Connexion
Abonnez-vous

Snapchat met en place un système anti-spam… contourné en 30 minutes

Touristes

Snapchat met en place un système anti-spam... contourné en 30 minutes

Le 23 janvier 2014 à 12h57

Snapchat n'arrive pas à se sortir de ses problèmes récurrents autour de la sécurité de son service de messagerie instantanée. Hier, la société mettait en place un système pour éviter le spam apparu dernièrement. Un système qui a été contourné en quelques minutes seulement.

Snapchat Ghost

Pour lutter contre le spam, rien de tel que la chasse aux fantômes

Les dernières semaines pour Snapchat ont été particulièrement tendues, voire difficiles. 4,6 millions de comptes utilisateurs ont été exposés juste avant le réveillon de Noël à cause de la fonction de recherche d'amis contenue dans ses applications Android et iOS. La société a communiqué autour du problème, s'est excusée, avant de mettre à jour ses applications. Mais, comme nous le rapportions il y a quelques jours, certains membres se sont  plaints de l'arrivée massive de spam. 

 

Hier la société ajoutait une solution pour limiter l'apparition de bots cachés lors de la création de nouveaux comptes. Pour ce faire, elle a mis en place un système de captcha basé sur des dérivés de son logo. Il faut sélectionner les images contenant un fantôme parmi les neuf proposées.

Une demi-heure et 100 lignes de code plus tard...

Oui mais voilà, Steven Hickson explique sur son blog comment contourner cette protection. Pire, il ajoute que cela lui a pris moins de 30 minutes pour générer le script nécessaire, pour qu'une machine puisse remplacer un homme dans l'interprétation du captcha. Histoire d'achever le travail, il a même publié sur ce dépôt GitHub le code qu'il a développé pour casser la sécurité mise en place par Snapchat...

 

Au final, on ne sait que trop penser de cette société qui semble bien vouloir... mais qui se prend finalement les pieds dans le tapis à chaque fois. Non seulement elle résout les problèmes en prenant son temps, mais en plus, des failles apparaissent très rapidement ensuite.

Commentaires (62)

Vous devez être abonné pour pouvoir commenter.

Abonnez-vous
votre avatar







WereWindle a écrit :



je sais que la boite accumule les bizarrerie mais là tu souhaites sa mort <img data-src=" />







Et derrière, un service mieux pensé type Cryptocat rafle la mise. niark niark niark.





(Oui, je rêve <img data-src=" />)


votre avatar







Khalev a écrit :



Par exemple :




  • Pour décrire l’élément à trouver il va y avoir une phrase @la con du type : “Trouver le petit être vaporeux blanc”

  • tu cherches dans une KB l’entité qui est en relation avec à la fois vaporeux, être et qui appartient aux images que tu connais de chez snapchat

  • tu trouves que c’est un fantôme, ensuite t’as juste à rechercher le ou les images de fantômes utilisées par snapchat et voilou.







    Cet instant magique où on se rend compte qu’il faut avoir un peu d’entrainement à professeur Layton pour utiliser Snapchat <img data-src=" />


votre avatar







Nithril a écrit :



En jouant déjà avec la couleurs du fantôme, la manière dont il est incrusté (mélange de couleur…) puis enfin sa taille et sa forme, associé à des insertions d’autres objets (des pommes, des poires…) il aurait rendu la détection bien plus compliquée et tout aussi fun





C’est pas vraiment mon domaine mais quand je vois la difficulté qu’on a atteint pour les captcha normaux, je pense pas que ça posera trop de problèmes.



Le fait d’insérer d’autres objets ne change rien, il suffit de connaître l’objet à chercher.


votre avatar







ExIcarus a écrit :



Cet instant magique où on se rend compte qu’il faut avoir un peu d’entrainement à professeur Layton pour utiliser Snapchat <img data-src=" />





C’est pour ça que je donne la façon pour que ton téléphone le fasse pour toi. On n’a pas tous joué au professeur Layton.


votre avatar







ExIcarus a écrit :



Cet instant magique où on se rend compte qu’il faut avoir un peu d’entrainement à professeur Layton pour utiliser Snapchat <img data-src=" />







Ah bin voilà, les designers de Point & Click devraient pouvoir ce reconvertir dans la sécurité informatique <img data-src=" />


votre avatar







Kotegaeshi a écrit :



Euh, vous êtes sûrs que Hickson a 16 ans ? Non parce que d’après son profil, ça voudrait dire qu’il est entré à l’université à 11 ans.





Il a effectivement 24ans et non 16, et sort d’une école d’ingé où il s’est notamment spécialisé en traitement d’image. Et vu le complexité du captcha ça allait pas chercher bien loin en terme d’algo.

Voila voila.


votre avatar







Khalev a écrit :



C’est pas vraiment mon domaine mais quand je vois la difficulté qu’on a atteint pour les captcha normaux, je pense pas que ça posera trop de problèmes.



Le fait d’insérer d’autres objets ne change rien, il suffit de connaître l’objet à chercher.







Cela créé plus de faux positifs, surtout si tu utilises des objets ayant une forme similaire (ie. pommes, poires)


votre avatar







Nithril a écrit :



Cela créé plus de faux positifs, surtout si tu utilises des objets ayant une forme similaire (ie. pommes, poires)





Ouai enfin faut aussi que les utilisateurs puissent les différencier. <img data-src=" />

Plus sérieusement :

T’aurais des exemple de réalisation comme ça pour tromper un bot? Histoire que je me rende compte de la difficulté.



Parce que les captcha ont beau être difficile à lire c’est pas pour autant que ça bloque les pirates. (ça limite mais ça ne bloque pas)


votre avatar







Nithril a écrit :



Cela créé plus de faux positifs, surtout si tu utilises des objets ayant une forme similaire (ie. pommes, poires)







Il y a plein de solutions possibles avec les images, mais aucune n’est très sécurisé.

Ils aurait tout aussi bien pu créer un matrice de taille aléatoire avec des séparations non linéaires et des images de taille différentes plutôt que d’utiliser un simple 3*3.

Cela aurait tenu 1h au lieu de 30 min <img data-src=" />



Pour tout ceux qui parle de sécurité avec des captcha, je vous invite à visiter ce site



Les énigmes peuvent être efficaces si la base de données est conséquente. Après il faut être réaliste, du point de vue utilisateur cela est trop lourd et doit nuire à la société.



Le plus gros problème de Snapchat est qu’ils ont communiqué sur leur sécurité soit disant au top. Et du coup tout le monde cherche la petite bête.



votre avatar







romjpn a écrit :



16 ans<img data-src=" />.

A 16 ans je faisais du HTML tout simple xD.







Moi à 16 ans, l’informatique n’existait pas encore, enfin, les TO7 venaient juste de sortir.

Par contre, jamais une mobylette et des filles sur le porte-bagage.

Je ne regrette rien. <img data-src=" />


votre avatar







Antwan a écrit :



Il a effectivement 24ans et non 16, et sort d’une école d’ingé où il s’est notamment spécialisé en traitement d’image. Et vu le complexité du captcha ça allait pas chercher bien loin en terme d’algo.

Voila voila.





Ça c’est ce qu’il dit pour pouvoir acheter de l’alcool et rentrer en boîte <img data-src=" />


votre avatar







Hebus25 a écrit :



Il y a plein de solutions possibles avec les images, mais aucune n’est très sécurisé.

Ils aurait tout aussi bien pu créer un matrice de taille aléatoire avec des séparations non linéaires et des images de taille différentes plutôt que d’utiliser un simple 3*3.

Cela aurait tenu 1h au lieu de 30 min <img data-src=" />



Pour tout ceux qui parle de sécurité avec des captcha, je vous invite à visiter ce site



Les énigmes peuvent être efficaces si la base de données est conséquente. Après il faut être réaliste, du point de vue utilisateur cela est trop lourd et doit nuire à la société.



Le plus gros problème de Snapchat est qu’ils ont communiqué sur leur sécurité soit disant au top. Et du coup tout le monde cherche la petite bête.







Aucune solution n’est en soit sure. Par contre le croisement de solutions permet de limiter la casse.



votre avatar







SFX-ZeuS a écrit :



Oui enfin 100 lignes de code tout est relatif le gros du job est fait par une fonction d’open cv.





Oui, enfin encore faut-il connaître, et savoir l’utiliser… <img data-src=" />


votre avatar







Fantassin a écrit :



Moi à 16 ans, l’informatique n’existait pas encore, enfin, les TO7 venaient juste de sortir.

Par contre, jamais une mobylette et des filles sur le porte-bagage.

Je ne regrette rien. <img data-src=" />





Ben moi à 16 ans, je, euh ben non, je ne foutais rien en fait à 16 ans <img data-src=" />


votre avatar







maxxyme a écrit :



Oui, enfin encore faut-il connaître, et savoir l’utiliser… <img data-src=" />





S’il sort d’école d’ingé traitement d’image je dirais que c’est limite un exo qu’ils auraient pu faire pour expliquer l’utiliser l’utilisation de la bibliothèque.


votre avatar







FunnyD a écrit :



Ben moi à 16 ans, je, euh ben non, je ne foutais rien en fait à 16 ans <img data-src=" />



comme maintenant d’ailleurs, non? <img data-src=" />


votre avatar







Khalev a écrit :



S’il sort d’école d’ingé traitement d’image je dirais que c’est limite un exo qu’ils auraient pu faire pour expliquer l’utiliser l’utilisation de la bibliothèque.







J’iamgine bien le prof en TP:





  • Bon les gars, aujourd’hui on va péter le filtre anti-spam de snapchat

  • et demain ?

  • On pète le messenger de Facebouque et on force un contrôle orthographique ! S’il y a une faute le message s’efface et faut le retaper

  • On va sauver la jeunesse !





    <img data-src=" />


votre avatar







CryoGen a écrit :



J’iamgine bien le prof en TP:





  • Bon les gars, aujourd’hui on va péter le filtre anti-spam de snapchat

  • et demain ?

  • On pète le messenger de Facebouque et on force un contrôle orthographique ! S’il y a une faute le message s’efface et faut le retaper

  • On va sauver la jeunesse !





    <img data-src=" />





    <img data-src=" /><img data-src=" />


votre avatar







Patch a écrit :



comme maintenant d’ailleurs, non? <img data-src=" />



<img data-src=" />

La j’me prends la tête sur des budgets <img data-src=" />


votre avatar







CryoGen a écrit :



J’iamgine bien le prof en TP:





  • Bon les gars, aujourd’hui on va péter le filtre anti-spam de snapchat

  • et demain ?

  • On pète le messenger de Facebouque et on force un contrôle orthographique ! S’il y a une faute le message s’efface et faut le retaper

  • On va sauver la jeunesse !





    <img data-src=" />





    Non ça c’est master sécurité& cryptographie <img data-src=" />



    Mais bon trouver une image dans une autre image ça m’étonnerait pas que ça soit un truc “de base” en traitement d’image.


votre avatar

il vont bien pleurer car leur boite ne vaut plus rien maintenant que tout le mode sais que c’est coder avec les pieds



y’a plus qu’à reprendre le concept, l’améliorer et bouffer cette boite….<img data-src=" />

votre avatar







maxxyme a écrit :



Oui, enfin encore faut-il connaître, et savoir l’utiliser… <img data-src=" />







Il suffit de s’être un petit peu intéressé à la réalité augmenté, sujet tout de même bien à la mode.


votre avatar







Khalev a écrit :



Non ça c’est master sécurité& cryptographie <img data-src=" />



Mais bon trouver une image dans une autre image ça m’étonnerait pas que ça soit un truc “de base” en traitement d’image.





réponse du NCIS :





Abby a écrit :



Pfff, c’est super facile, attends je lance mon analyse adn et mon spectromeetre de masse pour trouver d’ou vient la terre qu’on a retrouvé dans l’anus soyeux du suspect et aprés je te donne la couleur des yeux de la personne au 8 éme plan de la videosurveillance en N&B que tu m’as refilé hier soir



votre avatar

Je suis un programmeur de bas étage mais j’ai déjà plein d’idée pour contourner cette “protection” lol.

votre avatar







Khalev a écrit :



Non ça c’est master sécurité& cryptographie <img data-src=" />



Mais bon trouver une image dans une autre image ça m’étonnerait pas que ça soit un truc “de base” en traitement d’image.







Je confirme! Les TPs sont plus sérieux quand même, c’est genre trouver les yeux dans les photos, qui se termine en trouver les tetons…. <img data-src=" />



votre avatar







Nithril a écrit :



Je confirme! Les TPs sont plus sérieux quand même, c’est genre trouver les yeux dans les photos, qui se termine en trouver les tetons…. <img data-src=" />







Et si tes profs respectent la tradition tu fais ça avec la photo de Lena <img data-src=" />


votre avatar







FunnyD a écrit :



<img data-src=" />

La j’me prends la tête sur des budgets <img data-src=" />



toutes mes condoléances… j’ai réussi à échapper à ca en fin d’année dernière, après en avoir bouffé pendant 2 mois <img data-src=" />

(maintenant je me prends la tête avec les fonctionnaires qui savent pas utiliser un PC <img data-src=" /> )


votre avatar







Khalev a écrit :



En fait leur recherche d’image ne sert à rien niveau protection. Il ferait mieux de trouver un système d’“énigmes” à résoudre (du genre : 2 pommes + 2 canards, ça fait combien de canard à l’orange?)





Heu ça fait 2 canards aux pommes donc zéro canard à l’orange ?



Damn même moi je ne suis pas sûr de la réponse <img data-src=" />



Signé : Konrad à l’orange


votre avatar







dam1605 a écrit :



Et si tes profs respectent la tradition tu fais ça avec la photo de Lena <img data-src=" />





lena.jpg <img data-src=" />


votre avatar

Une société dans laquelle n’accorder aucune confiance.

Si j’avais cette application, je la désinstallerais.

votre avatar

Ouep ben j’ai supprimé mon compte snapchat, le tuto ici &gt; http://www.comment-supprimer.com/son-compte-snapchat/

votre avatar







Nithril a écrit :



Moi je faisais de l’assembleur… Tout se perd!!!!





<img data-src=" />


votre avatar

Respect à l’ado de 16 qui code en C++ et qui utilise OpenCV <img data-src=" />

votre avatar

Trop forts Snapchat.



En fait c’est codé avec les pieds par des ados qui se permettent de refuser un rachat à 3 milliards de leur… logiciel troué!



Y a pas à dire, ils sont couillus! <img data-src=" />

votre avatar

Moins de 100 lignes de code.

Joli.

votre avatar

c’est sure qu’il ne faut pas prendre le premier Snapchat mais un réellement efficace

votre avatar

Snapchat va se bouffer les doigts d’avoir refusé les offres de rachat …

votre avatar



Notez enfin que si vous souhaitez un client de messagerie, vous pouvez accéder à notre dossier dédié.



Il dit qu’il voit pas le rapport..

votre avatar

16 ans<img data-src=" />.

A 16 ans je faisais du HTML tout simple xD.

votre avatar

Ce serait pas mal d’évoquer vite fait la technique de contournement utilisée aussi…

votre avatar







romjpn a écrit :



16 ans<img data-src=" />.

A 16 ans je faisais du HTML tout simple xD.





Et moi je jouais à age of empire <img data-src=" />


votre avatar







romjpn a écrit :



16 ans<img data-src=" />.

A 16 ans je faisais du HTML tout simple xD.









uzak a écrit :



Et moi je jouais à age of empire <img data-src=" />







Perso, je picolais comme un trou <img data-src=" /> <img data-src=" />





<img data-src=" /> <img data-src=" />


votre avatar

Moi je faisais de l’assembleur… Tout se perd!!!!

votre avatar

Oui enfin 100 lignes de code tout est relatif le gros du job est fait par une fonction d’open cv.

votre avatar

je faisais du basic, sur casio :p

votre avatar

Le lien vers un dossier pour les abonnés dans un article pour tout le monde… Je suis parano en pensant que c’est volontaire ? J’espère parce que je trouve ça bof.



Sinon c’est clair que vu leurs images, c’est pas bien compliqué de programmer un robot qui analyse ça. Même un bête texte déformé mélangé avec une texture aléatoire est sans aucun doute plus compliqué à analyser (même si depuis le temps que c’est utilisé, des algos existent aussi).

votre avatar

La banque d’image est trop restreinte.

Le motif de recherche ne change pas et est vraiment facile à détecter



bref l’histoire d’un fail

votre avatar







uzak a écrit :



Ce serait pas mal d’évoquer vite fait la technique de contournement utilisée aussi…





En gros:

Il a une image du fantôme, une image de l’écran.



Il découpe l’image de l’écran en 9 partie et repère dans quelles parties il retrouve l’image du fantôme.



Le problème c’est que le motif à chercher est toujours le même. Mais même s’ils en utilisent plusieurs, il faut trouver un moyen d’empêcher que ça soit trop simple de savoir la forme à trouver.

On pourrait penser à des énigmes, mais elles seront rapidement répertoriées aussi…



En fait leur recherche d’image ne sert à rien niveau protection. Il ferait mieux de trouver un système d’“énigmes” à résoudre (du genre : 2 pommes + 2 canards, ça fait combien de canard à l’orange?)au moins ça sera un poil plus long à coder. Mais faut se renouveller souvent aussi, sinon les énigmes seront recensées avec leurs solution à la mano et stockées dans une BDD et basta.


votre avatar







SFX-ZeuS a écrit :



Oui enfin 100 lignes de code tout est relatif le gros du job est fait par une fonction d’open cv.





Ouai à mon époque si on voulait faire ce qu’il a fait il fallait coder les fonctions d’analyse d’image à la mano…



Mais l’utilisation qu’il a fait d’OpenCV est bien pensée, au final c’est ça qui est important en informatique.


votre avatar







Khalev a écrit :



En fait leur recherche d’image ne sert à rien niveau protection. Il ferait mieux de trouver un système d’“énigmes” à résoudre (du genre : 2 pommes + 2 canards, ça fait combien de canard à l’orange?)au moins ça sera un poil plus long à coder. Mais faut se renouveller souvent aussi, sinon les énigmes seront recensées avec leurs solution à la mano et stockées dans une BDD et basta.





le souci de la méthode par énigme, c’est que le cœur de cible c’est des ados <img data-src=" />


votre avatar

Faut qu’ils mettent une vraie captcha pas belle mais fonctionnelle <img data-src=" /> .

votre avatar

Euh, vous êtes sûrs que Hickson a 16 ans ? Non parce que d’après son profil, ça voudrait dire qu’il est entré à l’université à 11 ans.



Damien a peut-être pris cet article -http:///www.washingtonpost.com/blogs/the-switch/wp/2014/01/22/the-16-year-old-ki… - comme source et confondu avec Graham Smith, qui, lui, est un lycéen de 16 ans.



Edit : décidément, je n’arrive pas à faire des liens hypertextes sur PCI.

votre avatar







frikakwa a écrit :



Trop forts Snapchat.



En fait c’est codé avec les pieds par des ados qui se permettent de refuser un rachat à 3 milliards de leur… logiciel troué!



Y a pas à dire, ils sont couillus! <img data-src=" />







Moi ce qui me désole le plus, c’est quand j’entends mon petit cousin de 18 ans me dire : “mais arête d’être parano avec la vie privée, c’est pas comme Facebook ou Twitter, les Snaps ont un timeout que tu définit toi même”.



<img data-src=" /> <img data-src=" />



Pas moyen de lui faire comprendre que si c’est envoyé sur Internet, c’est public.



J’ai l’impression que là ou les générations précédentes ne maitrisaient pas l’outil informatique et s’en méfiaient, les digital natives ne le maitrise pas plus, mais lui font une confiance aveugle. Et ça va surement leur retomber sur la gueule un jour ou l’autre.


votre avatar







venery a écrit :



La banque d’image est trop restreinte.

Le motif de recherche ne change pas et est vraiment facile à détecter



bref l’histoire d’un fail





Les images ne servent à rien surtout niveau protection, comme on peut le voir il suffit de 100 lignes pour coder une fonction pour trouver n’importe quelle image dans une autre. Du coup la difficulté résidera dans l’identification de l’image à trouver. Mais en se limittant à leur banque d’image (aussi variée soit-elle) snapchat limite les réponses à trouver.

Il suffit en amont de connecter le programme avec une KB (knowledge base) quelconque et tu peux tester toutes les associations des thèmes des images avec les mots clés de la phrase.



Par exemple :




  • Pour décrire l’élément à trouver il va y avoir une phrase @la con du type : “Trouver le petit être vaporeux blanc”

  • tu cherches dans une KB l’entité qui est en relation avec à la fois vaporeux, être et qui appartient aux images que tu connais de chez snapchat

  • tu trouves que c’est un fantôme, ensuite t’as juste à rechercher le ou les images de fantômes utilisées par snapchat et voilou.



    Il ferait mieux d’abandonner l’idée des images, mettre un bon vieux captcha ou des énigmes toutes bêtes comme on trouve sur certains site. Ça demandera au minimum plus de travail à contourner.


votre avatar







romjpn a écrit :



Faut qu’ils mettent une vraie captcha pas belle mais fonctionnelle <img data-src=" /> .









Bah le soucis c’est que le captcha ferait chier les utilisateurs et les bots , alors que celui-ci n’embête visiblement que les utilisateurs <img data-src=" />.


votre avatar







ExIcarus a écrit :



Bah le soucis c’est que le captcha ferait chier les utilisateurs et les bots , alors que celui-ci n’embête visiblement que les utilisateurs <img data-src=" />.







<img data-src=" /><img data-src=" />


votre avatar







ExIcarus a écrit :



Bah le soucis c’est que le captcha ferait chier les utilisateurs et les bots , alors que celui-ci n’embête visiblement que les utilisateurs <img data-src=" />.





+1 je passe pour un bot une fois sur trois à peu près <img data-src=" />


votre avatar







dematbreizh a écrit :



je faisais du basic, sur casio :p





je mettait debian sur ma ti-92 avec un leger oc du cpu de cette derniere <img data-src=" />


votre avatar







Tah82 a écrit :



Pas moyen de lui faire comprendre que si c’est envoyé sur Internet, c’est public.





Ça dépend, avec une vrai méthode d’échange de clé, de chiffrement et de “forward secrecy” directement entre les 2 partenaires on peut se retrouver avec une qui certe passe sur le net mais reste secrète tant que le chiffrement en lui-même n’est pas cassé (modulo la taille de clé et la puissance de calcul disponible).



Mais je sais pas pourquoi, j’ai du mal à penser que snapchat soit allé aussi loin niveau sécurité…

Bon courage dans ton combat cependant. Moi j’ai préféré donner des cours sur le fonctionnement du PC+Internet à mon beau-frère, du coup les messages sur la vie privée et les problèmes avec le pseudonymat sur internet passent plus facilement.


votre avatar







Khalev a écrit :



Les images ne servent à rien surtout niveau protection, comme on peut le voir il suffit de 100 lignes pour coder une fonction pour trouver n’importe quelle image dans une autre. Du coup la difficulté résidera dans l’identification de l’image à trouver. Mais en se limittant à leur banque d’image (aussi variée soit-elle) snapchat limite les réponses à trouver.

Il suffit en amont de connecter le programme avec une KB (knowledge base) quelconque et tu peux tester toutes les associations des thèmes des images avec les mots clés de la phrase.



Par exemple :




  • Pour décrire l’élément à trouver il va y avoir une phrase @la con du type : “Trouver le petit être vaporeux blanc”

  • tu cherches dans une KB l’entité qui est en relation avec à la fois vaporeux, être et qui appartient aux images que tu connais de chez snapchat

  • tu trouves que c’est un fantôme, ensuite t’as juste à rechercher le ou les images de fantômes utilisées par snapchat et voilou.



    Il ferait mieux d’abandonner l’idée des images, mettre un bon vieux captcha ou des énigmes toutes bêtes comme on trouve sur certains site. Ça demandera au minimum plus de travail à contourner.







    En jouant déjà avec la couleurs du fantôme, la manière dont il est incrusté (mélange de couleur…) puis enfin sa taille et sa forme, associé à des insertions d’autres objets (des pommes, des poires…) il aurait rendu la détection bien plus compliquée et tout aussi fun


votre avatar







WereWindle a écrit :



le souci de la méthode par énigme, c’est que le cœur de cible c’est des ados <img data-src=" />







Justement… <img data-src=" />



<img data-src=" />


votre avatar







John Shaft a écrit :



Justement… <img data-src=" />



<img data-src=" />





je sais que la boite accumule les bizarrerie mais là tu souhaites sa mort <img data-src=" />


Snapchat met en place un système anti-spam… contourné en 30 minutes

  • Pour lutter contre le spam, rien de tel que la chasse aux fantômes

  • Une demi-heure et 100 lignes de code plus tard...

Fermer