[php] AJAX Captcha

[Yannik Hampe]

Simon Bienlein wrote:
> Hallo Christoph und Liste,
> 
> Christoph Jeschke wrote:
>> User mit JavaScript sparen sich ein Ping-Pong mit dem Server. User
>> ohne JavaScript verlieren nichts. Wo ist die Barriere?
> 
> ein bildbasiertes Captcha ist nicht barrierefrei. Blinde oder
> sehbehinderte Menschen können dieses nicht lesen und folglich auch nicht
> lösen. Eine Alternative hierzu sind akustische Captchas, die aber
> manchmal schwer zu verstehen sind.

Achwas... Die können die Arbeit doch einen Computer machen lassen:
http://www.cs.sfu.ca/~mori/research/gimpy/
Gimpy hat jedenfalls eine bessere Erkennungsrate als ich...
Ich habe mal jemanden erlaubt ein phpBB2-Forum auf meinem Server zu
hosten und jedes mal, wenn man das Passwort falsch eingeben hatte, was
mir regelmässig eine halbe Sekunde nach dem Klick auf dem Login-Button
bewusst wurde, kam so eine Captcha-Abfrage...
Die ersten male habe ich immer noch brav geraten, dann bin ich entnervt
mit phpmyadmin in die DB gegangen und habe meine Loginverushc ewieder
genullt :-).
Aber wenn ich nochmal auf ein so konfiguriertes phpBB2-Forum treffe,
welches diese mal nicht auf meinem Server liegt, sage ich Bescheid. enn
dann richte ich ein Webservice ein um die Bilder zu analysieren ;-).
> 
> Besonders bedenklich finde ich es, wenn Shopbetreiber auch ihre Preise
> durch Grafiken veröffentlichen und dies mit dem Schutz vor Preis-Robots
> begründen.

Was haben die denn gegen Preis-Robots? Die sollen sich doch freuen, dass
sie indiziert werden...
Aber wenn gimpy selbst komplizierte Captchas mit 92%iger Erkennungsrate
erkennt, dann wird es so ein komisches Preisschild mit 100% schaffe...
Ist doch simpler. Textscannprogramme lassen grüssen ;-).

Wie sich unschwer erkenne lässt halte ich nichts von Captcha. Wenn man
unbedingt eine solche Abfrage braucht gibt es auch bessere Möglichkeiten:
Zum Beispiel wie die es auf php.net machen:
two + sqrt(4)
Antwort ist natürlich "four". Wenn man sich auf eine Seite spezialisiert
ist das auch wieder leicht zu umgehen, aber wer schreibt schon einen
spambot, der nur auf einer einzigen Seite spammen kann ;-). Und man kann
sich über diese Textfragen noch viele weitere kreative Sachen ausdenken,
die nicht nur leicht parsebare Rechenaufgaben sind.
Dann könnte man noch auf Verhalten prüfen. Spambost sind bestimmt recht
dumm und man kann prüfen, ob der bot vor dem registrieren auch das
Registrierformular aufgerufen hat... Kein Problem mit etwas Sessionhandling.
Einfach kreativ sein ;-).

> VG Simon


Yannik