Les QR-kodens innhold før du skanner den blindt

To situasjoner krever dette: Du skal til å skanne en kode du ikke stoler helt på, eller du skal til å skrive ut en kode som er generert et annet sted. Den samme teknikken svarer på begge behovene.

Trinn 1 – Les innholdet i stedet for å åpne det

En QR-kode inneholder tekst. En skanner dekoder teksten og utfører den umiddelbart – åpner URL-en, kobler til Wi-Fi-nettverket eller starter samtalen. En dekoder dekoder den samme teksten og viser den ganske enkelt til deg. Denne forskjellen er hele sikkerhetsmarginen.

Ta et bilde av koden eller ta et skjermbilde, og dekod bildet i vår QR-leser. Den kjører helt i nettleseren din: Bildet lastes aldri opp, og ingenting åpnes. Du får innholdet som ren tekst.

Trinn 2 – Finn ut hva slags innhold det er

QR-innhold følger gjenkjennelige formater. Når du leser prefikset, ser du hva en skanner ville ha gjort.

Typesidene våre dokumenterer hvert format hvis du vil se hvordan et legitimt format er bygd opp: Wi-Fi, vCard, e-post, telefon, ren tekst.

Trinn 3 — Vurder domenet

For en URL i innholdet er domenet det viktige – les det fra høyre mot venstre fra den første enkle skråstreken. I https://pay.cityparking.gov/meter/44 er domenet cityparking.gov. I https://cityparking.gov.pay-now.click/meter/44 er det pay-now.click, og den gjenkjennelige delen er pynt.

En advarsel om kortlenker: At du kjenner igjen tjenesten, forteller deg ikke hvor målet er. Unit 42 sier det direkte – «Selv sikkerhetsbevisste personer som sjekker URL-forhåndsvisningen før de skanner, kan ikke fastslå det endelige målet når de får forkortede lenker» – og de tre tjenestene de identifiserer som mest misbrukt, er vanlige QR-generatorers omdirigeringsdomener. En kjent kortlenketjeneste er ingen trygghet.

Trinn 4 — Følg omdirigeringskjeden

Hvis innholdet er en kortlenke og du må vite hvor den faktisk ender, kan du finne målet uten å laste inn siden. Fra en terminal:

Kjør curl -sIL "https://short.example/abc" | grep -i "^location:" – dette skriver ut hvert hopp i Location-hodet uten å kjøre sideinnhold. Se hvor mange hopp som vises: Ett enkelt hopp til det forventede målet er normalt, mens flere hopp via uvedkommende verter vanligvis betyr analyse- eller annonseringsmellomledd, som alle ser forespørselen. Hva en QR-proxy logger forklarer hva disse hoppene samler inn.

To forbehold. En omdirigering kan sende deg til ett mål og en annen person til et annet, basert på IP, brukeragent eller tidspunkt – så et rent resultat viser hva som skjedde for deg akkurat da, ikke hva en kunde i et annet land vil få. Og målet for en dynamisk kode kan endres når som helst etterpå, og det er nettopp funksjonen den selges for.

Hvordan sjekker du en kode som kom på e-post?

Behandle dette som et separat og farligere tilfelle. NCSC påpeker at QR-koder brukes i phishing-e-post nettopp fordi ikke alle sikkerhetsverktøy skanner bilder, slik at en kode kan føre en skadelig lenke forbi filtre som ville ha fanget den samme lenken som tekst – og skanning flytter deg over på en privat telefon med svakere beskyttelse enn jobbmaskinen.

Sjekken er enkel. Lagre bildet fra e-posten i stedet for å skanne det fra skjermen, dekod filen og les domenet. Gjør dette på datamaskinen, ikke telefonen, slik at du aldri forlater den beskyttede enheten. Hvis domenet ikke samsvarer nøyaktig med organisasjonen e-posten hevder å komme fra, må du stoppe – og kontakte organisasjonen på vanlig måte, ikke via noe i meldingen.

Tegnet du bør se etter, er hastverk kombinert med en kode: et leveringsproblem, et skattevarsel, en postkasse som er full eller en konto som må bekreftes i dag. Legitime organisasjoner trenger svært sjelden at du skanner en trykt firkant for å løse et akutt kontoproblem. Quishing dekker angrepsmønstrene i sin helhet.

Hva kan en dekoder ikke fortelle deg?

Når du er tydelig på begrensningene, blir sjekken mer ærlig.

• Om målet er trygt. En dekoder viser deg adressen, ikke innholdet. Et gjenkjennelig domene kan fortsatt være vert for en kompromittert side.
• Hva andre får. En omdirigering kan sende ulike mål basert på IP, brukeragent eller tidspunkt. Det rene resultatet ditt beskriver forespørselen din på det tidspunktet.
• Hva den vil gjøre i morgen. Målet for en dynamisk kode kan endres når som helst etter at du har sjekket den. Det er funksjonen den selges for, og derfor er «Jeg bekreftet den én gang» ikke en varig påstand om en dynamisk kode.
• Om den trykte kopien samsvarer med filen. Overklistrede merker betyr at illustrasjonen du godkjente, og objektet på veggen, kan være forskjellige. Bare dekoding av en fysisk kopi forteller deg noe om den fysiske kopien.

Den første og siste begrensningen er grunnen til at rådene til virksomheter i denne bloggen stadig vender tilbake til samme poeng: En statisk kode på ditt eget domene er den eneste løsningen der en engangssjekk fortsatt stemmer.

Trinn 5 — Sjekk ditt eget design før det går i trykken

Dette tar ett minutt og hindrer en hel klasse kostbare problemer.

1. Eksporter det endelige designet nøyaktig slik det skal trykkes.
2. Dekod denne filen – ikke den i generatorens forhåndsvisning.
3. Bekreft at innholdet er URL-en du hadde tenkt å bruke, på et domene du eier.
4. Hvis det er en kortlenke på en annens domene, må du ikke trykke den. Generer koden på nytt som en statisk kode.
5. Skann det trykte korrekturet når det kommer, og bekreft at det fortsatt fører dit det skal.

Hvis en kode allerede er trykt og denne sjekken kommer for sent, dekker guiden for gjenoppretting etter kapring alternativene som fortsatt finnes. Hvis den sluttet å virke og du ennå ikke vet hvorfor, kan du begynne med hvorfor QR-koden sluttet å virke.

Koder du genererer her, dekoder alltid til nøyaktig det du skrev inn: QR-kode for URL. Du finner mer bakgrunn i sannheten om QR-kodesvindel.