Schein und Sein eines Captchas
Wie leicht man ein Rechen-Captcha durch Raten löst

Captcha ist ein englisches Kurzwort und steht für vollautmatischer öffentlicher Turingtest zur Unterscheidung von Computern und Menschen. Das mag kompliziert klingen, meint aber etwas, das fast jeder Nutzer des weltweiten Netzes kennt – zum Beispiel in Form eines kleinen Bildes mit verschwommenen Zeichen, die beim Registrieren auf einer Netzpräsenz in ein Textfeld übertragen werden müssen.

In der Annahme, nur Menschen seien in der Lage, die Aufgabe zu lösen, werden Captchas als Hürde gegen Computerprogramme eingesetzt, welche im Netz mit dem Verbreiten von Werbung oder anderweitig nerven und schaden. Doch die Tauglichkeit von Captchas wird oft überschätzt. Ich möchte das an einem Rechen-Captcha demonstrieren, das eine Welle von Spämkommentaren in der digitalen Bildergalerie eines Bekannten nicht unterbinden konnte.

Captcha mit Rechenaufgabe

Auf den ersten Blick mag das Captcha geeignet erscheinen, Menschen und Maschinen zu trennen. Da steht in einem kleinen Bild blau auf weißem Grund eine Rechenaufgabe, deren Identifizierung von blauen Punkten und Linien erschwert wird.¹ Ein automatisches Programm müsste nicht nur der Störungen zum Trotz die Rechenaufgabe erkennen, sondern auch noch lösen können, oder …?²

Bei näherer Betrachtung der Captcha-Bilder fällt auf:

1. Jedes Bild stellt eine Rechnung mit zwei Zahlen dar.
2. Die erste Zahl stammt aus dem Bereich 1 bis 10.
3. Die zweite Zahl stammt aus dem Bereich 1 bis 5.
4. Beim Operator handelt es sich um ein Plus-, Minus- oder Malzeichen.
5. Das Ergebnis ist immer positiv.
6. Subtraktionen kommen seltener als Additionen und Multiplikationen vor.

Ich gehe davon aus, dass die ersten fünf Beobachtungen tatsächlich Grundlage des Captcha-Systems sind und die jeweiligen Zahlen sowie Operationen möglichst gleich häufig auftreten sollen. Bei der Subtraktion würden bei einer gleichverteilten Häufigkeit der Zahlen allerdings auch negative Ergebnisse und null herauskommen. Wenn in diesen Fällen das Captcha neu berechnet wird, erklärt das die sechste Beobachtung.³

Lösung raten

Mit den fünf Regeln erkennt man schnell, dass das Captcha nur ganzzahlige Lösungen zwischen 1 × 1 = 1 und 10 × 5 = 50 haben kann. Das bedeutet, dass es maximal fünfzig Lösungen gibt. Man könnte also zufällig eine Zahl aus diesem Bereich wählen und hoffen, dass man richtig liegt. Aber es geht noch viel besser. Aus dem Zahlenbereich kommen manche Zahlen nämlich gar nicht und andere recht häufig unter den Lösungen vor, wie eine vollständige Analyse zeigt …

Addition

In der folgenden Tabelle sind links alle möglichen ersten Zahlen 1 bis 10 und oben alle möglichen zweiten Zahlen 1 bis 5 des Captchas aufgeführt. In der Tabelle steht das Ergebnis der Addition der jeweiligen Zahlen – also die Lösung für den Fall, dass im Captcha ein Pluszeichen steht.

Unter den 50 Additionen kommen die Zahlen 6, 7, 8, 9, 10 und 11 jeweils ganze fünfmal als Lösung vor. Es gibt hier keine Lösungen über 15.

Subtraktion

Nun die entsprechende Tabelle für die Subtraktion.

Unter 35 Subtraktionen kommen die Zahlen 1, 2, 3, 4 und 5 jeweils fünfmal als Lösung vor. Fünfzehn Tabellenfelder bleiben frei, weil das Ergebnis kleiner 1 wäre und in diesem Fall das Captcha neu generiert wird, bis eine Aufgabe mit positivem Ergebnis gefunden ist.

Multiplikation

Zu guter Letzt die Multiplikationstabelle:

Bei 50 Multiplikationen sind die Zahlen 4, 6, 8, 10, 12 und 20 als häufigste dreimal unter den Lösungen vertreten. Alle Operationen zusammengenommen, tauchen bei 135 möglichen Rechenaufgaben nur 30 verschiedene Lösungen auf.

Wahrscheinlichkeiten

Die folgende Tabelle listet links alle möglichen Lösungen des Captchas auf. Wie oft jede vorkommt, fasse ich in dieser Tabelle noch einmal zusammen. In der letzten Spalte findet sich gerundet, mit welcher Wahrscheinlichkeit die jeweilige Lösung im Captcha auftritt. Die Wahrscheinlichkeit berechnet sich als Vorkommen bei allen drei Operationen geteilt durch 135, die Anzahl der möglichen Rechenaufgaben.

Das wahrscheinlichste Resultat ist 6. Wer das Captcha durch Raten knacken will, ist mit dieser Zahl bestens bedient. Eine Wahrscheinlichkeit von 0,08888… bedeutet, dass man in rund einem von elf Fällen richtig liegt, ohne das Captcha anzuschauen. Das ist eine hervorragende Quote für ein automatisches Spämprogramm, welches es ja wiederholt versuchen kann.