QR kodo atspausdinimas ir pasitraukimas yra viena iš dažniausių—ir pavojingiausių—klaidų, kurias daro verslo įmonės. Pats kodas yra inertiškas; rizika yra visiškai tame, kur jis nustumia žmones. Paskirties URL, kuris atrodė gerai sausio mėnesį, gali būti komprometavamas, pasibaigęs arba pagrobtas iki kovo mėnesio. Prieš spausdindami bet kokį QR kodą, būtina gauti išsamią peržiūrą jo paskirties. Čia yra praktinis septynių dalių kontrolinis sąrašas, kurį galite atlikti per mažiau nei 15 minučių.
Kodėl Paskirties URL Yra Atakos Paviršius
QR kodas yra tik užkoduota eilutė. Skaitikliai neinformuoja naudotojus taip, kaip tai daro naršyklės dėl įtartinų nuorodų, ir nėra vizualinio peržiūros prieš atidarant puslapį kamera. Tas derinys—mašininiam skaitomasis, vizualiai neaiškus, iš karto veiksmingasis—yra būtent tai, kas daro QR phishing ("quishing") tokį veiksmingą. Atakuotojai arba keičia fizinius kodus, arba komprometavimas paskirties po spausdinimo. Šis kontrolinis sąrašas sutelktas į paskirties pusę.
Septynių Dalių Saugios Paskirties Kontrolinis Sąrašas
1. Patvirtinkite, Kad HTTPS Yra Užtikrintas
Įveskite paskirties URL į naršyklę tiesiogiai. Jei svetainė įkraunama per HTTP, arba jei ji nukreipiama į HTTP bet kuriame grandinės taške, tai yra automatinis nepavykimas. HTTPS yra pagrindinė sąlyga, o ne papildomas dalykas. Patikrinkite visą nukreipimo grandinę naudodami nemokamą įrankį, pavyzdžiui, Redirect Detective arba SSL Labs—kai kurios svetainės nustato HTTPS pagrindiniame puslapyje, bet talpina nukreipimo puslapius per paprastą HTTP.
2. Patvirtinkite Domeno Amžių ir Registravimo Išteklį
Atlikite WHOIS paiešką paskirties domenu. Domenas, registruotas per pastarąjį 60–90 dienų ir turintis "mokėjimų" arba "prisijungimo" puslapį, yra raudona vėliava. Tai ypatinga aktualu, jei trečioji šalis ar agentūra sukūrė jums nukreipimo puslapį—patikrinkite, kad jie naudoja žinomą, jūsų atpažintą domeną, o ne naujai registruotą panašų.
3. Patikrinkite Kiekvieną Nukreipimo Žingsnį
Sutrumpinti URL ir dinaminiai QR kodai dažnai praeina per vieną arba daugiau nukreipimo sluoksnių prieš galutinę paskirti. Naudokite nukreipimo sekimo įrankį, norėdami patvirtinti:
- Joks tarpinis žingsnis nenusėda į skirtingą šakninį domeną nei tikėtasi
- Nuo jokio nukreipimo neparodoma IP adresas vietoj vardinio domeno
- Galutinis URL atitinka domeną, kurį ketinote
Dinaminiai QR kodai leidžia keisti paskirti po spausdinimo—tai galinga kampanijų dėl lankstumo, tačiau tas pats lankstumas reiškia, kad turite iš naujo atlikti šią patikrą, kai tik atnaujinate paskirti.
4. Nuskaitykite Paskirti URL Reputacijos Įrankiu
Įklijuokite galutinę paskirties URL į bent vieną iš šių nemokamų įrankių prieš spausdinimą:
| Įrankis | Ką Jis Tikrina |
|---|---|
| Google Safe Browsing (per VirusTotal) | Malware, phishing duomenų bazė |
| URLScan.io | Puslapio turinys, išorinės nuorodos, skriptai |
| PhishTank | Bendruomenės pranešti phishing puslapiai |
| Sucuri SiteCheck | CMS malware, sąrašo būsena |
Šiandien geras rezultatas nėra garantija šešiems mėnesiams—pridėkite pasikartojantį kalendoriaus priminimą, norėdami iš naujo patikrinti tiesiogiai veikiančius kodus kas ketvirtį.
5. Testuokite Puslapį Tikrame Mobiliajame Įrenginyje
Šis žingsnis nuolat praleistas. Atidarykite QR kodą Android ir iOS įrenginyje bei stebėkite:
- Ar puslapis įkraunamas be sertifikato klaidų?
- Ar jis iš karto nukreipiamas į netikėtą programų parduotuvę arba atsisiuntimo raginimą?
- Ar jis prašo leidimų (fotoaparato, vietos, kontaktų) prieš vartotojui sąveikaujant su bet kuriuo turiniu?
- Ar puslapis akivaizdžiai suformatuotas mobiliajam, ar tai yra žalias darbalaukio puslapis, rodantis, kad jis buvo greičiau sukurtas?
Netikėti atsisiuntimo raginiai ir agresyvūs leidimo prašymai yra du labiausiai pasitaikę signalai apie komprometavusį ar kenkėjišką nukreipimo puslapį.
6. Patvirtinkite Paskirties Nuosavybę
Tai skamba akivaizdžiai, tačiau sukelia problemas organizacijoms, kurios naudoja nuorodos sutrumpinimo paslaugas arba įdėtųjų trečiosios šalies nukreipimo sistemų. Klausinkite:
- Ar paskirties domenas registruotas jūsų organizacijai (arba tiekėjui sutartyje)?
- Ar turite prisijungimo kredencialus talpinimo aplinkai?
- Ar DNS įrašas yra jūsų kontrolėje?
Jei atsakymas į bet kurį iš šių klausimų yra „nežinau", išspręskite tai prieš spausdinimą. Nukreipimo puslapis, kurio negalite pakeisti arba greitai išjungti, yra atsakomybė.
7. Dokumentuokite ir Saugokite Tikslią Paskirti
Sukurkite paprastą skaičiuoklės eilutę kiekvienam QR kodui, kuris yra gamyboje: QR kodo ID arba žymą, tikslią galutinę URL, datą, kada ji buvo paskutinė patikrinta, ir kas ją patikrinti. Tai trunka 30 sekundžių vienam kodui ir nepamatuojama brangus, kai klaidingas žmogus pasinaudoja problema. Jis taip pat suteikia pradžios tašką—jei tiesioginis nuskaitymas išsprendžia į skirtingą URL nei dokumentuota, jūs žinote iš karto, kad ką nors pasikeitė.
Integravimas Į Jūsų Darbo Eigą
Jei naudojate QR kodo platformą su nuskaitymų analizės galimybėmis, galite sudėti elgsenos patikrą ant šio paskirties kontrolinio sąrašo: stebėkite staigius nuskaitymų tūrio sumažėjimus (vartotojai pasitraukia po nusileidimo) arba geografinius anomalijas, kurie siūlo bot veiklą arba komprometavusią nukreipimo grandinę.
Komandoms, generuojančioms kodus per didelį kiekį, pagalvokite apie tai, kad šis kontrolinis sąrašas būtų privalomas pritarimas prieš bet kurio spausdinimo užsakymo patvirtinimą—kaip tai daro korekterius, peržiūrint tekstą. Super QR kodo generatorius palaiko paskirties audito darbo eigas per jo prietaisų skydą, kur dinaminiai kodo paskirtyje gali būti atnaujintos ir dokumentuota iš esmės.
Pagrindiniai Dalykų Punktai
- Pats QR kodas nėra rizika—paskirties URL yra.
- Visada sekite visą nukreipimo grandinę, ne tik paviršutinio URL.
- Patikrinkite HTTPS nustiprinimą, domeno amžių ir URL reputaciją prieš kiekvieną spausdinimo eigą.
- Testuokite ant tikrų mobiliųjų įrenginių—sertifikato klaidos ir negaliojantys atsisiuntimo raginiai rodomi tik ten.
- Dokumentuokite kiekvieno tiesiogiai veikiančio kodo tikslią paskirti ir pasikartojančia kas ketvirtį iš naujo patikrą.
- Dinaminiai kodai suteikia jums lankstumo, tačiau reikalaudami iš naujo patikrinti kiekvieną kartą, kai keičiate paskirti.