컴퓨터와 사람을 구분하기 위한 수단인 캡차는 광고, 스팸 메일, DDoS 등의 공격을 하는 자동화된 봇을 막기 위해 널리 사용되고 있다. 초창기에는 문자가 출력된 이미지를 왜곡시켜 이를 컴퓨터가 식별하기 어렵도록 하는 방식이 주로 사용되었지만, 이러한 방법들은 인공지능 기법이나 이미지 처리 기법으로 쉽게 무력화 될 수 있음이 여러 연구들을 통해 밝혀졌다. 그러한 이유에서 문자 기반 캡차의 대안으로 이미지를 사용하는 캡차가 주목받게 되었고 그에 따라 여러 가지 형태의 이미지 기반 캡차가 제안되었다. 하지만 텍스트 기반 캡차보다 높은 보안성을 제공하기 위해서는 많은 양의 소스 이미지가 필요하였다. 이에 따라 강전일(2008) 등은 소규모의 이미지 데이터베이스를 이용한 이미지 기반 캡차를 제안하였다. 이 캡차는 사용자 실험을 통해 현재 널리 사용되는 문자 기반 캡차에 비해 사용자 편의성을 보였지만, 아직 안전성이 검증되지 않았다. 이 논문에서는 강전일(2008)등이 제안한 복수의 이미지를 합성하여 사용하는 캡차를 실제로 공격해봄으로써 해당 캡차의 안전성을 검증해 보았다.
CAPTCHAs(Completely Automated Public Turing tests to tell Computer and Human Apart) have been widely used for preventing the automated attacks such as spam mails, DDoS attacks, etc.. In the early stages, the text-based CAPTCHAs that were made by distorting random characters were mainly used for frustrating automated-bots. Many researches, however, showed that the text-based CAPTCHAs were breakable via AI or image processing techniques. Due to the reason, the image-based CAPTCHAs, which employ images instead of texts, have been considered and suggested. In many image-based CAPTCHAs, however, the huge number of source images are required to guarantee a fair level of security. In 2008, Kang et al. suggested a new image-based CAPTCHA that uses test images made by composing multiple source images, to reduce the number of source images while it guarantees the security level. In their paper, the authors showed the convenience of their CAPTCHA in use through the use study, but they did not verify its security level. In this paper, we verify the security of the image-based CAPTCHA suggested by Kang et al. by performing several attacks in various scenarios and consider other possible attacks that can happen in the real world.
