เครื่องมือข้อความและชีวิตประจำวัน · ชุดเครื่องมือ QR และบาร์โค้ด
ฟิชชิ่งโค้ด QR (quishing): โค้ดใดที่สามารถซ่อนได้ และจะตรวจสอบได้อย่างไร
· เหตุใดจึงสำคัญ
คิวอาร์โค้ด ความปลอดภัย การตรวจสอบ
อธิบายวิธีการทำงานของการหลอกลวงด้วยสติกเกอร์ทับโค้ดและการชำระเงินปลอม สิ่งที่โค้ด QR สามารถและไม่สามารถปกปิดได้ และวิธีอ่านจุดหมายปลายทางก่อนที่จะเปิด ซึ่งมีประโยชน์สำหรับทั้งเครื่องสแกนและผู้เผยแพร่
สติกเกอร์มิเตอร์จอดรถ — วิธีการทำงานของกลโกงโดยปกปิดรหัสที่ถูกต้องด้วยรหัสที่ชี้ไปที่อื่น
สติกเกอร์ที่วางอยู่เหนือรหัสจอดรถหรือรหัสการชำระเงินที่ถูกต้องจะเปลี่ยนน้ำหนักบรรทุกโดยไม่ต้องเปลี่ยนป้ายโดยรอบ การโจมตีจะสำเร็จเมื่อเครื่องสแกนเชื่อถือบริบททางกายภาพและติดตามปลายทางทดแทนโดยไม่ตรวจสอบ
การตรวจสอบทางกายภาพเป็นส่วนหนึ่งของการตรวจสอบความปลอดภัย เนื่องจากไบต์ที่เข้ารหัสสามารถใช้งานได้อย่างสมบูรณ์ในขณะที่เครื่องหมายมีการเปลี่ยนแปลง มองหาลามิเนตที่ไม่ตรงกัน ขอบ คุณภาพการพิมพ์ที่แตกต่างกัน หรือสี่เหลี่ยมจัตุรัสที่ครอบคลุมมากกว่าที่จะสอดคล้องกับต้นฉบับ เจ้าหน้าที่ควรรายงานสถานที่ผ่านช่องทางที่เชื่อถือได้ การสแกนสติกเกอร์ที่น่าสงสัยซ้ำๆ เพื่อวินิจฉัยสามารถส่งคนไปยังไซต์ของผู้โจมตีได้มากขึ้นโดยไม่ต้องระบุว่าใครเป็นผู้ติดตั้ง
รหัส QR จัดเก็บข้อมูลที่ถอดรหัสได้ แต่การแสดงตัวอย่างกล้องและการแจ้งเตือนด้านความปลอดภัยจะแตกต่างกันไปตามแอปพลิเคชัน
เมทริกซ์ไม่ใช่การเข้ารหัส: ตัวถอดรหัสสามารถกู้คืนข้อความได้ อย่างไรก็ตาม แอปพลิเคชันกล้องมีความแตกต่างกันในเรื่องความชัดเจนในการดูตัวอย่างจุดหมายปลายทางและการเปิดโดยอัตโนมัติ ดังนั้นคำแนะนำจากพนักงานจึงควรอธิบายการควบคุมบนอุปกรณ์ที่รองรับ
ตัวถอดรหัสสามารถเปิดเผยข้อความได้ แต่บุคคลนั้นอาจไม่เห็นข้อความทั้งหมดก่อนดำเนินการ อินเทอร์เฟซของกล้องบางตัวจะตัด URL ที่ยาว ซ่อนเส้นทาง หรือเน้นชื่อหน้าหลังจากโหลด คำแนะนำด้านความปลอดภัยควรเขียนไว้สำหรับกลุ่มอุปกรณ์ที่รองรับ และไม่ควรสัญญาว่าจะแสดงตัวอย่างแบบสากล หากเป็นไปได้ ให้ระบุโดเมนที่ต้องการเป็นข้อความพิมพ์ธรรมดาข้างโค้ด เพื่อให้ผู้ใช้มีการเปรียบเทียบโดยอิสระ
สิ่งที่สามารถปิดบังได้ — ลิงก์ที่สั้นลง โดเมนที่มีลักษณะเหมือนกัน และการเปลี่ยนเส้นทางที่ไม่เปิดเผยอะไรเลยจนกว่าหน้าเว็บจะโหลด
ลิงก์สั้นๆ และการเปลี่ยนเส้นทางต่อเนื่องกันทำให้ที่อยู่ที่ถอดรหัสครั้งแรกมีข้อมูลน้อยลง ในขณะที่โดเมนที่มีลักษณะเหมือนกันใช้ประโยชน์จากการตรวจสอบด้วยภาพอย่างรวดเร็ว การแสดงตัวอย่างที่อ่านได้จะช่วยเฉพาะเมื่อบุคคลนั้นหยุดชั่วคราวเพื่อเปรียบเทียบโดเมนที่จดทะเบียนอย่างระมัดระวัง
ตัวย่อจะลบบริบทที่เป็นประโยชน์โดยแทนที่โฮสต์ปลายทางด้วยโฮสต์ของตัวย่อ การเปลี่ยนเส้นทางสามารถเคลื่อนผ่านหลายโดเมนก่อนที่จะลงจอด สถาปัตยกรรมนั้นไม่ได้เป็นอันตรายโดยอัตโนมัติ แต่จะป้องกันไม่ให้การแสดงตัวอย่างครั้งแรกยืนยันไซต์สุดท้าย โดเมนที่มีลักษณะเหมือนกันจะคงบริบทไว้มากกว่าแต่ยังต้องอาศัยข้อผิดพลาดในการอ่านอย่างรวดเร็ว ปัญหาทั้งสองจะลดลงเมื่อผู้เผยแพร่ใช้โดเมนที่กระชับและจดจำได้โดยตรง
นิสัยของการสแกนผู้คน — ดูตัวอย่าง URL, ไม่ไว้วางใจตัวย่อ, ตรวจสอบสติกเกอร์ และไม่ต้องป้อนรายละเอียดการชำระเงินจากการสแกนโดยไม่ยืนยันโดเมน
ก่อนที่จะป้อนข้อมูลประจำตัวหรือรายละเอียดการชำระเงิน ให้ตรวจสอบตัวอย่าง หลีกเลี่ยงการใช้ตัวย่อที่ไม่สามารถอธิบายได้ ตรวจสอบสติกเกอร์ที่ซ้อนทับ และยืนยันจุดหมายปลายทางผ่านเส้นทางอิสระ การสแกน QR ไม่ควรลดมาตรฐานที่ใช้กับลิงก์ทางอีเมล
การชำระเงินและการเข้าสู่ระบบสมควรได้รับกฎที่เข้มงวดกว่าเนื้อหาทั่วไป หลังจากการสแกน ให้เปรียบเทียบโดเมนที่จดทะเบียนกับข้อความที่เชื่อถือได้หรือไปที่แอปพลิเคชันปกติขององค์กรแทน ผู้จัดการรหัสผ่านสามารถให้สัญญาณอื่นเมื่อพวกเขาปฏิเสธที่จะกรอกข้อมูลประจำตัวในโฮสต์ที่มีหน้าตาเหมือนกัน QR เป็นวิธีการป้อนข้อมูล ไม่ใช่การยกเว้นจากการตรวจสอบที่ใช้กับลิงก์ในอีเมลหรือข้อความ
นิสัยสำหรับผู้เผยแพร่ - เข้ารหัส URL ธรรมดาที่อ่านง่ายบนโดเมนของคุณเอง เพื่อให้การดูตัวอย่างสร้างความมั่นใจแทนที่จะสร้างความสับสน
ผู้เผยแพร่สามารถช่วยได้โดยการเข้ารหัสที่อยู่ HTTPS ที่กระชับบนโดเมนที่ผู้ชมรู้จักอยู่แล้ว ToolAcre สร้างข้อความที่ให้มาทุกประการและไม่มีการเปลี่ยนเส้นทางในตัว ดังนั้นตัวอย่างจึงสามารถแสดงที่อยู่โดยตรงนั้นได้
ผู้จัดพิมพ์ควรเก็บถาวรจุดหมายปลายทางที่แน่นอนและตรวจสอบสัญญาณทางกายภาพเป็นระยะ รหัส ToolAcre โดยตรงไม่มีการเปลี่ยนเส้นทางที่ซ่อนอยู่ซึ่งเพิ่มโดยตัวสร้าง และตัวสร้าง URL จะแสดงเพย์โหลดที่กำลังเข้ารหัส อย่างไรก็ตาม ปลายทางที่ถูกบุกรุกอาจกลายเป็นอันตรายได้โดยไม่ต้องเปลี่ยนเมทริกซ์ ตรวจสอบไซต์ ใช้ HTTPS และทำให้โฮสต์ที่คาดหวังสามารถอ่านได้ ถัดจากรหัสถาวรหรือรหัสที่เกี่ยวข้องกับการชำระเงิน
ตัวอย่างการทำงาน — ถอดรหัสโค้ดด้วยการแสดงตัวอย่างกล้อง มองเห็นโดเมนที่เหมือนกัน และสร้างทางเลือกใหม่ให้กับกระดานติดประกาศในสำนักงาน
สร้างรหัสที่ไม่เป็นอันตรายสองตัวซึ่งมีโดเมนต่างกันหนึ่งอักขระ จากนั้นใช้ตัวอย่างโทรศัพท์ที่รองรับเพื่อเปรียบเทียบโดยไม่ต้องเปิด บทเรียนคือการตรวจสอบโฮสต์ที่แน่นอนด้วยภาพ ไม่ใช่การอ้างว่ากล้องทุกตัวมีคำเตือนเหมือนกัน
สำหรับการฝึกอบรม ให้สร้างโค้ดที่ไม่เป็นอันตรายสองตัวซึ่งมีโฮสต์ต่างกันหนึ่งอักขระและให้เจ้าหน้าที่ดูตัวอย่างแทนที่จะเปิด ขอให้ผู้เข้าร่วมระบุโครงการและโดเมนที่จดทะเบียน จากนั้นเปิดเผยความแตกต่าง เก็บแบบฝึกหัดไว้แบบออฟไลน์หรือในโดเมนการทดสอบที่มีการควบคุม ToolAcre จัดเตรียมเพย์โหลดคงที่ที่แน่นอน ในขณะที่บทเรียนคือพฤติกรรมการเปรียบเทียบ ไม่ใช่ว่ากล้องตัวใดตัวหนึ่งจะแสดงทุกส่วนประกอบ URL ในตำแหน่งเดียวกัน
ตัวอย่างการทำงาน: ตรวจสอบตัวอย่างเมื่อพร้อมใช้งานและเปรียบเทียบสตริงปลายทางที่แน่นอน
บทความนี้ไม่ได้วิเคราะห์มัลแวร์บนมือถือ การละเมิด App Store หรือนโยบายการจัดการอุปกรณ์ สิ่งเหล่านี้ต้องการการควบคุมเฉพาะแพลตฟอร์มและข้อมูลภัยคุกคามในปัจจุบัน นอกเหนือจากการทดสอบการใช้งานและการทดสอบพื้นที่เก็บข้อมูลของเครื่องกำเนิดไฟฟ้า
มัลแวร์ การจัดการอุปกรณ์เคลื่อนที่ และการใช้แอปสโตร์ในทางที่ผิดจำเป็นต้องมีการควบคุมนอกเหนือจากตัวสร้างนี้ QR อาจนำไปสู่การดาวน์โหลด แต่การวิเคราะห์ไฟล์นั้นหรือการบังคับใช้นโยบายการติดตั้งอยู่นอกพื้นที่เก็บข้อมูล รักษาขอบเขตให้ชัดเจน เพื่อที่การฝึก URL ที่ประสบความสำเร็จจะไม่ถูกนำเสนอเป็นการป้องกันแบบเคลื่อนที่ที่ครอบคลุม ยกระดับรหัสที่น่าสงสัยผ่านกระบวนการรักษาความปลอดภัยที่องค์กรกำหนดขึ้นและคำแนะนำเฉพาะแพลตฟอร์มปัจจุบันสำหรับอุปกรณ์มือถือที่ได้รับผลกระทบ
ประเด็นสำคัญ — โค้ดคงที่ที่สร้างขึ้นในเครื่องซึ่งเข้ารหัส URL ที่อ่านได้คือครึ่งหนึ่งของการป้องกันของผู้จัดพิมพ์ และชุดเครื่องมือ QR และบาร์โค้ดจะสร้างสิ่งนั้นขึ้นมา
เพย์โหลดคงที่โดยตรงเป็นเพียงครึ่งหนึ่งของการป้องกันของผู้จัดพิมพ์ จับคู่ URL ที่จดจำได้และป้ายป้องกันการงัดแงะกับพฤติกรรมการสแกนที่จะตรวจสอบปลายทางก่อนดำเนินการที่ละเอียดอ่อน
การสนับสนุนเชิงป้องกันของผู้จัดพิมพ์คือการลบความคลุมเครือที่ไม่จำเป็น: ปลายทางโดยตรง โดเมนที่ได้รับการควบคุม โฮสต์ที่คาดหวังที่มองเห็นได้ และการบำรุงรักษาป้าย การมีส่วนร่วมของเครื่องสแกนคือการตรวจสอบก่อนดำเนินการ ทั้งสองฝ่ายไม่สามารถพึ่งพาการแก้ไขข้อผิดพลาดหรือการสร้างความไว้วางใจในท้องถิ่นได้ คุณสมบัติเหล่านั้นจะรักษาและสร้างเพย์โหลดที่เลือกอย่างถูกต้อง รวมถึงส่วนที่เป็นอันตรายหากผู้จัดพิมพ์จงใจหรือไม่ได้ตั้งใจ