Hacker knacken Googles reCAPTCHA - Google reagiert sofort

Auf der Sicherheitskonferenz LayerOne in Los Angeles wollten ein paar Hacker am Wochenende ein Skript vorstellen, mit dem Googles reCAPTCHA umgangen werden konnte. Die Erfolgsrate lag dabei laut einem Bericht von The H Security bei beeindruckenden 99,1 Prozent.

Die eigentliche Demonstration des Skripts auf der Sicherheitskonferenz lief allerdings schief, denn eine Stunde vor der Präsentation hatte Google einige Änderungen bei reCAPTCHA durchgeführt. Dennoch stellten die Hacker das Ergebnis ihrer Arbeit vor. Eine Live-Demo war aufgrund der von Google durchgeführten Änderungen allerdings nicht mehr möglich.

CAPTCHA ergibt sich aus "Completeley Automated Public Turing test to tell Computers and Humans Apart" und wird oft im Internet eingesetzt, um Eingaben von Menschen und Computern (Bots) unterscheiden zu können. Google setzt dabei auf Google reCAPTCHA, bei dem die eingescannten Bilder von zwei Worten aus Büchern eingeblendet werden, die die Anwender in ein Textfeld eingeben müssen. Alternativ bietet Google reCAPTCHA aber für blinde Internet-Nutzer zusätzlich die Möglichkeit an, die angezeigten Worte von einer digitalen Stimme sprechen zu lassen.

Die Hacker gingen zum Knacken von Google reCAPTCHA einen kleinen Umweg: Statt zu versuchen, die auf den Bilder gezeigten Worte zu erkennen, programmierten sie ein Skript, dass die Audio-Datei mit den gesprochenen Worten analysierte. Dieses Skript tauften die Hacker auf den Namen "Stiltwater".

Die Hacker fanden dabei heraus: Während bei den auf den Bildern angezeigten Wörtern unterschiedlichste Schriftarten eingesetzt werden, um die automatisierte Erkennung zu erschweren, nutzt die Audiovariante von Google reCAPTCHA nur 58 verschiedene englische Wörter, die eine digitale Stimme begleitet von Hintergrund-Störgeräuschen ausspricht. Den Hackern gelang es herauszufinden, wie diese Störgeräusche entstehen und diese dann anschließend mit "Stiltwater" herauszufiltern. Von dort aus war es dann für "Stiltwater" kein Problem mehr, die gesprochenen Worte zuverlässig zu erkennen.

Scheinbar hatte Google Wind von der Arbeit der Hacker bekommen. Denn eine Stunde vor Präsentation von "Stiltwater" änderte Google das System zur Hintergrundgeräusch-Erzeugung und "Stiltwater" kann seit dem nicht mehr richtig funktionieren. Immerhin reichte es noch für folgende, äußerst unterhaltsame und teils sehr nerdige Präsentation der beteiligten Hacker: