Ochrana proti robotům

Ochrana proti robotům


Ahoj. V tomhle příspěvku bych se vás chtěl na něco zeptat a taky prezentovat jednu svou metodu. Zajímá mě váš názor.

Jde mi o roboty, kteří jsou schopni aktivovat mou vyrobený skript a zneužít ho k automatickému odesílání nevyžádaných spamů. Zajímalo by mě s čím takový robot pracuje. Jak to dělá. To proto, aby ta ochrana, kterou se snažím udělat byla účinná ale taky, abych tam nedával něco, co tam být nemusí.

Takže moje otázky k robotům:
- Je to tak, že někdo si např. uloží na svém počítači moji stránku – formulář, ten upraví podle svých potřeb, aby formulář zautomatizoval? Nebo je ještě jiná metoda?
- Do kterých částí kódu je schopen uživatel zasáhnout. Může to udělat třeba tak, že si přidá vlastní javascript a tento zautomatizovaný formulář potom směruje odeslání dat na moje stránky?

A teď co se chystám zavést jako ochranu pro svoje stránky. Nejdříve jsem uvažoval o tom, že před odeslání např. v diskusi bude dole políčko, které musí uživatel zaškrtnout. Pokud hacker může vytvořit vlastní javascript, pak taky může toto políčko automaticky najít a zaškrtnout. Ovšem, poklud vytvořím proměnlivý počet skrytých políček např. 4-8 a mezi nimi bude jedno viditelné, pak to tak jednoduché mít nebude. Musí zaškrtnout to správné, ale to ví jen vnější pozorovatel. Toto by se vypočítávalo ze vzorce platný pro daný den. Vypočítalo by se které políčko má být zaškrtnuté a které být nesmí. Pak jde o to, že hacker nesmí být schopen najít toto políčko ve skriptu. Takže bych to trochu zesložitil. Hned na začátku bych automaticky vytvořil css soubor, kde bude 4-8 tříd, pro každý prvek jiná s náhodným řetězcem, jen jeden bude pro ověřovací políčko. Tak by hacker neměl být schopen z kódu zjistit, která třída je visible, a které třídy jsou invisible. To ovšem předpokládá, že hacker není schopen při automatizaci javascriptem nahlédnout do css souboru - myslím číst z něj data automaticky.

Řekněte mi zda uvažuju správně a jestli to není zbytečně složité. Díky

A včem je to složité? Potřebuju vědět zda ten hacker může zjístit jaký jsem mu nastavil styl a zda může javascriptem zaškrtnout to políčko.

Omlouvám se za zpoždění, ale ještě se ozvu. Proč jsem volil zaškrtnout políčko místo opisování čísla? Jednak to méně otravuje a hlavně, když to člověk blbě opíše, třeba kvůli tomu že má problém se zrakem, tak ho to nebude obtěžovat. Abych se přiznal, opisovat GD čísla vyloženě nesnáším, obzvlášť když by se jednalo o ochranu při odesílání příspěvku do diskuse.

Děkuji všem přispívajícím. Jsou to zajímavé příspěvky. Dříve jsem si myslel, že jediná možná varianta je udělat to přes GD. Já se snažím použití GD vyhnout, protože si myslím, že existuje rychlejší řešení.

Varianta, která je použitá na těchto stránkách je zajímavá, i když jsem ji neviděl, neboť na tomto pc nemám oprávnění vypnout javascript. Ale pokud zavedete otázku typu „Kolik má rok dní“ nebo „Kolik dní má dnešní měsíc“, tak robot odpověď nezná a je to elegantní řešení. Tady v tom zdrojáku je input value=365 - ta hodnota toho políčka se pokaždé mění? Ale když je už předem vyplněna, tak nemá žádný smysl, ne?

Líbí se mi řešení, které představuje Joker. Akorád zde je třeba zase používat databázi a tabulku, která bude nějakou dobu ukládat sessions i nezaregistrovaných uživatelů. Ale je to komfortnější. Teď je otázka nakolik nastavit časový interval. V diskusi někdy odpovídám už za pár vteřin, když je příspěvek krátký, a nebo jenom okopíruji již předem připravený příspěvek, a to je jen pár vteřin (asi 4s). A co když někdo vyvine robota, který poběží na několika stránkách – navštíví deset stránek současně, na každé počká deset vteřin a pak odešle příspěvek, to by vyzrál :-) Nebo se spustí na více počítačích najednou, takže mu čekání vadit nebude :-)

Na té možnosti, co jsem vymyslel já se mi líbí to, že když robot zaškrtne nesprávná políčka, která uživatel nevidí, tak se data neuloží. Uživatel by nemusel nic opisovat, ani používat GD knihovnu, a dokonce ani databázi.

Jedna věc mi ještě vrtá hlavou. Pokud robot může vyplnit všechna políčka formuláře, pak může taky javascriptem zjistit, co je uvnitř zdrojáku a podle toho se přizpůsobit.

Šufánkovi
No, máš pravdu. Když někdo vypne CSS, tak jsem nahranej. Ale mohl bych to řešit tím, že nastavím výšku na 0. Např: <DIV style="height:0px"><INPUT tzpe-hidden></DIV>. Fungovalo by to?

Oprava:
<DIV style="height:0px"><INPUT type=checkbox></DIV>.

Jokere,
Session cookie si klient může upravit...