2008-06-11 Captcha - Fluch des Web 2.0?

Fast jeder kennt sie, die meisten Webmaster lieben sie¹: Spambots, die automatisiert durch das Web streifen und mit jedem Formular ihren Schmutz verbreiten. Wurden früher noch unvorsichtigerweise veröffentlichte E-Mail-Adressen gesucht und abgefarmt, so hat sich mit Web 2.0 die Landschaft etwas verändert. Mit dem Fokus auf benutzergenerierte Inhalte sind nun Formulare ein beliebteres Ziel. Gleichzeitig versucht man dem entgegen zu wirken. Unter anderem mit captchas, die kein Schwein mehr entziffern kann. Man könnte sie 9live-captchas nennen:

"Der Hot-Button sucht! apache-Prozesse 523, 555, 597 und 600 sind nun für sie freigeschalten. Sagen sie uns einfach, welche Automarke auf dem Bild zu erkennen ist..."

Doch es geht auch anders. Viele Methoden zur Botabwehr sind recht banal, einige dafür auch leicht auszuhebeln.

Das Überprüfen auf einen gültigen Referer sollte nur in Kombination mit anderen Methoden erfolgen. Es gibt allerdings auch Leute, die diese "Spionagefunktion" bewusst deaktivieren und somit auch keinen Referer übertragen (lassen).
Recht simpel und trotzdem effektiv ist es, den Benutzer ein ausgefülltes Formularfeld leeren zu lassen. Eine ähnliche Methode verwendet ein verstecktes Formularfeld mit einem "wichtigen" Namen (z.B. Author), welches aber nur von Spambots und Quelltextsurfern ausgefüllt werden kann.
Mit Scriptsprachen (hauptsächlich JavaScript, ich habe aber auch schon submit-Buttons gesehen, die ein Java-Applet waren) lassen sich ebenfalls interessante Dinge anstellen. So kann der eigentliche Button beispielsweise auf eine nicht vorhandene Seite verweisen und mittels JavaScript und des onClick-Ereignisses die korrekte Verknüpfung wieder hergestellt werden. Man sperrt aber auch hier Leute aus, die JavaScript deaktiviert haben. Als Flash noch neu war, gab es sogar ganze Gästebücher in Flash, welche aber wieder schnell in der Versenkung verschwunden sind. Ansonsten wären diese wohl weiterhin ein Albtraum für Benutzer und Bots.
Wie oben zu sehen können captchas auch Aufgaben sein. Entweder Rechenaufgaben (welche sich unter Umständen aber auch automatisch auswerten lassen), triviale Fragen ("Auf welchem Planeten leben wir?") oder gar idiotische Fragen ("Wie lautet der Vorname von Franz Beckenbauer?"). Oder aber das Erkennen von Bildern ("Welches Tier ist auf dem Bild zu sehen?", "Welche Farbe hat das Auto auf dem Bild?"). Was für ein 5-jähriges Kind kein Problem ist, stellt Bots vor fast unlösbare Aufgaben.
Recht beliebt (zumindest bei mir) ist auch die Umwandlung von Ziffern in Zahlwörter oder umgekehrt. Würde man diese Prüfung gezielt umgehen wollen, wäre dies jedoch kein großes Problem. Schließlich mache ich die eine Richtung bei den Icognitos bereits.
Technischer wird es bei der Filterung. Entweder über IP(-ranges) oder Wortfilter. Beide lassen sich sowohl automatisch als auch manuell erweitern und es gibt die Option zum blacklisten oder whitelisten (kombiniert dann greylisting).
Ganz radikal ist natürlich eine Anmeldung mit beliebig komplizierter Verifizierung.

Durch die Verbreitung von Blogs, oft basierend auf ähnlicher oder gar gleicher Software, nimmt auch der Pingback-/Trackback-Spam zu. Hier ist die Frage, wie ein möglicher Schutz aussehen kann.

--
¹ manche nehmen es mit Humor:
Durch meine Antwort auf die untenstehende Frage bestätige ich folgendes: Mir ist bewusst, dass Sex- und Pornolinks hier nicht erwünscht sind. Sollte ich selbige dennoch posten, erkläre ich hiermit, dass ich pro Link 10.000 Euro an das Shark Project spenden werde. Rechtliche Schritte gegen mich wegen akuter Verunreinigung des Internets sind selbstredend auch von mir gewünscht, weil ich ein kleines Schweinchen bin.