Strumenti di testo e di uso quotidiano · Kit di strumenti per codici a barre e QR
Phishing (quishing) codice QR: cosa può nascondere un codice e come verificarlo
· Perché è importante
codice QR sicurezza convalida
Spiega come funzionano le truffe legate agli adesivi sul codice e ai pagamenti falsi, cosa può e non può nascondere un codice QR e come leggere una destinazione prima di aprirla: utile sia per gli scanner che per gli editori.
L'adesivo del parchimetro: come funziona una truffa coprendo un codice legittimo con un codice che punta altrove
Un adesivo posizionato su un codice di parcheggio o di pagamento legittimo modifica il carico utile senza alterare il segnale circostante. L'attacco ha successo quando lo scanner si fida del contesto fisico e segue la destinazione sostitutiva senza controllarla.
Un'ispezione fisica fa parte del controllo di sicurezza perché i byte codificati possono essere perfettamente validi anche se il segno è stato alterato. Cerca un laminato non corrispondente, un bordo, una qualità di stampa diversa o un quadrato che copra anziché essere allineato con l'originale. Il personale dovrebbe segnalare la posizione attraverso un canale attendibile. La scansione ripetuta di un adesivo sospetto per la diagnosi può inviare più persone al sito dell'aggressore senza stabilire chi lo ha installato.
Un codice QR memorizza dati decodificabili, ma le anteprime della fotocamera e le istruzioni di sicurezza variano in base all'applicazione
La matrice non è crittografata: un decodificatore può recuperarne il testo. Tuttavia, le applicazioni della fotocamera differiscono per la chiarezza con cui visualizzano l'anteprima di una destinazione e se la aprono automaticamente, quindi la guida del personale dovrebbe descrivere i controlli sui dispositivi supportati.
Un decodificatore può rivelare il testo, ma la persona potrebbe non vederlo tutto prima di un'azione. Alcune interfacce della fotocamera troncano gli URL lunghi, nascondono i percorsi o enfatizzano il titolo di una pagina dopo il caricamento. Le linee guida sulla sicurezza dovrebbero essere scritte per il parco dispositivi supportato e non dovrebbero mai promettere un'anteprima universale. Ove possibile, fornisci il dominio previsto in un normale testo stampato accanto al codice in modo che gli utenti possano effettuare un confronto indipendente.
Ciò che può oscurare: link abbreviati, domini simili e reindirizzamenti che non rivelano nulla finché la pagina non viene caricata
Collegamenti brevi e catene di reindirizzamenti rendono il primo indirizzo decodificato meno informativo, mentre i domini sosia sfruttano rapidi controlli visivi. Un'anteprima leggibile aiuta solo quando la persona si sofferma a confrontare attentamente il dominio registrato.
Gli abbreviatori rimuovono il contesto utile sostituendo l'host di destinazione con l'host dell'abbreviatore. I reindirizzamenti possono quindi spostarsi attraverso diversi domini prima di raggiungere. Questa architettura non è automaticamente dannosa, ma impedisce all'anteprima iniziale di confermare il sito finale. Un dominio simile mantiene più contesto ma si basa su errori di lettura rapidi. Entrambi i problemi si riducono quando l'editore utilizza direttamente un dominio conciso e riconoscibile.
Abitudini per le persone che scansionano: visualizza in anteprima URL, diffida degli abbreviatori, controlla gli adesivi e non inserire mai i dettagli di pagamento da una scansione senza confermare il dominio
Prima di inserire credenziali o dettagli di pagamento, ispeziona l'anteprima, evita abbreviazioni inspiegabili, controlla la presenza di adesivi sovrapposti e conferma la destinazione attraverso un percorso indipendente. Una scansione QR non dovrebbe abbassare lo standard applicato a un collegamento inviato via email.
Il pagamento e l'accesso meritano una regola più forte rispetto ai contenuti casuali. Dopo una scansione, confronta il dominio registrato con una dichiarazione di affidabilità o naviga invece attraverso la normale applicazione dell'organizzazione. I gestori di password possono fornire un altro segnale quando si rifiutano di inserire le credenziali su un host simile. Il QR è un metodo di input, non un'esenzione dai controlli applicati ai collegamenti nelle e-mail o nei messaggi.
Abitudini per chi pubblica: codifica un URL semplice e leggibile sul tuo dominio in modo che un'anteprima rassicuri anziché confondere
Gli editori possono aiutare codificando un indirizzo HTTPS conciso su un dominio già riconosciuto dal pubblico. ToolAcre genera il testo esatto fornito e non ha alcun reindirizzamento integrato, quindi l'anteprima può mostrare l'indirizzo diretto.
Gli editori dovrebbero archiviare la destinazione esatta e ispezionare periodicamente i segnali fisici. Un codice ToolAcre diretto non ha alcun reindirizzamento nascosto aggiunto dal generatore e il builder URL mostra il payload in fase di codifica. Tuttavia, una destinazione compromessa può diventare dannosa senza modificare la matrice. Monitora il sito, utilizza HTTPS e rendi leggibile l'host previsto accanto ai codici permanenti o relativi al pagamento.
Esempio funzionante: decodificare un codice con l'anteprima della fotocamera, individuare un dominio simile e generare un'alternativa pulita per la bacheca dell'ufficio
Crea due codici innocui i cui domini differiscono di un carattere, quindi utilizza le anteprime dei telefoni supportati per confrontarli senza aprirli. La lezione è la verifica visiva dell'esatto host; non si afferma che ogni telecamera presenti avvisi identici.
Per l'addestramento, genera due codici innocui i cui host differiscono di un carattere e hanno l'anteprima dello staff anziché aprirli. Chiedi ai partecipanti di identificare lo schema e il dominio registrato, quindi rivela la differenza. Mantieni l'esercizio offline o su domini di prova controllati. ToolAcre fornisce carichi utili statici esatti, mentre la lezione è l'abitudine al confronto, non che una particolare fotocamera visualizzerà tutti i componenti URL nello stesso posto.
Esempio realizzato: ispeziona un'anteprima quando disponibile e confronta le stringhe di destinazione esatte
Questo articolo non analizza il malware mobile, l'abuso dell'app store o le policy di gestione dei dispositivi. Ciò richiede controlli specifici della piattaforma e informazioni sulle minacce attuali che vanno oltre l’implementazione del generatore e i test del repository.
Il malware, la gestione dei dispositivi mobili e l'abuso dell'app store richiedono controlli che vanno oltre questo generatore. Un QR può portare a un download, ma l'analisi di quel file o l'applicazione della politica di installazione sono esterne al repository. Mantieni l'ambito esplicito in modo che un esercizio di anteprima URL riuscito non venga presentato come una difesa mobile completa. Inoltrare i codici sospetti attraverso il processo di sicurezza stabilito dall'organizzazione e le attuali linee guida specifiche per la piattaforma per i dispositivi mobili interessati.
Il punto è che un codice statico generato localmente che codifica un URL leggibile è la metà della difesa dell'editore e QR & Barcode Toolkit produce esattamente questo
Un carico utile statico diretto è solo la metà della difesa dell’editore. Abbina URL riconoscibili e segnaletica anti-manomissione con un'abitudine di scansione che controlla la destinazione prima di qualsiasi azione sensibile.
Il contributo difensivo dell’editore è quello di rimuovere ambiguità non necessarie: destinazione diretta, dominio controllato, host previsto visibile e segnaletica mantenuta. Il contributo dello scanner è quello di ispezionare prima di agire. Nessuna delle due parti può fare affidamento sulla correzione degli errori o sulla generazione locale di fiducia; tali funzionalità preservano e creano accuratamente il payload selezionato, incluso uno dannoso se l'editore lo fornisce deliberatamente o per errore.