Google ReCaptchaについて不安な点はありますか？
ソフトウェアの推奨事項に関する この質問 では、OPは「セキュリティ上の理由から、外部サービスに依存したくない」ため、Google reCAPTCHAの代替を求めています。
私の知る限り、CAPTCHAをGoogleに要求して表示し、ユーザーの入力をGoogleに送信して、入力が正しいかどうかを伝えます。
起こりうる不安はどこにありますか？
Googleにユーザーのログイン、パスワード、d.b.b、銀行口座番号、その他の機密情報を送信するのとは異なります。
真に決心した攻撃者が中間者攻撃を使用できると思いますが、なぜですか？ CAPTCHAは通常、ボットではなく、ログイン認証情報ではないことを証明するために使用されます。
何か不足していますか？ OPは心配するのが正しいのですか、それとも、おそらくGoogleの安全性よりも安全であると思われる独自のシステムを実装しようとすることによって、自分自身に追加の作業を積み上げようとしているのでしょうか。
まあ、いくつかの懸念があるかもしれません：
- サービス拒否：Google reCaptchaシステムがダウンした場合、ユーザーはおそらく認証できなくなります。これは、システム全体を破壊する何らかの更新を実装した場合にも発生する可能性があります。
- 外部JavaScriptライブラリ：Google reCaptchaを使用する場合、 一部のJSライブラリ を含める必要があります。 GoogleがいくつかのXSS攻撃を実行したい場合は、XSS攻撃をはるかに簡単にしただけです。
- 追跡：誰かがreCaptchaの「同意」をクリックして Googleによって追跡される 。これは、ユーザーのプライバシーに影響を与えるだけでなく、Googleがウェブサイトのトラフィックを追跡する手段を提供する可能性があります。
ただし、 this answer で述べたように、彼らはおそらくあなたのウェブサイトを危険にさらすことよりも彼らの評判を重視しています。 「追跡」の問題になるとは思いませんが。
OPの質問からは明確ではありませんが、セキュリティ上の理由から、システム全体がサードパーティのネットワークと通信できない可能性があります。 OPは、サーバーと、場合によってはクライアントもGoogleやインターネット上のどこにも接続できないため、サーバー側に実装できるシステムが必要になる場合があります。インターネットに接続する必要がない場合のセキュリティ上の利点は広く知られています。
Egor Homakovのブログ によると：
- GoogleのreCAPTCHAは、以前のオンライン動作（Cookie）に基づくホワイトリストに依存しています。これにより、ボットのタスクが困難になることはありませんレガシーフローは引き続き利用可能で、古いOCRボットは古いものを認識し続けることができますCAPTCHA。
- 従来のchallenge/responseプロシージャをこのCookieホワイトリストで置き換えると、サービス全体が clickjacking による攻撃に対して脆弱になります。