Codice QR dannoso e attenuazione

Naviga le tue risposte
15

Ho appena iniziato a leggere un po 'di codice QR, quindi non ho completamente familiarità con le funzionalità del codice QR, ma un pensiero mi è passato per la testa oggi.

Ho scansionato un codice QR su una cartolina che ho ricevuto e immediatamente mi ha portato su un sito web.

Proprio come gli URL shortener, c'è qualche protezione dall'oscurare un sito dannoso nel codice QR?

Ho anche notato che puoi utilizzare il codice QR per più elementi come VCard, video di YouTube, ecc.

È possibile incorporare il codice che viene poi eseguito sul client durante la scansione?

Ancora una volta, ho appena iniziato a leggere, quindi la mia comprensione di questa tecnologia è piuttosto debole, ma principalmente quello che sto cercando sono alcune idee di potenziali minacce dalla scansione di codici QR, oltre a potenziali tecniche di mitigazione.

This question was IT Security Question of the Week.
Read the May 4, 2012 blog entry for more details or submit your own Question of the Week.

    
posta Purge 01.02.2012 - 03:48
fonte

3 risposte

11

Un codice QR non è altro che una codifica di dati. Gli URL codificati come codici QR sono solo un uso specifico. Come dici tu, soffre degli stessi problemi degli accorciatori di URL in quanto potresti non sapere mai dove andrà fino a quando non ti porterà lì. Tuttavia, qualsiasi decodificatore potrebbe fornire una zona di atterraggio sicura prima di consentire il lancio di un browser.

Poiché il codice QR può codificare qualsiasi dato fino a un massimo specifico, l'uso del codice QR è limitato solo dalle applicazioni che effettuano la scansione e fanno uso dei dati. Ciò consente un'area di attacco ampia e cieca. Inoltre, il decoder stesso potrebbe avere una varietà di buffer overflow da sfruttare.

    
risposta data 01.02.2012 - 05:18
fonte
6

La mitigazione è molto semplice e alcuni scanner di codici QR già fanno questo:

Non andare direttamente all'URL, ma visualizzarlo per intero, in modo che l'utente possa prima convalidarlo.

Tuttavia questo non è facile da usare, così spesso le app ti portano direttamente al sito web. Se quell'URL è malevolo (che è molto facile - potrebbe portarti a qualsiasi sito web) allora il tuo dispositivo potrebbe essere immediatamente compromesso. Game over.

    
risposta data 01.02.2012 - 10:45
fonte
1

Sì, possono essere un grosso problema e credo che alla fine sarà una minaccia comune. Ecco come funzionano .

    
risposta data 01.02.2012 - 07:52
fonte

Leggi altre domande sui tag

Come gestire le password del team? Quale algoritmo chiave host è meglio usare per SSH?