1. Скрипт будет просто летать на слабых машинках, это +
2. 10000 различных вариантов капчи (если я правильно посчитал... а я правильно посчитал), причем скорее всего у каждой свой md5. Перебираться такие варианты будут конечно миллион лет. Это +

md5 не используется никак.

А минусы? ))

Не могли бы Вы пояснить?

1) Я понимаю, работа gd нагружает сервер, но у меня используются джепеги вес каждого из которых чуть больше килобайта. Разве это дает сколь-нибудь ощутимую нагрузку?
2.1) Если мало вариантов, можно сделать не 4 цифры, а, скажем, 8. Или кроме цифр добавить буквы. Это уже вопрос десятый. Главное, что мне бы хотелось понять - насколько достоин существования сам алгоритм?
2.2) Что Вы имеете ввиду под "можно легко сравнить"?

2.1. чем больше цифр, тем сложнее, думаю это ясно всем. Тут надо найти компромисс между безопасностью и удобством для пользователя. А если еще и буквы в игре, то вообще хорошо.
2.2. Полагаю, что алгоритм соединения картинок в одну большую у Вас один и тот же. Тогда берем все Ваши картинки, составляем 10000 капч, вычисляем их md5. Затем на странице берем md5 вашей капчи и сравниваем со своими. Если подошла - капча разгадана.

Micahel, ничего. А разве против "этого" можно что-то сделать?
Waldicom, Вы меня простите, я возможно чего-то круто недопонимаю, но где и как Вы возьмёте хэш текущей капчи?

можно утяжелить грабберу отдачу картинки индусам, поглючить тоесть.

Michael
лишь не популярными мерами. Учитывая, что капча и так не популярная мера, ухудшать положение - явно не стоит. Лишь если будет волна спама от индусов. Там уже можно придумать очень много решений... Но для посетителя будет накладно.
А если это регистрация - то тут убрать капчу и заменить на подтверждение по мылу.

Waldicom - Да, мы говорим о возможности обойти такую капчу автоматически, что позволит роботу автоматически регистрироваться и спамить.
Чтобы получить хэш с картинки, Вам надо её своими глазами распознать. Взлом - уже не взлом, если для этого нужно работать своими глазами, правильно?
Я не пойму о чём Вы говорите.

Подтвеждение тоже давно обходится. Тут только свои изобретения помогают. А своими алгоритмами делиться - значит снижать эфективность.
Вот это задача для программиста, а не для кодера кстати.

Twin - мой алгоритм очень прост, адрес сайта я не давал, так что эффективность снижена едва ли
Чтоб мерзких постов не было, такая же капча легко прикручивается и к отправке сообщений (Конечно же только в том случае, если реально посыпется спам).

Waldicom - я так и не могу понять для чего тут может понадобится md5 при попытках обойти эту капчу.

Так о том и речь, что расковырять эту капчу - не велика задача. Если к ресурсу будет интерес, расковыряют за час и заспамят все подряд.

Скачают картинки, назовут 1.gif, 2.gif и так далее. Посчитают md5 хэш файлов, а потом будут сравнивать этот хэш с хэшем картинки на капче. Если они объединяются в одну - вариантов всего 10000 штук, так что ни первая часть аферы, ни вторая, затруднений не вызовут.

Twin,
а сколько раз нужно нажать F5, чтобы получить 10 тыщ разных рэндомных четырехзначных чисел, и чтобы в итоге получить все возможные хеши? По-моему ооочень долго.

Разве? Первое что в голову пришло - ставлю на крон скрипт, который полученные данные логирует. И по утру я читаю все комбинации.

twin

А если оберазать md5 хэш c помощью substr(); ?

Тогда по идее, роботами не заспамят .

Sender
Уменьшить количество вариантов. единственное что может действительно помочь это генерация случайного мусора на фоне. точки там запятые

Я не понимаю, что за блажь делать капчу из картинок. Ведь гораздо надежнее, проще и экономичнее использовать шрифты. Вот я себе так представляю твой вариант:

<?php 

    session_start();
	
	$_SESSION['key'] = rand(0, 9) . rand(0, 9) . rand(0, 9) . rand(0, 9);

    $d1 = imagecreatefromgif('./pic/'. $_SESSION['key'][0] .'.gif');
    $d2 = imagecreatefromgif('./pic/'. $_SESSION['key'][1] .'.gif');	
    $d3 = imagecreatefromgif('./pic/'. $_SESSION['key'][2] .'.gif');	
    $d4 = imagecreatefromgif('./pic/'. $_SESSION['key'][3] .'.gif');	
	
    $im = imagecreatetruecolor(276, 74);
	 
	imagecopy($im, $d1, 0, 0, 0, 0, 69, 74);
	imagecopy($im, $d2, 69, 0, 0, 0, 69, 74);	
	imagecopy($im, $d3, 138, 0, 0, 0, 69, 74);	
	imagecopy($im, $d4, 207, 0, 0, 0, 69, 74);		
	
    header('Content-type: image/gif'); 
    imagegif($im);

Вычислить md5 хэши картинок - не велика проблема.
Даже если взять не 10000 вариантов, а всего 500, то условно каждый 20-й запрос будет успешным.

Ты наверно плохо представляешь этот алгоритпм. Капча скачивается на свой сервак и от этой картинки функцией md5_file() берется хэш. Он пишется в базу свместе со значением. Потом просто берем капчу с формы и сравниваем с тем, что есть в базе. Попали - ура. Не попали - обновляем капчу и снова. 500 вариантов можно за час набить.

Чтобы этого было сделать невозможно, нужно пустить случайных помех:

<?php 


    session_start();
	
	$_SESSION['key'] = rand(0, 9) . rand(0, 9) . rand(0, 9) . rand(0, 9);

    $d1 = imagecreatefromgif('./pic/'. $_SESSION['key'][0] .'.gif');
    $d2 = imagecreatefromgif('./pic/'. $_SESSION['key'][1] .'.gif');	
    $d3 = imagecreatefromgif('./pic/'. $_SESSION['key'][2] .'.gif');	
    $d4 = imagecreatefromgif('./pic/'. $_SESSION['key'][3] .'.gif');	
	
    $im = imagecreatetruecolor(276, 74);
	 
	imagecopy($im, $d1, 0, 0, 0, 0, 69, 74);
	imagecopy($im, $d2, 69, 0, 0, 0, 69, 74);	
	imagecopy($im, $d3, 138, 0, 0, 0, 69, 74);	
	imagecopy($im, $d4, 207, 0, 0, 0, 69, 74);	
	
	$color = imagecolorallocate($im, 0, 0, 0);

    for($i = 0; $i < 5; $i++)	
	        imageline( 
                   $im,  
                   mt_rand(0, 100),  
                   mt_rand(0, 74),  
                   mt_rand(100, 276),  
                   mt_rand(0, 74),  
                   $color 
                   );
	
	
	header('Content-type: image/gif'); 
    imagegif($im);

Тогда хэшей будет не 10000, а на несколько порядков больше и операция потеряет смысл.


Однако такую капчу весьма несложно разобрать по пикселям. И тупо прочитать надпись. Чем меньше вариантов, тем проще. По этому лучше использовать заковыристый шрифт. А это мало того, что увеличит к-во вариантов, снизит ресурсоемкость:

<?php 

    session_start();
	
	$_SESSION['key'] = rand(0, 9) . rand(0, 9) . rand(0, 9) . rand(0, 9);
	
    $im = imagecreatetruecolor(170, 74);
    $bg = imagecolorallocate($im, 245, 242, 240);
	$color = imagecolorallocate($im, 0, 0, 0);	
	
	imagefill($im, 0, 0, $bg);	
    imagettftext($im, 50, 0, 10, 50, $color, '1.ttf', $_SESSION['key']); 	 
	
    for($i = 0; $i < 5; $i++)	
	        imageline( 
                   $im,  
                   mt_rand(0, 100),  
                   mt_rand(0, 74),  
                   mt_rand(100, 170),  
                   mt_rand(0, 74),  
                   $color 
                   );
	
	
	header('Content-type: image/gif'); 
    imagegif($im);

Теперь, если немного подумать, можно использовать не только цифры, но и буквы.
Эта борьба идет давно и такими простыми, как у тебя методами можно бороться только тогда, когда ты как индеец ДЖО никому не нужен. А если усложнять - неудобно юзеру. Поэтому думай, если что изобретешь - я первый на очереди.

Скрипт с шрифтом в аттаче на вс. случай.

Twin, спасибо большое за совет, особенно за наглядный!
Это не блажь, это "как умею" )) Как писал "у первых строках", я не профессионал в программировании.
Недостатки мне ясны. Но, думаю, логично будет начать с того как есть сейчас. Главное ведь - аудитория! Мало ли, может у меня и правда Джо окажется :) Сначала надо раскрутить форум, потом подождать пока возникнут проблемы со спамом (если возникнут), и только потом думать каким образом укреплять защиту. Наверное так.

Абсолютно верное решение.