一个：确保你是活人，而不是机器代码。最初验证码是数字，后来被破解了；所以验证码加入了字母，还是被破解了，而更复杂的数字和图片，继续被破解，就以这次12306的强大验证码而言，近日已经有互联网公司宣称攻破了 12306的图形验证码，并首次公布一组验证码大数据。数据显示图形码的数量已经多达581种，按照要输入两个关键词的登录规则，用户将有机会尝试 336980道不同验证码题目的机会，而一次性输入正确的仅为8%。强大的验证码虽然挡住了一部份黑客和黄牛，但同时也挡住了用户，杀敌一千自损八百，需要有更为聪明的防御方法。

　　不妨借鉴一下某些安全行业的方式，像知名的云安全厂商安全狗，在之前的互联网安全大会上就发布了全新的安全防御理念，通过云端收集客户端上的被攻击数据，对用大数据对攻击方式、来源等进行分析后再匹配相应的防御策略进行下发，这种方式就相当的聪明和智能。

　　最后，其实票难抢，是因为票少人多，主要的原因并不是验证码，在这一场持久战中铁路局已经竭尽所能，建议大家给予更多的理解和支持。

第三十八届CIO班招生
国际CIO认证培训
首席数据官（CDO）认证培训

责编：pingxiaoli

免责声明：本网站（http://www.ciotimes.com/）内容主要来自原创、合作媒体供稿和第三方投稿，凡在本网站出现的信息，均仅供参考。本网站将尽力确保所提供信息的准确性及可靠性，但不保证有关资料的准确性及可靠性，读者在使用前请进一步核实，并对任何自主决定的行为负责。本网站对有关资料所引致的错误、不确或遗漏，概不负任何法律责任。
本网站刊载的所有内容（包括但不仅限文字、图片、LOGO、音频、视频、软件、程序等）版权归原作者所有。任何单位或个人认为本网站中的内容可能涉嫌侵犯其知识产权或存在不实内容时，请及时通知本站，予以删除。