เครื่องมือข้อความและชีวิตประจำวัน · ชุดเครื่องมือ QR และบาร์โค้ด
จะเกิดอะไรขึ้นเมื่อคุณสร้างโค้ด QR ในเบราว์เซอร์ ไม่ใช่บนเซิร์ฟเวอร์
· มันทำงานอย่างไร
คิวอาร์โค้ด ความเป็นส่วนตัว การประมวลผลเบราว์เซอร์
เปรียบเทียบระหว่างตัวสร้าง QR ที่แสดงผลโดยเซิร์ฟเวอร์กับตัวสร้างที่ทำงานเป็น JavaScript ในแท็บ ซึ่งแสดงให้เห็นว่ามีข้อมูลใดบ้างที่ออกจากอุปกรณ์ของคุณในแต่ละกรณี และวิธีการตรวจสอบด้วยตนเอง
การสร้างในท้องถิ่นและระยะไกลเป็นสถาปัตยกรรมที่แตกต่างกัน พื้นที่เก็บข้อมูลนี้พิสูจน์เฉพาะเส้นทางในเครื่องของ ToolAcre เท่านั้น
สองหน้าสามารถแสดงรูปภาพ QR เดียวกันในขณะที่ใช้เส้นทางข้อมูลต่างกัน แหล่งที่มาของ ToolAcre พิสูจน์ว่าตัวสร้างส่งข้อความไปยังฝั่งเบราว์เซอร์ JavaScript ได้รับเมทริกซ์ในหน่วยความจำและแสดงผลในเครื่อง ไม่ได้พิสูจน์ว่าบริการที่ไม่เกี่ยวข้องทำงานอย่างไร
ความแตกต่างสามารถเห็นได้ที่ขอบเขตของฟังก์ชัน `buildPayload` ส่งคืนสตริงพร้อมบันทึกย่อและคำเตือน `generateQrMatrix` ใช้สตริงนั้น `renderQrSvg` หรือ `drawQrToCanvas` ใช้เมทริกซ์บูลีน ไม่มียอมรับการตอบสนองของเซิร์ฟเวอร์หรืออิมเมจระยะไกล URL ไซต์อื่นอาจใช้สถาปัตยกรรมที่อิงตามคำขอ แต่การวินิจฉัยนั้นจำเป็นต้องสังเกตไซต์นั้นมากกว่าที่จะถือว่า "เครื่องมือสร้างออนไลน์" เป็นการใช้งานแบบเดียวกัน
เครื่องกำเนิดไฟฟ้าระยะไกลสามารถรับข้อความเพย์โหลดได้ แต่พฤติกรรมการบันทึกของบริการอื่นต้องใช้หลักฐานแยกต่างหาก
สถาปัตยกรรมที่แสดงผลโดยเซิร์ฟเวอร์จำเป็นต้องส่งข้อมูลที่เพียงพอสำหรับกระบวนการระยะไกลเพื่อสร้างอิมเมจ แต่การเก็บรักษาบันทึก การแคช และการวิเคราะห์จะแตกต่างกันไปตามบริการ ถือว่าพฤติกรรมเหล่านั้นเป็นคำถามสำหรับผู้ให้บริการรายนั้น แทนที่จะนำเสนอสมมติฐานว่าเป็นข้อเท็จจริงที่สังเกตได้
ตำแหน่งข้อมูลระยะไกลจะต้องมีเพย์โหลดหรือการแสดงที่เทียบเท่าก่อนที่จะสามารถสร้างโมดูลเฉพาะเพย์โหลดได้ จะเกิดอะไรขึ้นหลังจากได้รับยังคงไม่ทราบแน่ชัดโดยไม่มีหลักฐาน: บริการหนึ่งอาจละทิ้งคำขอ อีกบริการหนึ่งอาจเก็บบันทึกแอปพลิเคชัน และหนึ่งในสามอาจใส่ข้อมูลในรายงานข้อผิดพลาด บทความนี้จึงสอนการตรวจสอบกระแสข้อมูล ไม่ใช่ข้อกล่าวหาว่าตัวสร้างเซิร์ฟเวอร์ทุกเครื่องเก็บข้อความที่ส่งมา
เส้นทางฝั่งเบราว์เซอร์ — ข้อความที่เข้ารหัสเป็นบิตสตรีม เพิ่มการแก้ไขข้อผิดพลาด และวาดตาราง ทั้งหมดนี้อยู่ภายในหน้า
ใน ToolAcre TextEncoder สร้าง UTF-8 ไบต์ เครื่องสร้าง qrcode สร้างเมทริกซ์ และ SVG ในเครื่องหรือโมดูลการวาดโค้ด Canvas ฟังก์ชันเหล่านั้นยอมรับค่าที่มีอยู่ในเพจแล้ว และไม่มีการเรียกดึงข้อมูลที่มีเพย์โหลด
การเรนเดอร์ในท้องถิ่นยังทำให้การก่อสร้างการส่งออกอยู่ในกระบวนการเดียวกัน SVG ถูกประกอบเป็นมาร์กอัปแบบ Escape พร้อมการวิ่งแนวนอนที่ผสานกัน PNG ถูกวาดลงบนผืนผ้าใบที่มีสี่เหลี่ยมโมดูลจำนวนเต็มและดาวน์โหลดเป็นหยดที่สร้างโดยเบราว์เซอร์ ผลลัพธ์ไม่มาถึงในการตอบกลับ HTTP กลไกดังกล่าวเป็นหลักฐานที่ชัดเจนกว่าไอคอนล็อค ซึ่งปกป้องการเชื่อมต่อแต่ไม่ได้กล่าวถึงสิ่งที่เซิร์ฟเวอร์ที่รับทำ
วิธีตรวจสอบด้วยตนเอง — การเปิดแผงเครือข่ายของเบราว์เซอร์ การสร้างรหัส และการเฝ้าดูคำขอที่ไม่เคยปรากฏ
เปิดเครื่องมือสำหรับนักพัฒนาซอฟต์แวร์ก่อนป้อนสตริงทดสอบเฉพาะ ล้างรายการคำขอ สร้างโค้ด และค้นหา URL และเนื้อหาของคำขอสำหรับสตริงนั้น นี่เป็นการยืนยันการอ้างสิทธิ์แบบแคบที่รุ่นนั้นไม่ได้ส่งเพย์โหลดในระหว่างเซสชันที่คุณสังเกต
ใช้ทั้งรายการคำขอและหลักฐานแหล่งที่มา ล้างแผงหลังจากโหลดเพจแล้ว สร้างจากเครื่องหมายที่ไม่เป็นอันตรายที่ไม่ซ้ำกัน และตรวจสอบคำขอใหม่สำหรับเครื่องหมายใน URL เพย์โหลด และข้อมูลแบบฟอร์ม จากนั้นยืนยันว่าเส้นทางการสร้างไม่มีการดึงข้อมูลหรือการเรียก XHR การตรวจสอบเพียงอย่างเดียวอาจอ่อนแอกว่า การสังเกตรันไทม์คือหนึ่งเซสชัน ในขณะที่การตรวจสอบแบบคงที่อาจพลาดพฤติกรรมการปรับใช้ที่แทรกเข้ามา
ทรัพยากรของเพจของบุคคลที่สามและการส่งเพย์โหลดเป็นคำถามที่แยกจากกันซึ่งจะต้องไม่ปะปนกัน
เพจอาจยังคงขอสคริปต์ แบบอักษร การโฆษณา หรือการวิเคราะห์โดยไม่ต้องส่งข้อความที่ถูกเข้ารหัส ในทางกลับกัน รายการที่ดูว่างเปล่าไม่สามารถพิสูจน์เกี่ยวกับการโหลดเพจก่อนหน้า ส่วนขยายเบราว์เซอร์ หรือการเปลี่ยนแปลงการใช้งานในอนาคต ดังนั้น ให้กำหนดขอบเขตข้อสรุปอย่างระมัดระวัง
แผงเครื่องมือที่เน้นพื้นที่เก็บข้อมูลบอกว่าตัวสร้างไม่ได้ร้องขอเครือข่าย ในขณะที่สัญญาการเผยแพร่ที่กว้างขึ้นเตือนว่าหน้าการผลิตสามารถโหลดทรัพยากรไซต์ที่จัดการโดยความยินยอมได้ ทั้งสองสามารถเป็นจริงได้เนื่องจากการจัดการเพย์โหลดและการจัดส่งเพจเป็นโฟลว์ที่แยกจากกัน รายงานสิ่งที่ถูกค้นหาและเวลาที่แน่ชัด “เครื่องหมายไม่อยู่ในคำขอการสร้าง” สามารถทำซ้ำได้ “เพจไม่มีที่ไหนจะรั่วไหล” กว้างกว่าหลักฐาน
ตัวอย่างการทำงาน: กรองบันทึกเครือข่ายสำหรับเพย์โหลดทดสอบ แทนที่จะคาดหวังเพจที่เงียบสนิท
ใช้ตัวอย่างอินทราเน็ตที่ไม่เป็นอันตราย เช่น https://intranet.invalid/menu-check-47, จากนั้นกรองบันทึกเครือข่ายสำหรับตรวจสอบเมนู-47 หลักฐานที่คาดหวังไม่ใช่คำขอที่มีน้ำหนักบรรทุก ไม่ใช่คำมั่นสัญญาว่าทรัพยากรของเพจทั้งหมดจะหายไป
ตัวอย่างเช่น ป้อน `https://intranet.invalid/menu-check-47` สร้าง แล้วค้นหารายละเอียดคำขอที่บันทึกไว้สำหรับ `menu-check-47` นอกจากนี้ ให้ตรวจสอบตัวอย่างเพย์โหลดเพื่อตรวจสอบว่าตัวสร้างไม่ได้แทนที่ที่อยู่อื่นอย่างเงียบๆ ผลลัพธ์ที่ชัดเจนแสดงให้เห็นว่าค่าเฉพาะเดียวกันได้ย้ายจากแบบฟอร์มหนึ่งไปยังอีกเมทริกซ์ภายในเครื่องระหว่างขั้นตอนการสร้างที่สังเกตได้นั้น ไม่รับรองส่วนขยายของเบราว์เซอร์ คำขอก่อนหน้านี้ หรือโครงสร้างการใช้งานในอนาคต
สิ่งนี้ไม่ครอบคลุมถึง: การแชร์รูปภาพในภายหลัง ทรัพยากรการปรับใช้ หรือเครื่องมือเครือข่ายที่ไม่เกี่ยวข้อง
การสร้างในเครื่องไม่ได้ควบคุมตำแหน่งที่จะอัปโหลดภาพที่ส่งออก วิธีบันทึกการเข้าชมของเซิร์ฟเวอร์ปลายทาง หรือเครื่องมือสื่อ ToolAcre ที่ไม่เกี่ยวข้องใดที่อาจดึงข้อมูลโดยการออกแบบ นอกจากนี้ยังไม่ได้ทำให้ความลับปลอดภัยหลังจากมีคนสแกนรหัสที่พิมพ์ออกมา
ภาพสุดท้ายคือสำเนาข้อมูลแบบพกพา การอัปโหลดไปยังระบบเอกสาร การส่งอีเมล หรือการพิมพ์สามารถเปิดเผยเพย์โหลดให้กับผู้คนใหม่ๆ แม้ว่ารุ่นจะเป็นคนในท้องถิ่นก็ตาม URL ที่ถอดรหัสแล้วยังติดต่อปลายทางเมื่อสแกนด้วย การประมวลผลแบบโลคัลจะลบโปรเซสเซอร์หนึ่งตัวออกจากการสร้าง จะไม่เปลี่ยนรหัส QR ที่มีรหัสผ่านหรือที่อยู่ภายในเป็นที่เก็บข้อมูลที่เข้ารหัส
สิ่งสำคัญ — ชุดเครื่องมือ QR และบาร์โค้ดทำงานได้ทั้งหมดในแท็บของคุณ ซึ่งคุณสามารถตรวจสอบได้ภายในไม่กี่นาที
คุณสมบัติความเป็นส่วนตัวที่มีประโยชน์นั้นแม่นยำ: การเข้ารหัสและการเรนเดอร์ QR ดำเนินการในเครื่องในการใช้งานที่ได้รับการตรวจสอบ ตรวจสอบคุณสมบัตินั้นกับเพจที่ใช้งานเมื่อเพย์โหลดมีความละเอียดอ่อน และเลือกใช้ซอฟต์แวร์ออฟไลน์สำหรับข้อมูลประจำตัวที่มีโมเดลภัยคุกคามที่เข้มงวด
สำหรับลิงค์ธรรมดา รุ่นท้องถิ่นเสนอเส้นทางที่เรียบง่ายและตรวจสอบได้ สำหรับข้อมูลประจำตัวหรือข้อมูลที่ได้รับการควบคุม ให้พิจารณาว่าควรมีอิมเมจ QR อยู่หรือไม่ และใช้เครื่องมือออฟไลน์หากทรัพยากรของเพจอยู่นอกโมเดลภัยคุกคาม การเรียกร้องความเป็นส่วนตัวควรเป็นไปตามวงจรชีวิตที่สมบูรณ์—การป้อน การสร้าง การดาวน์โหลด การแชร์ การสแกน และปลายทาง—ไม่หยุดหลังจากยืนยันว่าตัวเข้ารหัสเองขาดการโทรผ่านเครือข่าย