2

Como utilizar CAPTCHA em uma aplicação stateless? Caso não seja possível qual é a alternativa para isso?

4
  • Qual problema você precisa resolver? Commented 14/01/2015 às 19:50
  • Descobrir se é um humano que está enviando o e-mail @AndréRibeiro Commented 14/01/2015 às 19:56
  • Oi Fábio. Sugiro que você altere a sua pergunta pra incluir especialmente esse conteúdo que usou ao responder para o @AndréRibeiro. Assim fica mais fácil receber também outros tipos de sugestões de solução ao seu problema que não necessariamente utilizem CAPTCHA. :) Commented 15/01/2015 às 9:32
  • Relacionada: pt.stackoverflow.com/q/17456/227
    – utluiz
    Commented 15/01/2015 às 13:31

2 Respostas 2

3

Implementando um serviço de CAPTCHA

Crie um serviço de CAPTCHA com as seguintes operações:

  • Criar um CAPTCHA. Retorna um id do CAPTCHA criado e uma imagem do CAPTCHA.
  • Responder um CAPTCHA. Recebe um id do CAPTCHA e um texto que corresponde ao texto do CAPTCHA. Responde verdadeiro ou falso.

E observe as seguintes restrições:

  • Após criado, um CAPTCHA tem um prazo de validade curto (ex: 5 minutos). O método de responder o CAPTCHA só deve funcionar para CAPTCHAS que estejam dentro do prazo de validade.
  • O método de responder o CAPTCHA necessariamente deverá destruí-lo, de forma que o CAPTCHA não pode ser respondido mais de uma vez.
  • Não há método para pesquisar CAPTCHAS já criados.
  • A implementação do CAPTCHA necessariamente deverá ser stateful. Entretanto, o estado do lado do servidor é volátil, e pode ser mantido em memória ao invés de ser mantido em um banco de dados, embora existam algumas vantagens de se colocar no banco de dados.

É possível um serviço de CAPTCHA totalmente stateless?

Acredito que não. Pois isso significaria enviar a resposta do CAPTCHA junto com o próprio CAPTCHA.

Mas e se a resposta estiver criptografada dentro de um token com algum algoritmo forte de criptografia que só pode ser descriptografado no servidor?

Neste caso ainda seria possível reutilizar CAPTCHAS ao enviar repetidas vezes o mesmo token. Alguém poderia reutilizar sempre o mesmo CAPTCHA já solucionado.

E se no token criptografado eu também incluísse a data de validade do CAPTCHA?

Ainda assim seria posssível tentar responder um CAPTCHA mais de uma vez.

E se eu tiver um serviço de nonce que mantenha uma tabela de objetos que só podem ser usados uma única vez e eu utilize este serviço de nonce no meu serviço de CAPTCHA?

Aí você reduz o problema a "desenvolver um serviço de nonce stateless". O seu serviço de CAPTCHA por si só não manterá estado no servidor, ele apenas mudará este estado para um outro lugar que também é server-side (o serviço de nonce). O serviço de CAPTCHA que eu dei acima é mais simples, mas por outro lado o que usa o nonce é mais modular, uma vez que fica mais fácil de reutilizar o componente de um nonce para outras coisas que precisem disso e o controle de estados server-side é reduzido e simplificado. Observe também que a data de validade do nonce seria mais conveniente de ser controlada pelo próprio serviço de nonce neste caso.

É possível ter um serviço de nonce stateless?

Acredito que não. Se você descobrir uma forma de fazer isso (e eu duvido que exista) então você conseguirá implementar um serviço de CAPTCHA totalmente stateless.

1
  • Acho que criptografar a solução do próprio captcha junto com a data de validade e enviar junto da imagem permite a reutilização por um curto tempo (5 minutos ou menos) e que dependendo da aplicação esse requisito pode ser aceitável. Eu uso um mecanismo similar para manter o "login" na minha API stateless (no meu caso a reutilização é justamente o que eu quero/preciso). De qualquer forma, gostei da sua reposta, +1. Commented 15/01/2015 às 15:56
1

Um captcha consiste em um desafio a fim de provar que há um humano por detrás de uma ação (requisição) dentro do sistema.

Em geral, o procedimento stateful de um captcha consiste em gerar e armazenar um segredo no servidor e prover ao usuário um meio pelo qual apenas humanos conseguiriam descobrir o segredo. Quando o usuário efetua uma ação, o sistema verifica se o segredo foi devidamente descoberto.

Captcha baseado em token

Se a ideia é não armazenar nada no servidor, então talvez seja possível obter um valor secreto baseado em variáveis que não necesstam de armazenamento.

O método mais comum é usando tokens, isto é, um número secreto baseado na data e hora atuais. Para diferenciar entre os diversos usuários de um sistema, um algoritmo pode temperar o número com algum outro valor aleatório que seja único por usuário ou por acesse, gerando então um código secreto. Se não houver cadastro de usuários o tempero pode ser gerado aleatoriamente e gravado num cookie ou num campo oculto no formulário.

O código secreto seria apresentado para o usuário como uma imagem convencional de captcha.

Finalmente, quando o usuário submeter o formulário, o servidor receberá o código digitado pelo usuário e o tempero via cookie ou campo oculto. Seu código deve calcular novamente o código secreto baseado no token (data e hora) e no tempero agora recebido na requisição e então validar se o código fornecido pelo usuário é igual ao * código secreto* regerado pelo algoritmo.

Conjunto de desafios aleatórios

Outra forma de desafiar o usuário sem manter estado é definir um conjunto de desafios e selecionar um dentre eles.

Por exemplo, alguns sites adotam uma espécia de puzzle ou quebra-cabeça como captcha. O usuário precisa montar uma imagem composta de vários pedaços.

Nesse caso, o servidor poderia selecionar qual o desafio será aplicado baseado em alguma característica do usuário e talvez do timestamp (data e hora) atual, de forma que o mesmo usuário não possa reusar o captcha posteriormente, nem dois usuários recebam o mesmo desafio ao acessarem o formulário simultaneamente.

Um identificador do desafio selecionado pode ser armazenado criptografado em um =cookie ou então o algoritmo de seleção pode ser executado novamente na próxima requisição para verificar se o captcha enviado pelo usuário é o mesmo captcha selecionado anteriormente.

Passadas todas essas fases, basta verificar se o resultado do desafio (por exemplo, as posições dos pedaços da imagem) estão no devido lugar.

Considerações sobre as abordagens stateless

As duas abordagens são baseadas na data e hora atuais, portanto elas terão validade limitada para todos os usuários.

O algoritmo deve ser inteligente para não verificar o tempo exato, isto é, considerando minutos e segundos, mas considerar que um token é válido dentro de uma determinada janela de tempo.

O timestamp é importante para evitar que um usuário malicioso replique o resultado do desafio em múltiplas requisições posteriores.

Porém, dentro da janela de tempo do token, ainda seria possível a um usuário reaproveitar o resultado do desafio. Portanto esta solução não é totalmente à prova de falha.

Que tal ser stateful em algum nível?

Vamos rever os conceitos de statefull e stateless. Quando usamos esses termos, geralmente nos referimos a usar uma sessão para o usuário em memória ou não.

Porém, não conheço nenhuma aplicação real que seja 100% stateless, pois mesmo que cada requisição não tenha conhecimento das anteriores, em algum nível informações serão carregadas de algum lugar e persistidas em algum banco de dados ou cache.

Uma solução alternativa que é stateless no sentido de que não tem sessão, mas statefull no sentido que armazena o captcha, seria criar uma estrutura de dados (tabela ou cache em memória) que possua entradas para os captchas gerados.

Uma tabela de captchas, só ficar com um exemplo, seria uma ótima saída. Quando uma página fosse aberta, o sistema adicionaria uma nova entrada com as informações do captcha e um hash identificador. O usuário receberia esse hash e, ao enviar o desafio, o sistema conseguiria verificar se o captcha existe, se não foi usado e se ainda é válido.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .