Спершу декодуйте QR-код, не скануйте його

Це потрібно у двох ситуаціях: ви збираєтеся сканувати код, якому не повністю довіряєте, або збираєтеся надрукувати код, створений десь в іншому місці. Одна й та сама техніка допоможе в обох випадках.

Крок 1 — Прочитайте вміст, не відкриваючи його

QR-код містить текст. Сканер декодує цей текст і одразу діє відповідно до нього — відкриває URL, підключається до мережі Wi-Fi, починає виклик. Декодер декодує той самий текст і просто показує його вам. У цьому й полягає весь запас безпеки.

Сфотографуйте код або зробіть знімок екрана та декодуйте зображення в нашому QR-рідері. Він повністю працює у вашому браузері: зображення нікуди не завантажується, і нічого не відкривається. Ви отримуєте вміст у вигляді звичайного тексту.

Крок 2 — Визначте тип вмісту

Вміст QR-кодів має впізнавані формати. Прочитавши префікс, ви зрозумієте, що зробив би сканер.

На наших сторінках про типи описано кожен формат, якщо ви хочете побачити, як створюється коректний код: Wi-Fi, vCard, електронна пошта, телефон, звичайний текст.

Крок 3 — Перевірте домен

Для URL домен має вирішальне значення — читайте його справа наліво, починаючи з першого одиночного слеша. У https://pay.cityparking.gov/meter/44 домен — cityparking.gov. У https://cityparking.gov.pay-now.click/meter/44 це pay-now.click, а впізнавана частина — лише декорація.

Одне застереження щодо скорочувачів: те, що ви впізнаєте сервіс, не повідомляє вам пункт призначення. Unit 42 висловлюється прямо — «Навіть обережні щодо безпеки люди, які перевіряють попередній перегляд URL перед скануванням, не можуть визначити кінцевий пункт призначення, коли їм показують скорочені посилання» — а три сервіси, які вони називають найбільш зловживаними, є звичайними доменами перенаправлення QR-генераторів. Знайомий скорочувач не є гарантією.

Крок 4 — Простежте ланцюжок перенаправлень

Якщо вміст — коротке посилання і вам потрібно дізнатися, де воно насправді завершується, визначте це, не завантажуючи сторінку. У терміналі:

Виконайте curl -sIL "https://short.example/abc" | grep -i "^location:" — це виведе заголовок Location для кожного переходу, не виконуючи вміст сторінки. Зверніть увагу на кількість переходів: один перехід до очікуваного пункту призначення є звичайним, а кілька переходів через сторонні хости зазвичай означають посередників аналітики або реклами, кожен із яких бачить запит. У матеріалі Що записує QR-проксі описано, які дані збирають такі переходи.

Є два застереження. Перенаправлення може показати вам один пункт призначення, а іншій людині — інший, залежно від IP-адреси, user-agent або часу. Тож чистий результат підтверджує лише те, що сталося з вами саме тоді, а не те, що отримає клієнт в іншій країні. Крім того, пункт призначення динамічного коду можна будь-коли змінити — саме заради цієї функції його й продають.

Як перевірити код, який надійшов електронною поштою?

Ставтеся до цього як до окремого й небезпечнішого випадку. NCSC зазначає, що QR-коди використовують у фішингових листах саме тому, що не всі засоби безпеки сканують зображення. Тому код може перенести шкідливе посилання повз фільтри, які виявили б те саме посилання у вигляді тексту, а сканування переводить вас на особистий телефон із слабшим захистом, ніж у робочого комп’ютера.

Перевірка проста. Збережіть зображення з листа, а не скануйте його з екрана, декодуйте файл і прочитайте домен. Робіть це на комп’ютері, а не на телефоні, щоб не залишати захищений пристрій. Якщо домен не збігається точно з організацією, від імені якої надіслано лист, зупиніться — зв’яжіться з організацією звичним для вас способом, а не через будь-що в цьому повідомленні.

Звертайте увагу на терміновість у поєднанні з кодом: проблема з доставкою, податкове повідомлення, переповнена поштова скринька, необхідність підтвердити обліковий запис сьогодні. Легітимним організаціям дуже рідко потрібно, щоб ви сканували надрукований квадрат для вирішення термінової проблеми з обліковим записом. У матеріалі Квішинг докладно описано схеми таких атак.

Чого декодер не може вам повідомити?

Чітке розуміння обмежень допомагає чесно оцінювати перевірку.

• Чи безпечний пункт призначення. Декодер показує адресу, а не вміст. Навіть впізнаваний домен може містити скомпрометовану сторінку.
• Що отримають інші люди. Перенаправлення може вести до різних пунктів призначення залежно від IP-адреси, user-agent або часу доби. Чистий результат описує ваш запит у конкретний момент.
• Що станеться завтра. Пункт призначення динамічного коду можна змінити будь-коли після вашої перевірки. Саме заради цієї функції його продають, і тому фраза «Я одного разу це перевірив» не є довготривалим підтвердженням безпеки динамічного коду.
• Чи відповідає надрукована копія файлу. Наклеєні поверх коду стікери означають, що погоджений вами макет і об’єкт на стіні можуть відрізнятися. Лише декодування фізичної копії повідомить щось про фізичну копію.

Перше й останнє обмеження пояснюють, чому поради для бізнесу в цьому блозі знову й знову повертаються до тієї самої думки: статичний код на вашому власному домені — єдиний варіант, за якого одноразова перевірка залишається актуальною.

Крок 5 — Перевірте власний макет перед друком

Це займає хвилину й запобігає цілому класу дорогих проблем.

1. Експортуйте фінальний макет саме в тому вигляді, у якому його буде надруковано.
2. Декодуйте цей файл — не файл із попереднього перегляду генератора.
3. Переконайтеся, що вміст — потрібний вам URL на домені, яким ви володієте.
4. Якщо це коротке посилання на чужому домені, не друкуйте його. Створіть статичний код заново.
5. Після отримання надрукованого пробного примірника проскануйте його та переконайтеся, що він і далі веде куди потрібно.

Якщо код уже надруковано і ви запізно провели цю перевірку, посібник із відновлення після захоплення описує доступні варіанти. Якщо код перестав працювати, а ви ще не знаєте чому, почніть зі статті чому ваш QR-код перестав працювати.

Коди, створені тут, завжди декодуються саме в те, що ви ввели: QR-код для URL. Більше контексту — у матеріалі правда про шахрайство з QR-кодами.