Tod von Captcha und Passwort

Captcha (Completely Automated Public Turing Test to Tell Computers and Humans Apart) sollen automatisierte Zugriffe auf Webseiten, Formulare und Suchdienste durch Bots und Crawler verhindern oder zumindest erschweren. Sie zeigen Buchstaben- und Zahlenkombinationen oder verschwommene Bilder, die zumindest theoretisch nur von Menschen erkannt werden können. Captchas stellen allerdings die KI nicht vor allzu grosse Probleme. «Machine Learning wird bereits häufig zum Knacken von Captchas eingesetzt», beobachtet Max Heinemeyer. Bereits 2012 publizierten Claudia Cruz-Perez und ihre Kollegen von der Universidad de las Américas Puebla im mexikanischen Cholula eine KI-basierte Methode zur Captcha-Überwindung. Mit Hilfe der SVM-Methode (Support Vector Machine) liessen sich die Rätsel mit einer Erkennungsrate von 82 Prozent knacken. Durch den Einsatz von Deep Learning erhöhte sich der Erfolg sogar auf über 90 Prozent.

Ein weiteres Einsatzgebiet für KI könnte die automatisierte Erstellung von gefälschten Webadressen sein. Angreifer kreieren kontinuierlich neue Fake-URLs für ihre Phishing- und Malware-Kampagnen, die ebenso kontinuierlich geblockt werden. «2018 produzierten Kriminelle im Monat durchschnittlich 17 Millionen solcher bösartigen Adressen, die meist nur eine Lebensdauer von wenigen Minuten oder Stunden hatten», rechnet Rajarshi Gupta, Head of AI beim Sicherheitsanbieter Avast, vor.

Die Kriminellen stehen dabei nicht nur vor der Herausforderung, möglichst viele Domains in kurzer Zeit zu produzieren, sondern diese auch echt wirken zu lassen. «Zufällig aus Buchstaben und Zahlen zusammengewürfelte oder aus Wörterbucheinträgen generierte Domain-Names sind leicht zu erkennen», erklärt Gupta. «Der Einsatz von KI könnte zu realistischer klingenden URLs führen, die schwerer zu entdecken sind.»

Auch Bot-Netze liessen sich laut dem Avast-Experten effi­zienter betreiben. Traditionell nutzen Kriminelle bekannte Schwachstellen und Backdoors, etwa in IP-fähigen Überwachungskameras oder Routern, um Heimnetze und IoT-Umgebungen zu infizieren. Von diesen Einstiegspunkten aus scannen sie skriptbasiert das Inventar auf weitere Infektionsmöglichkeiten.