Imposer un cookie et un captcha aux internautes derrière Tor.
C’est un très gros problème, n’importe quel site douteux à gros trafic (torrent, porno...) peux « imiter » la page de captcha de cloudflare, et demander à ses utilisateurs de le résoudre. Il est impossible pour un utilisateur de savoir s’il a réellement affaire aux captcha de cloudlfare ou une imitation.
Je rappelle la méthode la plus fiable pour casser des captcha : utiliser un site proxy et soumettre les captcha à des utilisateurs d’un autre service.
Voilà, n’importe quel site peut montrer une fausse page cloudflare, et vous connaissez l’histoire du garçon qui crie au loup: quand les personnes sont habituées à remplir compulsivement des captchas cloudflare, ces personnes ne se méfieront pas si vous présentez un formulaire àla cloudflare et ils deviennent de parfaites machines à résoudre des captchas.
Si vous allez sur des sites torrent/porno ou autres, ne remplissez pas les captchas, vous êtes très certainement en train de participer à une opération plus vaste qui a besoin de vous pour résoudre des captchas. Après on s’étonne que la cousine a perdu son compte mail parce qu’un « pirate » a réussi à passer toute la procédure d’appropriation de compte, captcha compris, ou que des spammeurs arrivent à écrire partout leur merde, en passant outre les captchas toujours plus compliqués.
Remarquez que cloudflare tient exactement la place de grosnéné.biz sur mon schéma (et dans tous les cas, même quand monblog.info n’a pas de captcha à résoudre), donc non seulement il est possible de profiter de la popularité de cloudflare pour faire résoudre des captchas en montrant une fausse page cloudflare, mais cloudflare est en fait l’agent le mieux placé pour demander à des internautes de résoudre des captchas de sites tiers.
Cloudflare c’est une énorme machine à résoudre des captchas.
Hors, comme l’explique bien ThibG, cloudflare est un homme du milieu, la page de captcha cloudflare est servie sur la même adresse que le contenu désiré, il est impossible donc de savoir si la page cloudflare est bien de cloudflare. Ce serait différent si cloudflare redirigeait vers un domaine cloudflare pour résoudre le captcha puis ensuite redirigeait vers l’adresse désirée (un peu à la façon d’OpenID) après validation.
En fait, à chaque fois que vous voyez un captcha àla cloudflare, passez votre chemin, ne le résolvez pas, vous ne savez pas ce que vous faites. Vous êtes peut-être complice de quelque chose de malhonnête (que ce soit une vrai captcha cloudflare ou un faux captcha cloudflare), il est impossible de vérifier.
______
Petite note juste comme ça en passant, j’ai vu récemment chez une connaissance une entrée de désinstallation de malware dans l’interface de suppression de programme de windows qui exigeait de résoudre un captcha « pour prouver que l’utilisateur est bien un humain » avant de procéder à la désinstallation. Là c’est sûr, si vous résolvez le captcha, vous êtes complice d’une intrusion ou de spam quelque part. Après s’être enrichi sur les publicités intempestives qu’il affiche ou autres choses de ce type, l’auteur du malware s’enrichit une dernière fois lors de la désinstallation en servant de proxy captcha.
ce commentaire est sous licence cc by 4 et précédentes
# captcha
Posté par Thomas Debesse (site web personnel, Mastodon) . En réponse au journal CloudFlare au milieu. Évalué à 10. Dernière modification le 07 octobre 2015 à 01:31.
C’est un très gros problème, n’importe quel site douteux à gros trafic (torrent, porno...) peux « imiter » la page de captcha de cloudflare, et demander à ses utilisateurs de le résoudre. Il est impossible pour un utilisateur de savoir s’il a réellement affaire aux captcha de cloudlfare ou une imitation.
Je rappelle la méthode la plus fiable pour casser des captcha : utiliser un site proxy et soumettre les captcha à des utilisateurs d’un autre service.
Voilà, n’importe quel site peut montrer une fausse page cloudflare, et vous connaissez l’histoire du garçon qui crie au loup: quand les personnes sont habituées à remplir compulsivement des captchas cloudflare, ces personnes ne se méfieront pas si vous présentez un formulaire àla cloudflare et ils deviennent de parfaites machines à résoudre des captchas.
Si vous allez sur des sites torrent/porno ou autres, ne remplissez pas les captchas, vous êtes très certainement en train de participer à une opération plus vaste qui a besoin de vous pour résoudre des captchas. Après on s’étonne que la cousine a perdu son compte mail parce qu’un « pirate » a réussi à passer toute la procédure d’appropriation de compte, captcha compris, ou que des spammeurs arrivent à écrire partout leur merde, en passant outre les captchas toujours plus compliqués.
Remarquez que cloudflare tient exactement la place de grosnéné.biz sur mon schéma (et dans tous les cas, même quand monblog.info n’a pas de captcha à résoudre), donc non seulement il est possible de profiter de la popularité de cloudflare pour faire résoudre des captchas en montrant une fausse page cloudflare, mais cloudflare est en fait l’agent le mieux placé pour demander à des internautes de résoudre des captchas de sites tiers.
Cloudflare c’est une énorme machine à résoudre des captchas.
Hors, comme l’explique bien ThibG, cloudflare est un homme du milieu, la page de captcha cloudflare est servie sur la même adresse que le contenu désiré, il est impossible donc de savoir si la page cloudflare est bien de cloudflare. Ce serait différent si cloudflare redirigeait vers un domaine cloudflare pour résoudre le captcha puis ensuite redirigeait vers l’adresse désirée (un peu à la façon d’OpenID) après validation.
En fait, à chaque fois que vous voyez un captcha àla cloudflare, passez votre chemin, ne le résolvez pas, vous ne savez pas ce que vous faites. Vous êtes peut-être complice de quelque chose de malhonnête (que ce soit une vrai captcha cloudflare ou un faux captcha cloudflare), il est impossible de vérifier.
______
Petite note juste comme ça en passant, j’ai vu récemment chez une connaissance une entrée de désinstallation de malware dans l’interface de suppression de programme de windows qui exigeait de résoudre un captcha « pour prouver que l’utilisateur est bien un humain » avant de procéder à la désinstallation. Là c’est sûr, si vous résolvez le captcha, vous êtes complice d’une intrusion ou de spam quelque part. Après s’être enrichi sur les publicités intempestives qu’il affiche ou autres choses de ce type, l’auteur du malware s’enrichit une dernière fois lors de la désinstallation en servant de proxy captcha.
ce commentaire est sous licence cc by 4 et précédentes