security - reCAPTCHA即使对于两个不正确的单词也可以验证为有效

Question

为了给我的问题提供背景，我将Vanilla Forums用于我运行的网站。 Vanilla论坛附带了对使用reCAPTCHA来认证网站上新注册的身份的支持，该功能已启用。但是，最近在我的论坛上，我看到垃圾邮件注册激增(明显的“垃圾邮件”用户名，使用的电子邮件地址相同，等等)。

我调查了一下，以尝试验证垃圾邮件通过reCAPTCHA验证的方式。我知道在reCAPTCHA中，one of the words is known by the system and the other isn't，所以it is possible that a form submit might validate even if one incorrect word is entered。

因此，我通过输入无效的reCAPTCHA输入，尝试了我网站上注册表中的一些内容。我找到...

如果每个单词输入的字符数正确

为两个单词输入的答案都正确输入，除了一个字符

...没有引发reCAPTCHA错误。

我认为这个问题也不是仅限于 Vanilla 论坛。当您使用 demo page for reCAPTCHA时，请自己尝试。输入两个单词，正确的字符数，但单词本身由一个字符隔开-具有“相似”外观的字符(例如，用“a”代替“d”，用“v”代替“w”)。

Vanilla的reCAPTCHA实现是否存在问题，还是reCAPTCHA本身是已知问题？ (您可以 test Vanilla's registration form here。)

可能相关: Has reCaptcha been cracked / hacked / OCR'd / defeated / broken?

Answer 1

只是found the answer in the reCAPTCHA wiki:

On the verification word, reCAPTCHA intentionally allows an "off by one" error depending on how much we trust the user giving the solution. This increases the user experience without impacting security. reCAPTCHA engineers monitor this functionality for abuse.