Эксперт раскрыл способ обхода Google ReCaptcha v2

Эксперт раскрыл способ обхода Google ReCaptcha v2

Эксперт раскрыл способ обхода Google ReCaptcha v2

Исследователь сумел обойти ReCaptcha v2 от Google и решил сделать свой способ достоянием общественности после того, как Google не смогла исправить эту проблему в течение нескольких месяцев.

Логическая уязвимость под названием ReBreakCaptcha была обнаружена в прошлом году, по словам исследователя, она до сих пор не устранена. Эксперт также объясняет, что способ обхода использует Google API для распознавания речи.

Эксплоит работает в три этапа: сначала следует выбрать аудио способ прохождения капчи, затем сконвертировать аудио-файл капчи и отправить его API распознавания речи и выполнить проверку.

ReCaptcha v2 отображает пользователям флажок "Я не робот", который затем обычно вызывает изображения для проверки. В случае же, когда пользователь выбирает звуковое подтверждение, будет необходимо нажать на кнопку Play и ввести слова, которые он услышит. Также можно скачать звуковой файл подтверждения.

После того, как звуковой файл проверки скачан, его можно отправить API распознавания речи от Google, перед этим обязательно сконвертировав в wav-формат. В результате, это может помочь обойти проверку путем простой команды «копировать-вставить».

Код, написанный на Python и подтверждающий слова эксперта, доступен на GitHub. Он был написан с целью последовательно реализовать все три этапа, описанных выше, и, используя библиотеку Python SpeechRecognition, осуществить распознавание речи.

Исследователь не уточнил, уведомил ли он компанию Google о наличии этой бреши.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

ИТ-компании, выходящие на IPO, сталкиваются с юридическими сложностями

При выходе на IPO компании меняют организационно-правовую форму, что влечет за собой смену ИНН. Это создает сложности при работе с различными реестрами, включая те, что ведет Минцифры.

Длительная процедура перерегистрации вызывает значительные неудобства для ИТ- и ИБ-компаний, поэтому ведомство уже разрабатывает корректирующие меры.

Как сообщили «Коммерсанту» источники на ИТ-рынке и в юридических компаниях, российские ИТ-компании, проходя процедуру первичного размещения акций, сталкиваются с проблемами при сохранении информации о себе в реестре аккредитованных ИТ-компаний и реестре российского ПО.

Рост интереса к IPO приводит к увеличению запросов на перерегистрацию.

«За последний год количество таких запросов значительно возросло, что напрямую связано с растущим интересом российских ИТ-компаний к IPO», — пояснила Кристина Мкртчян, советник практики интеллектуальной собственности ЭБР.

Почему это проблема?

При выходе на биржу компании обычно меняют форму собственности с общества с ограниченной ответственностью (ООО) на публичное акционерное общество (ПАО). В результате у юридического лица меняется ИНН, что требует повторной идентификации в реестрах Минцифры. По словам Кристины Мкртчян, перерегистрация может занять до нескольких месяцев, а на этот период компания теряет возможность работать с критической информационной инфраструктурой (КИИ), государственными учреждениями и компаниями с госучастием.

Как отмечает Теона Бахия, руководитель корпоративной практики ЭБР, если не удастся быстро восстановить аккредитацию, компания потеряет право на налоговые льготы и будет вынуждена платить налоги на общих основаниях.

Что говорят в Минцифры?

«Реорганизация компаний, в том числе перед выходом на IPO, — распространенная практика. За годы работы с реестрами она стала стандартной процедурой. При предоставлении необходимых документов, подтверждающих правопреемственность, реестровые записи актуализируются. Проблемы могут возникнуть только в том случае, если компания не соблюдает требования по поддержанию актуальности данных», — сообщили в Минцифры.

Ведомство уже подготовило поправки в закон 149-ФЗ «Об информации, информационных технологиях и защите информации», чтобы упростить процесс перерегистрации и минимизировать риски для ИТ-компаний.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru