Първо прочетете QR кода, не го сканирайте

Това е нужно в две ситуации: предстои да сканирате код, на който нямате пълно доверие, или предстои да отпечатате код, генериран другаде. Същата техника помага и в двата случая.

Стъпка 1 — Прочетете съдържанието, вместо да го отваряте

QR кодът съдържа текст. Скenerът декодира този текст и веднага изпълнява действието — отваря URL адреса, свързва се с Wi-Fi мрежата, започва разговор. Декодерът декодира същия текст и просто го показва. Тази разлика е целият ви запас от безопасност.

Снимайте кода или направете екранна снимка и декодирайте изображението с нашия QR четец. Той работи изцяло в браузъра ви: изображението никога не се качва и нищо не се отваря. Получавате необработеното съдържание като текст.

Стъпка 2 — Определете вида на съдържанието

QR съдържанието следва разпознаваеми формати. Прочетете началото, за да разберете какво би направил скенерът.

Нашите страници за типовете описват всеки формат, ако искате да видите как изглежда легитимният вариант: Wi-Fi, vCard, имейл, телефон, обикновен текст.

Стъпка 3 — Преценете домейна

При URL съдържание важен е домейнът — прочетете го отдясно наляво до първата единична наклонена черта. В https://pay.cityparking.gov/meter/44 домейнът е cityparking.gov. В https://cityparking.gov.pay-now.click/meter/44 той е pay-now.click, а разпознаваемата част е само украса.

Едно предупреждение за съкратителите: това, че разпознавате услугата, не ви казва къде води връзката. Unit 42 го казва директно — „Дори хората, които внимават за сигурността и проверяват предварителния преглед на URL адреса, преди да сканират, не могат да определят крайната дестинация, когато им бъдат показани съкратени връзки“ — а трите услуги, които те посочват като най-често злоупотребявани, са обикновени домейни за пренасочване на генератори на QR кодове. Познатият съкратител не е гаранция за безопасност.

Стъпка 4 — Проследете веригата от пренасочвания

Ако съдържанието е кратка връзка и трябва да знаете къде в крайна сметка води, разрешете я, без да зареждате страницата. От терминал:

Изпълнете curl -sIL "https://short.example/abc" | grep -i "^location:" — това показва всеки преход в заглавката Location, без да изпълнява съдържанието на страницата. Вижте колко прехода има: един преход към очакваната дестинация е обичаен, докато няколко прехода през несвързани хостове обикновено означават посредници за анализ или реклама, всеки от които вижда заявката. Какво записва QR прокси обяснява какво събират тези преходи.

Има две уточнения. Пренасочването може да ви покаже една дестинация, а на друг човек — друга, според IP адреса, потребителския агент или часа. Затова чистият резултат доказва какво се е случило при вас в този момент, но не и какво ще получи клиент в друга държава. Освен това дестинацията на динамичен код може да бъде променена по всяко време след проверката — именно заради тази функция той се предлага.

Как да проверите код, получен по имейл?

Отнасяйте се към това като към отделен и по-опасен случай. NCSC отбелязва, че QR кодовете се използват във фишинг имейли именно защото не всички инструменти за сигурност сканират изображения. Така кодът може да пренесе злонамерена връзка покрай филтрите, които биха засекли същата връзка като текст, а сканирането ви премества към личен телефон с по-слаба защита от тази на служебния компютър.

Проверката е лесна. Запазете изображението от имейла, вместо да го сканирате от екрана, декодирайте файла и прочетете домейна. Направете това на компютъра, а не на телефона, за да не напускате защитеното устройство. Ако домейнът не съвпада напълно с организацията, за която имейлът твърди, че е изпратен, спрете — свържете се с организацията по обичайния начин, а не чрез нещо от съобщението.

Признакът, за който да внимавате, е спешност в комбинация с код: проблем с доставка, данъчно известие, пощенска кутия, достигнала квотата, или акаунт, който трябва да бъде потвърден днес. Легитимните организации много рядко изискват да сканирате отпечатан квадрат, за да разрешите спешен проблем с акаунт. Quishing описва подробно моделите на атаките.

Какво не може да ви каже един декодер?

Ясното разбиране на ограниченията помага проверката да остане надеждна.

• Дали дестинацията е безопасна. Декодерът ви показва адреса, не съдържанието. Разпознаваем домейн все пак може да хоства компрометирана страница.
• Какво получават другите хора. Пренасочването може да води към различни дестинации според IP адреса, потребителския агент или часа. Чистият резултат описва вашата заявка в този момент.
• Какво ще направи утре. Дестинацията на динамичен код може да бъде променена по всяко време след проверката. Това е функцията, заради която се предлага, и затова „Проверих го веднъж“ не е трайно твърдение за динамичен код.
• Дали отпечатаното копие съвпада с файла. Надписаните отгоре стикери означават, че одобрената от вас графика и обектът на стената може да се различават. Само декодирането на физическо копие ви казва какво има във физическото копие.

Първото и последното ограничение са причината съветите към бизнеса в този блог постоянно да се връщат към една и съща точка: статичен код в собствен домейн е единствената подредба, при която еднократната проверка остава валидна.

Стъпка 5 — Проверете собствената си графика преди печат

Това отнема минута и предотвратява цял клас скъпи проблеми.

1. Експортирайте окончателната графика точно в крайния вид за печат.
2. Декодирайте този файл — не файла от предварителния преглед на генератора.
3. Потвърдете, че съдържанието е URL адресът, който сте задали, в домейн, който притежавате.
4. Ако това е кратка връзка в чужд домейн, не я отпечатвайте. Генерирайте статичен код.
5. Сканирайте отпечатаната проба, когато пристигне, и потвърдете, че все още води където трябва.

Ако кодът вече е отпечатан и тази проверка е закъсняла, ръководството за възстановяване след отвличане описва оставащите възможности. Ако е спрял да работи и още не знаете защо, започнете от защо QR кодът ви спря да работи.

Кодовете, които генерирате тук, винаги се декодират точно до това, което сте въвели: QR код за URL. Още контекст има в истината за измамите с QR кодове.