Avkoda, skanna inte: läs QR-kodens innehåll först

Det här behövs i två situationer: när du ska skanna en kod du inte litar helt på och när du ska skriva ut en kod som genererats någon annanstans. Samma metod fungerar i båda fallen.

Steg 1 – Läs innehållet i stället för att öppna det

En QR-kod innehåller text. En skanner avkodar texten och agerar direkt på den – öppnar URL:en, ansluter till Wi-Fi-nätverket eller startar samtalet. En avkodare avkodar samma text och visar den helt enkelt för dig. Den skillnaden är hela säkerhetsmarginalen.

Fotografera eller ta en skärmbild av koden och avkoda bilden i vår QR-läsare. Den körs helt i webbläsaren: bilden laddas aldrig upp och inget öppnas. Du får det råa innehållet som text.

Steg 2 – Ta reda på vilken typ av innehåll det är

QR-innehåll följer igenkännbara format. Genom att läsa prefixet ser du vad en skanner skulle ha gjort.

På våra typsidor dokumenterar vi varje format om du vill se hur ett legitimt sådant är uppbyggt: Wi-Fi, vCard, e-post, telefon, vanlig text.

Steg 3 – Bedöm domänen

För ett URL-innehåll är domänen det viktiga – läs den från höger till vänster, med början vid det första ensamma snedstrecket. I https://pay.cityparking.gov/meter/44 är domänen cityparking.gov. I https://cityparking.gov.pay-now.click/meter/44 är den pay-now.click, och den igenkännbara delen är bara dekoration.

En varning om förkortningstjänster: att du känner igen tjänsten säger inget om målet. Unit 42 uttrycker det direkt – "Även säkerhetsmedvetna personer som kontrollerar URL-förhandsvisningen före skanning kan inte avgöra det slutliga målet när de får förkortade länkar" – och de tre tjänster som de identifierar som mest missbrukade är vanliga omdirigeringsdomäner för QR-generatorer. En välbekant förkortningstjänst är ingen garanti.

Steg 4 – Följ omdirigeringskedjan

Om innehållet är en kort länk och du behöver veta var den faktiskt slutar kan du lösa upp den utan att läsa in sidan. Från en terminal:

Kör curl -sIL "https://short.example/abc" | grep -i "^location:" – detta skriver ut varje steg i Location-huvudet utan att köra sidans innehåll. Titta på hur många steg som visas: ett enda steg till det förväntade målet är normalt, medan flera steg via orelaterade värdar vanligtvis betyder analys- eller reklammellanhänder, som var och en ser begäran. Vad en QR-proxy loggar beskriver vad dessa steg samlar in.

Två förbehåll. En omdirigering kan ge dig ett mål och någon annan ett annat, beroende på IP-adress, användaragent eller tid – ett rent resultat bevisar därför vad som hände för dig just då, inte vad en kund i ett annat land får. Och målet för en dynamisk kod kan ändras när som helst därefter, vilket är precis den funktion den säljs för.

Hur kontrollerar du en kod som kom via e-post?

Se detta som ett separat och farligare fall. NCSC påpekar att QR-koder används i nätfiske via e-post just eftersom alla säkerhetsverktyg inte skannar bilder, så en kod kan bära en skadlig länk förbi filter som skulle ha upptäckt samma länk som text – och skanning flyttar dig till en privat telefon med svagare skydd än arbetsdatorn.

Kontrollen är enkel. Spara ut bilden från e-postmeddelandet i stället för att skanna den från skärmen, avkoda filen och läs domänen. Gör detta på datorn, inte telefonen, så att du aldrig lämnar den skyddade enheten. Om domänen inte exakt matchar organisationen som e-postmeddelandet påstår sig komma från ska du avbryta – kontakta i stället organisationen på det vanliga sättet, inte via något i meddelandet.

Tecknet du ska vara uppmärksam på är brådska tillsammans med en kod: ett leveransproblem, ett skattebesked, en full brevlåda eller ett konto som måste verifieras i dag. Legitimt verksamma organisationer behöver mycket sällan att du skannar en tryckt ruta för att lösa ett brådskande kontoärende. Quishing beskriver angreppsmönstren i sin helhet.

Vad kan en avkodare inte berätta?

Om du är tydlig med begränsningarna blir kontrollen mer ärlig.

• Om målet är säkert. En avkodare visar adressen, inte innehållet. En igenkännbar domän kan fortfarande vara värd för en angripen sida.
• Vad andra får. En omdirigering kan ge olika mål beroende på IP-adress, användaragent eller tid på dagen. Ditt rena resultat beskriver din begäran just då.
• Vad som händer i morgon. Målet för en dynamisk kod kan ändras när som helst efter att du har kontrollerat den. Det är funktionen den säljs för, och därför är "jag verifierade den en gång" inget varaktigt påstående om en dynamisk kod.
• Om den tryckta kopian stämmer med filen. Överklistrade klistermärken innebär att bilden du godkände och objektet på väggen kan skilja sig åt. Bara avkodning av en fysisk kopia berättar något om den fysiska kopian.

Den första och sista begränsningen är varför råden till företag i den här bloggen hela tiden återkommer till samma punkt: en statisk kod på din egen domän är det enda upplägget där en engångskontroll fortsätter att stämma.

Steg 5 – Kontrollera din egen bild innan den går till tryck

Det tar en minut och förebygger en hel klass av kostsamma problem.

1. Exportera den slutliga bilden exakt som den ska tryckas.
2. Avkoda den filen – inte den som visas i generatorns förhandsvisning.
3. Bekräfta att innehållet är URL:en du avsåg, på en domän du äger.
4. Om det är en kort länk på någon annans domän ska du inte trycka den. Skapa om den som en statisk kod.
5. Skanna det tryckta provet när det kommer och bekräfta att det fortfarande leder dit det ska.

Om en kod redan är tryckt och den här kontrollen kommer för sent beskriver guiden för att återfå kontrollen över en kapad kod vilka alternativ som återstår. Om den har slutat fungera och du ännu inte vet varför kan du börja med varför din QR-kod slutade fungera.

Koder som du skapar här avkodas alltid till exakt det du skrev: QR-kod för URL. Mer sammanhang finns i sanningen om QR-kodbedrägerier.