Najpierw odczytaj kod QR, dopiero potem go skanuj

Są dwie sytuacje, w których warto to zrobić: zamierzasz zeskanować kod, któremu nie ufasz w pełni, albo chcesz wydrukować kod wygenerowany w innym miejscu. Ta sama technika sprawdza się w obu przypadkach.

Krok 1 — Odczytaj zawartość zamiast ją otwierać

Kod QR zawiera tekst. Skaner odczytuje ten tekst i od razu wykonuje zawartą w nim czynność — otwiera adres URL, łączy z siecią Wi-Fi albo rozpoczyna połączenie. Dekoder odczytuje ten sam tekst i po prostu go pokazuje. Ta różnica stanowi cały margines bezpieczeństwa.

Zrób zdjęcie kodu lub zrzut ekranu, a następnie odczytaj obraz w naszym czytniku QR. Działa on całkowicie w przeglądarce: obraz nigdy nie jest przesyłany, a nic nie zostaje otwarte. Otrzymasz surową zawartość w formie tekstu.

Krok 2 — Ustal rodzaj zawartości

Zawartość kodów QR ma rozpoznawalne formaty. Odczytanie początku mówi, co zrobiłby skaner.

Jeśli chcesz zobaczyć, jak wygląda prawidłowo zbudowany kod danego typu, nasze strony opisują każdy format: Wi-Fi, vCard, e-mail, telefon, zwykły tekst.

Krok 3 — Oceń domenę

W przypadku zawartości będącej adresem URL liczy się domena — odczytaj ją od prawej do lewej, zaczynając od pierwszego pojedynczego ukośnika. W https://pay.cityparking.gov/meter/44 domeną jest cityparking.gov. W https://cityparking.gov.pay-now.click/meter/44 jest nią pay-now.click, a rozpoznawalny fragment to tylko dekoracja.

Jedna uwaga dotycząca skracaczy: rozpoznanie usługi nie mówi, dokąd prowadzi link. Unit 42 ujmuje to wprost — „Nawet osoby dbające o bezpieczeństwo, które sprawdzają podgląd adresu URL przed skanowaniem, nie mogą ustalić ostatecznego miejsca docelowego, gdy otrzymują skrócone linki” — a trzy usługi wskazane przez nich jako najczęściej wykorzystywane to zwykłe domeny przekierowań generatorów QR. Znany skracacz nie jest powodem do zaufania.

Krok 4 — Prześledź łańcuch przekierowań

Jeśli zawartością jest krótki link i musisz wiedzieć, gdzie faktycznie się kończy, sprawdź go bez ładowania strony. W terminalu:

Uruchom curl -sIL "https://short.example/abc" | grep -i "^location:" — polecenie wyświetli każdy etap w nagłówku Location, bez wykonywania zawartości strony. Zwróć uwagę na liczbę etapów: pojedyncze przekierowanie do oczekiwanego celu jest zwyczajne, natomiast kilka przekierowań przez niepowiązane hosty zwykle oznacza pośredników analitycznych lub reklamowych, z których każdy widzi żądanie. W artykule Co rejestruje serwer pośredniczący QR opisujemy, jakie dane zbierają te etapy.

Dwa zastrzeżenia. Przekierowanie może kierować Ciebie i kogoś innego do różnych miejsc na podstawie adresu IP, klienta użytkownika lub czasu — czysty wynik potwierdza więc to, co wydarzyło się w Twoim przypadku, w danej chwili, a nie to, co zobaczy klient w innym kraju. Ponadto miejsce docelowe kodu dynamicznego można w każdej chwili zmienić, bo właśnie do tego służy ta funkcja.

Jak sprawdzić kod otrzymany e-mailem?

Potraktuj to jako osobny i bardziej niebezpieczny przypadek. NCSC zauważa, że kody QR są używane w wiadomościach phishingowych właśnie dlatego, że nie wszystkie narzędzia bezpieczeństwa skanują obrazy, więc kod może przenieść złośliwy link obok filtrów, które wykryłyby ten sam link zapisany jako tekst — a skanowanie przenosi Cię na prywatny telefon, słabiej chroniony niż komputer służbowy.

Sprawdzenie jest proste. Zapisz obraz z wiadomości e-mail zamiast skanować go z ekranu, odczytaj plik i sprawdź domenę. Zrób to na komputerze, nie na telefonie, aby nie opuszczać chronionego urządzenia. Jeśli domena nie jest dokładnie zgodna z organizacją, za którą podaje się nadawca wiadomości, zatrzymaj się — skontaktuj się z organizacją w zwykły sposób, a nie przez cokolwiek zawartego w wiadomości.

Zwracaj uwagę na pilność połączoną z kodem: problem z dostawą, zawiadomienie podatkowe, przepełniona skrzynka pocztowa, konto wymagające weryfikacji jeszcze dziś. Prawidłowo działające organizacje bardzo rzadko wymagają zeskanowania drukowanego kwadratu, aby rozwiązać pilny problem z kontem. Artykuł o quishingu opisuje te schematy ataków w całości.

Czego dekoder nie może Ci powiedzieć?

Jasne określenie ograniczeń pomaga zachować uczciwość takiego sprawdzenia.

• Czy miejsce docelowe jest bezpieczne. Dekoder pokazuje adres, a nie zawartość. Rozpoznawalna domena nadal może zawierać zaatakowaną stronę.
• Co zobaczą inni. Przekierowanie może prowadzić do różnych miejsc zależnie od adresu IP, klienta użytkownika lub pory dnia. Czysty wynik opisuje Twoje żądanie w tamtej chwili.
• Co wydarzy się jutro. Miejsce docelowe kodu dynamicznego można zmienić w dowolnym momencie po jego sprawdzeniu. Właśnie do tego służy ta funkcja i dlatego stwierdzenie „sprawdziłem go raz” nie jest trwałym potwierdzeniem bezpieczeństwa kodu dynamicznego.
• Czy wydrukowana kopia odpowiada plikowi. Naklejki nakładane na kod oznaczają, że zatwierdzony projekt i obiekt na ścianie mogą się różnić. Tylko odczyt fizycznej kopii mówi coś o fizycznej kopii.

Pierwsze i ostatnie ograniczenie wyjaśniają, dlaczego porady dla firm na tym blogu wciąż wracają do tego samego punktu: statyczny kod we własnej domenie to jedyne rozwiązanie, w którym jednorazowe sprawdzenie pozostaje prawdziwe.

Krok 5 — Sprawdź własny projekt przed drukiem

Zajmuje to minutę i zapobiega całej kategorii kosztownych problemów.

1. Wyeksportuj ostateczny projekt dokładnie w takiej postaci, w jakiej zostanie wydrukowany.
2. Odczytaj ten plik — nie plik z podglądu generatora.
3. Potwierdź, że zawartość to zamierzony przez Ciebie adres URL w domenie, którą posiadasz.
4. Jeśli jest to krótki link w cudzej domenie, nie drukuj go. Wygeneruj kod statyczny.
5. Po otrzymaniu wydruku próbnym zeskanuj go i potwierdź, że nadal prowadzi we właściwe miejsce.

Jeśli kod jest już wydrukowany i na to sprawdzenie jest za późno, poradnik odzyskiwania kontroli nad kodem opisuje dostępne opcje. Jeśli przestał działać i nie wiesz jeszcze dlaczego, zacznij od artykułu dlaczego Twój kod QR przestał działać.

Generowane tutaj kody zawsze prowadzą dokładnie do tego, co wpiszesz: kod QR dla adresu URL. Więcej informacji znajdziesz w artykule prawda o oszustwach z kodami QR.