AN ANALYSIS OF THE STRENGTH OF CAPTCHA USED BY SOME TURKISH UNIVERSITIES TO PROTECT STUDENT INFORMATION

Abstract

İnternet kullanımının dünya çapında artmasıyla, web sitelerini saldırganlardan korumanın gereği de daha çok önem kazanmıştır. Birçok kişi artık alışveriş ve bankacılık gibi işlemleri internet üzerinden gerçekleştirdiğinden, geliştiriciler sitelerinin güvenliğine yakından dikkat etmelidir. Kullanıcıların e-posta hesabı gibi ücretsiz internet servislerine kaydolduğu istemci hizmet kaydı işlemi sırasında önemli güvenlik açıkları oluşabilir. Bu tip kayıtlar sırasında, saldırganlar bot denen programlar oluşturup sahte hesaplar oluşturarak web sitesinin kaynaklarını kötü niyetli saldırılara maruz bırakabilirler. Güvenlik analistleri, web varlıklarını bu botlardan korumak için çeşitli sistemler oluşturmuştur. Bir insandan bir botu ayırt etmek için, CAPTCHA (İnsan ve Bilgisayar Ayrımı Amaçlı Tam Otomatik Genel Turing Testi) sık kullanılan bir stratejidir. Bu çalışma, saldırıları azaltmak için web güvenliği alanında bu stratejinin kullanılmasına odaklanmaktadır. Bulmacalara dayanan metinler de dahil olmak üzere, farklı metin, resim, ses ve video tabanlı CAPTCHA'lar araştırılmıştır. Bu tez, bazı Türk üniversitelerinin öğrencilerin özel bilgi sayfalarını korumak için kullandıkları CAPTCHA türüne ışık tutmaktadır. CAPTCHA nin metin ve resimedn olusan iki tipinin karişimidir. Bu CAPTCHA tipi inceledikten sonra kırılmış ve tanınmıştır. Bu, sonuçlar bölümünde tartıştığımız, bu tür CAPTCHAlerin yapısındaki bazı zayıf noktalar göz önüne alınarak başarılmıştır. Kırma ve tanıma süreci için bir Mozilla eklentisi kullanılmış ve Java programı oluşturulmuştur. Ardından, OCR tekniği kullanılarak, bu CAPTCHA'nın zayıflığı kanıtlanmıştır. Kullandığımız 53 CAPTCHA örneğinden% 92.45'inin kırılabilir ve tanınabilir olduğu gösterilmiştir.With increasing Internet usage worldwide, the need to protect websites from attackers is paramount. As so many people perform tasks such as shopping and banking, developers must pay close attention to the security of their sites. A significant vulnerability can exist during the client service registration process where users register for a free Internet service such as an email account. During enrollment, a few interlopers or aggressors may carry out malicious attacks by enlisting bots to create fake accounts and drain or waste site resources. Security analysts have created various systems to protect web assets from these bots. To differentiate a human user from a bot, CAPTCHA (Completely Automated Public Turing test to tell Computers and Humans Apart) is a commonly employed strategy. This study focuses on the use of such a strategy in the field of web security to mitigate attacks. Different text, image, audio and video-based CAPTCHAs are investigated including those that are based on puzzles. This thesis sheds light on the type of CAPTCHA used by some Turkish universities to protect students' specific information pages. It is a mixture of two types of CAPTCHA: text and image. After examining this type of CAPTCHA, it is broken and recognised. This is achieved taking into consideration some weak points in its structure, which are discussed in the results section. The process of breaking and recognising is done via an add-on and a program in Java language. Then, by using OCR technique, the weakness of this CAPTCHA can be proven. In 53 CAPTCHA cases, 92.45% can be broken and recognised.