Хабр Курсы для всех
РЕКЛАМА
Практикум, Хекслет, SkyPro, авторские курсы — собрали всех и попросили скидки. Осталось выбрать!
Хабр доступен 24/7 благодаря поддержке друзей
Комментарии 88
Уже добралось, можно сказать. На днях в московском метро видел подобное на рекламе в вагонах.
Кто-то ими пользуется?
А для кого, как вы думаете, оно делается?
загляните например сюда — QR Droid (Deutsch) — миллионы скачиваний, и это только немецкая версия.
Охо! Ещё как! И знаете, это очень удобно! Например быстро добавить контакт или установить приложение из google play.
А ещё с помощью QR кода можно предоставлять доступ к WiFi сетям для телефонов на ОС Android (возможно, телефоны на других ОС так тоже умеют).
Возможно, со временем, способов применения этих кодов будет всё больше и больше.
Возможно, со временем, способов применения этих кодов будет всё больше и больше.
Не знал про такую возможность. Спасибо! Однозначно в мемориз!
Это ж штрих код — способов и так масса. Например, как-то писал для одной фирмы приложение, где в коде «пряталась» информацию о клиенте + URL с идентификатором веб-приложения, и после распечатки оно наклеивалось на документ / папку.
Отсканировав его, сразу открывалась страница с картой этого гешевта/клиента.
Или вот недавно на хабре.
Отсканировав его, сразу открывалась страница с картой этого гешевта/клиента.
Или вот недавно на хабре.
Офигеть! Спасибо! Давно хотел как-то стилизовать пароль на домашний вайфай для гостей. Теперь это будет огромный QR-код! Правда, спасибо!
Я давно себе сделал картинку с домашнем WiFi, только для генерации я пользовался бесплатным приложением для Android: Barcode Generator / Reader
Мне мой ISP, вместе с pre-configured модемом выдал пластиковую карточку, при подключении, где пароль от точки доступа написан, и QR код, который андроид прекрасно понимает и удобно подключает — удобно одним словом :)
Это объясняется высоким уровнем доверия к информации, висящей например внутри крупного банка.
Мне интересно, как злоумышленник подсовывает свой QR-код на плакат внутри отделения банка. Это то есть он подходит к охранику и спрашивает: «вы бы не могли подержать стекло, пока я вам наклеечку поменяю»?
«У меня уже всё стекло, не надо мне ничего менять, вон иди на плакатах тренируйся...»
Это то есть он подходит к охраникуНикогда не видел охранников в банках в Германии. Может быть они и сидят где-то в подсобке за мониторами камер наблюдения, но сомневаюсь, что в каждом филиале сидит по охраннику.
Предбанник с банкоматами и плакатами открыт круглосуточно — можно зайти в капюшоне, чтобы лица на видеозаписи не разобрать, и наклеить бумажку с кодом.
1) В Европе банки, в большинстве своем, не охраняются. Камеры есть правда, но в основном они концентируются вокруг банковских автоматов.
2) Вечером, после закрытия, можно зайти в пустой банк, просто используя банковскую карточку как ключ (например чтоб снять деньги, или чтобы распечатать вытяжку со счета).
3) Злоумышленники умудряются навесить сканеры на банковские автоматы — а вы про стикер переклеить спрашиваете… Смешно право.
2) Вечером, после закрытия, можно зайти в пустой банк, просто используя банковскую карточку как ключ (например чтоб снять деньги, или чтобы распечатать вытяжку со счета).
3) Злоумышленники умудряются навесить сканеры на банковские автоматы — а вы про стикер переклеить спрашиваете… Смешно право.
Нет, как раз как поставить сканер на банкомат я вполне представляю — закрываешь спиной или камеру жвачкой залепливаешь и делаешь, что хочешь. А доход от такой операции сразу очень приличный получается. Банки же, по идее, — это всё-таки охраняемая территория, где риск быть пойманным значительно выше, особенно если придётся снимать стекло, а сколько людей поведутся на такой фишинг — непонятно. У меня на телефоне, например, QR-ридер только считывает зашифрованный текст, и если это URL, то вбивать его в браузер приходится всё равно самому. (Хотя, возможно, я просто отстаю от прогресса :))
Да никто не снимал стекло… см. коммент ниже.
«У меня на телефоне, например, QR-ридер только считывает зашифрованный текст, и если это URL, то вбивать его в браузер приходится всё равно самому. (Хотя, возможно, я просто отстаю от прогресса :)) „
Всё зависит от QR-клиента.
Всё зависит от QR-клиента.
И кстати во втором случае это было внешнее стекло (на внешней стене), т.е. стикер зеркальный, для тех кто с улицы.
В банках стекла не моют? Это конечно же не намек, а так, предположение…
Глядишь скоро на МКАДе начнут плакаты от имени банка развешивать: «Считай код и получи 1000 рублей на счет!»
Прикольно, но вот как бороться-то с этим? Ведь QR-код можно наклеить и просто на любой плакат, который изначально его не имел, поэтому не печатать QR-код — это не выход из проблемы. Подписывать их что ли?
Цветной QR-код или QR-код со внедренным логотипом компании: такие будет сложнее подделать.
gliffer.ru/articles/diy-ili-sdelay-sam--perevod-kak-razmestit-kartinku-vnutri-qr-koda/
Что-то вроде такого, хотя бы. Правда, от целенаправленного злоумышления против конкретной компании это не спасет.
Что-то вроде такого, хотя бы. Правда, от целенаправленного злоумышления против конкретной компании это не спасет.
Убрать все плакаты в досягаемости для людей.
Что ж, единственный выход — защита на уровне софта. Во «взрослых» браузерах есть защита от фишинга, встроенная и в виде расширений. А как с этим в мобильных аналогах?
единственный выход — защита на уровне софтаДа хоть на уровне харда.
У меня например на отдном почтовом ящике есть защита от спама. Софтина по вашему выражению «взрослая» + SpamAssasin на сервере + защита провайдера. Все равно раз/два в день во входящие прилетает спам.
Т.е. такая защита конечно лишней не будет, но далеко не панацея — ваш комменарий звучит примерно как:
— На компе антивирус — ни один вирус не пройдет.
— На сервере fail2ban, XSS/CSRF и со фильтры и т.д. — никто не пролезет.
«Единственная» в том плане, что лишь её можно применить в кратчайшие сроки. Хардварные решения внедрять гораздо дольше.
А какую защиту предложите вы?
А какую защиту предложите вы?
Дополнительно к вашему предложению:
1) Вниматильность и осторожность;
2) Контроль URL;
3) Пользоваться браузером на котором URL не скрывается или висит вверху хотя бы несколько секунд по показу странички;
4) Совсем хордкорно — централизованая выдача и/или подпись QR. (Что-то типа https сертификата).
1) Вниматильность и осторожность;
2) Контроль URL;
3) Пользоваться браузером на котором URL не скрывается или висит вверху хотя бы несколько секунд по показу странички;
4) Совсем хордкорно — централизованая выдача и/или подпись QR. (Что-то типа https сертификата).
1-2. Это поможет только если URL сайта знаком.
3. Половинчатое решение.
4. Даже теоретически нереально, имхо. QR технология не для того создавалась.
3. Половинчатое решение.
4. Даже теоретически нереально, имхо. QR технология не для того создавалась.
QR технология это просто другой формат штрих кода…
Я вам про уровень доверия: https страница подписаная легальным сертификатом вызывает больше доверия чем https страница с самоподписаным.
И да, я представляю себе всю сложность сего действа — потому и написал что хардкорно.
Я вам про уровень доверия: https страница подписаная легальным сертификатом вызывает больше доверия чем https страница с самоподписаным.
И да, я представляю себе всю сложность сего действа — потому и написал что хардкорно.
Я вам про уровень доверия: https страница подписаная легальным сертификатом вызывает больше доверия чем https страница с самоподписаным.HTTPS это HTTPS. К QR коду он отношения ведь не имеет.
Но тот же принцип может быть использован, чтобы подписывать QR, чтоб показать что оно легально. Кстати неплохой бизнес может получиться, да еще если законодательно обязать крупные фирмы делать это — (мечтательно) иду патентовать идею…
QR в описанном сценарии работает как простая ссылка на сайт фишеров.
Пусть это должна будет быть ссылка на HTTPS с нормальным сертификатом, а URL ссылки или хотя бы домен большими буквами принудительно отображается для пользователя с вопросом «вы уверены?». Это — вопрос политик безопасности мобильных браузеров, открывающих ссылки из QR-кодов.
Тогда уровень безопасности будет такой же, как в случае открытия обычной ссылки на десктопном компьютере, а может быть и выше.
Пусть это должна будет быть ссылка на HTTPS с нормальным сертификатом, а URL ссылки или хотя бы домен большими буквами принудительно отображается для пользователя с вопросом «вы уверены?». Это — вопрос политик безопасности мобильных браузеров, открывающих ссылки из QR-кодов.
Тогда уровень безопасности будет такой же, как в случае открытия обычной ссылки на десктопном компьютере, а может быть и выше.
Представте что Урл отличается одной буквой, а ссылка не https или сертификат поддельный — браузер тогда промолчит… дальше думаю ясно…
И что? Эта проблема не новая, она ровно в том же виде существует уже давно на десктопе. Эта проблема решается браузерами — в них есть защита от фишинга, которую можно так же встроить в мобильные браузеры.
Видимо вы не поняли сразу мысль, которую я хотел передать: следует на уровне политики безопасности браузера телефона/планшета считать QR-коды ненадёжными источниками, и предъявлять к ним повышенные требования — например, проверять адрес на фишинг, громко ругаться, если по ссылке встретились какие-то проблемы типа кривого сертификата или странной «опечатки» в имени домена.
Это означает некое обновление безопасности для всех этих мобильных браузеров. Возможно, отдельную настроку «отключить фильтр фишинга даже для адресов, полученных из QR-кодов» для любителей экономить мобильный трафик.
Видимо вы не поняли сразу мысль, которую я хотел передать: следует на уровне политики безопасности браузера телефона/планшета считать QR-коды ненадёжными источниками, и предъявлять к ним повышенные требования — например, проверять адрес на фишинг, громко ругаться, если по ссылке встретились какие-то проблемы типа кривого сертификата или странной «опечатки» в имени домена.
Это означает некое обновление безопасности для всех этих мобильных браузеров. Возможно, отдельную настроку «отключить фильтр фишинга даже для адресов, полученных из QR-кодов» для любителей экономить мобильный трафик.
проверять адрес на фишингВы один из тех, кто чувствует себя защищенным за антивирусом? Простите, но просто наивно как-то звучит…
Кроме того, сцена фишинга гораздо мобильнее, чем вы думаете… новые адреса появляются прежде чем в ваш blacklist успеют предпредыдущие внести. whitelist слишком хардкорно.
Насчет сертификатов, я уже писал выше — http например их не требует вовсе.
И каким интересно способом можно узнать, что сертификат левый — если он легальено подписан. Год назад был скандал (ссылку не найду), вот два года назад еще…
странной «опечатки» в имени домена.Я вам лучше просто пример приведу:
www.volkswagenbank.de?po=5
www.volkswagenbank-de.ro?...
www.volkswagenbank.ro?5
www.vw-bank.de?...
Компьютер хоть и умная скотина, но все же не человек: в шахматы играет, а вот обманывать не научили.
Можно подписывать информацию в QR-коде. Тогда будет ясно, чей это QR, ещё до открытия браузера.
кэп… вам сюда
Вся проблема не в том, чтоб подписать, а чтоб не дать это сделать злоумышленнику…
Вся проблема не в том, чтоб подписать, а чтоб не дать это сделать злоумышленнику…
Представьте, что вы — злоумышленник. А подпишите ка этот комментарий закрытым ключом Гула! Удачи.
Ну и что мне с того, что вы подпишите этот коммет вашим ключом:
1) Вы НЕ злоумышленник, но воспользоваться ключем Гугля тоже не сможете;
2) Вашего открытого ключа никто не знает
3) Ваш коммент переклеен, какая разница каким вообще ключем он был подписан.
Капитанить, блин, не подумав, очень легко…
1) Вы НЕ злоумышленник, но воспользоваться ключем Гугля тоже не сможете;
2) Вашего открытого ключа никто не знает
3) Ваш коммент переклеен, какая разница каким вообще ключем он был подписан.
Капитанить, блин, не подумав, очень легко…
Ну, во первых, открытый ключ он на то и открытый, что бы каждый желающий мог его получить.
Во вторых, ссылка подписывается ЗАКРЫТЫМ ключом той компании, которая размещает информацию. У любой, уважающей себя компании, есть сертификаты, выданные центами сертификаций. Подделать такую подпись нелегко. А ридер проверяет цифровую подпись, если неверна — в топку ссылку. Без подписи (фишинговую) тоже в топку.
Для самодельных кодов (например дома настройки wifi в виде QR оформили) можно force-режим сканера использовать.
Делов то.
Во вторых, ссылка подписывается ЗАКРЫТЫМ ключом той компании, которая размещает информацию. У любой, уважающей себя компании, есть сертификаты, выданные центами сертификаций. Подделать такую подпись нелегко. А ридер проверяет цифровую подпись, если неверна — в топку ссылку. Без подписи (фишинговую) тоже в топку.
Для самодельных кодов (например дома настройки wifi в виде QR оформили) можно force-режим сканера использовать.
Делов то.
А ридер проверяет цифровую подписьДак он и проверит «легальную» подпись фишера — ведь он же не знает что под этим кодом другой. Блин, устал разжевывать, еще раз перечитайте п. 3 ответом выше. И не пишите больше вещи, о которых не имеете ни малейшего понятия.
Пусть переклееный код. Но данные в этом коде будут без ЭЦП. Тогда эти данные можно смело отбраковывать.
А у фишера даже если будет ЭЦП, она будет недействительна. Либо после нескольких жалоб просто отзовут сертификат. Вы вообще представляете себе что такое центры сертификации и для чего они нужны?
Ааа, наконец то добрался до сертификатов — а теперь возми с полки пирожок, промотай эту ветку наверх, смотри п. 4, где я про них уже прошелся и мы со взрослыми дядями это уже обсудили.
Глубина комментариев закончилась. Не обращайте внимание.
На WP8 есть SmartScreen
Ну, как идея: внедрить в популярные читалки qr-кодов геопривязку и статистику. Плюс возможность отметить код как фишинговый.
Т.е., допустим, вы открываете ссылку с плаката, если ссылка новая, то на сервер отправляется скриншот (на нём же будет немного захвачена область помимо qr-кода), по нему + геопривязке можно сопоставлять коды и плакаты. Ну и отслеживать изменение кодов и соответственно реагировать.
Т.е., допустим, вы открываете ссылку с плаката, если ссылка новая, то на сервер отправляется скриншот (на нём же будет немного захвачена область помимо qr-кода), по нему + геопривязке можно сопоставлять коды и плакаты. Ну и отслеживать изменение кодов и соответственно реагировать.
А кто-то кроме меня полез сразу смотреть, что на QR-коде в начале статьи?
У одного увели и поменяли все пароли сохраненные в браузере телефона, после посещения рекламирующего фильм сайта, с QR-кода снятого в аэропорту Франкфурта. По прилету в Гамбург уже не мог зайти никуда;
Это что за жуткая уязвимость такая и где? Как можно отдать сохраненные в браузере пароли, просто перейдя по ссылке? Как-то плохо верится в такой ход событий.
Аэропорт, делать нечего — решил посмотреть трейлер к фильму. Так что подозрение на флэш плеер. Подробности попробую уточнить…
Уточнил: фишинговая страница была сделана на cinemaxx.de (известная немецкая сеть кинотеатров). УРЛ был вида "
Кстати, видео он так и не дождался, списав это на медленную скорость/загруженность в аэропорту. Единственный способ, как мне видится, это найти ту рекламе (QR-код). Только он не помнит точно, где он снял QR-код. А если кто был во Франкфурте — это как десять Шереметьего вместе с Домодедовыми (ну очень большой). Да и прошло уже больше месяца — рекламу уже наверно заклеили или ту дыру во флэше закрыли.
Такие дела.
m[hex].[cinemaxx].de/[anything]?(swf|video)?movie=..." что там на самом деле было вместо cinemaxx выяснить не представляется возможным (а жаль), т.к. он позже с перепугу сбросил телефон на заводские установки. Кстати, видео он так и не дождался, списав это на медленную скорость/загруженность в аэропорту. Единственный способ, как мне видится, это найти ту рекламе (QR-код). Только он не помнит точно, где он снял QR-код. А если кто был во Франкфурте — это как десять Шереметьего вместе с Домодедовыми (ну очень большой). Да и прошло уже больше месяца — рекламу уже наверно заклеили или ту дыру во флэше закрыли.
Такие дела.
А как происходит, собственно, заражение? QR-код — это ведь просто ссылка, которая открывается в браузере. Вроде бы само по себе открытие ссылки должно быть безопасным.
А если по ссылке был фишинговый сайт, то ситуация ничем не отличается от фишинговых ссылок в интрнете или спаме.
А если по ссылке был фишинговый сайт, то ситуация ничем не отличается от фишинговых ссылок в интрнете или спаме.
Ну в принципе вы правы, отличается только уровнем доверия: ссылку в Гугле или Яндексе вы обсмотрите пару раз, ссылке (QR) размещенной в банке, согласитесь, доверия больше — можно под лупой не разглядывать.
Вроде бы само по себе открытие ссылки должно быть безопасным.
Как бы не так. Есть, например, уязвимости браузера, плагинов, etc.
Великолепно! А что, если расклеивать QR-Код с моей аватарки (та самая уязвимость в Galaxy SIII, которая обнуляла устройство)?
Осталось еще штрихкоды в супермаркете переклеивать, на дорогие продукты, что бы на кассе пробивать их по цене спичек. Жалко в России пока кассиры дотошные. :)
Как защититься, кроме «не пользоваться»?
Проверять URL перед переходом, основываясь на собственных знаниях или совету сотрудника?
Сам не обладаю смартфоном, но из того, что видел: адрес показывается перед загрузкой страницы, но странная любовь всяких контор регистрировать под акцию новый домен типа акция(организация, магазин)-promo.ru (к примеру, Респект от Сбербанка), которые потом ещё и через официальный сайт фиг найдёшь — всё это изначально не вызывает доверия. Особенно, когда на листовке нет русскими буквами реального адреса куда ты должен попасть по этому коду.
бхаха!
первое решение от этого фишинга, что приходит мне в голову, делать QR коды частью дизайна плаката. Ну чтобы он как-то, ну не знаю, вписывался в окружение, что ли… Переклеивать фишинговый стикер на прозрачной плёнке не получится, просто с белыми краями — будет видно, подделывать фон кода, чтобы он вписался в окружающий дизайн плаката — хлопотно.
Но в целом да, очень жаль, что есть люди, которые порят такие отличные идеи. Как не крути, в некоторых случаях эти коды действительно делают нашу жизнь удобнее.
Кстати, настало время пристальнее посмотреть в сторону NFC тэгов? :)
Но в целом да, очень жаль, что есть люди, которые порят такие отличные идеи. Как не крути, в некоторых случаях эти коды действительно делают нашу жизнь удобнее.
Кстати, настало время пристальнее посмотреть в сторону NFC тэгов? :)
А их не будут подделывать?
я согласен, что это не панацея, но подделать их труднее, как мне кажется. Тэг можно защитить от перезаписи, а наклеить фишинговый «поверх» вряд ли получится (хотя я не пробовал). По крайней мере, обычно чип с тегом клеят под плакат и его не видно. Чтобы его заменить, нужно как-то расковырять наклееный плакат. Если он под стеклом — сделать это уже нереально.
я тут на досуге подумал, а что если сделать из длинных узких пластин решётку и поместить её поверх кода? Таким образом, она и не позволит заменить код на фишинговый, и мешать считыванию не будет :) Ну просто как идея.
Что-то типа того:
Что-то типа того:
Линк сломался. Новый:
Злоумышленник убрает решетку, клеит свой код поверх…
Вопрос, откуда пользователь должен знать, что оригинал был «защищен» решеткой?
Вопрос, откуда пользователь должен знать, что оригинал был «защищен» решеткой?
а если решётка на заклёпках или на каких-нить более-менее прочных декоративных замочках?
Другой вариант: есть такая фирма, которая специализируется на билбордах — JСDecaux, у нас в городе на остановках стоят их щиты. Так вот там плакаты вешаются за стекло, и изнутри подсвечивается лампой. Самый толковый вариант: на стекло не наклеить — будет видно сразу же. И даже если злоумышленник сможет открыть стекло, то клеить свой фишинговый код поверх плаката не имеет смысла — вечером включится подсветка изнутри и наклейка будет сразу видна.
Другой вариант: есть такая фирма, которая специализируется на билбордах — JСDecaux, у нас в городе на остановках стоят их щиты. Так вот там плакаты вешаются за стекло, и изнутри подсвечивается лампой. Самый толковый вариант: на стекло не наклеить — будет видно сразу же. И даже если злоумышленник сможет открыть стекло, то клеить свой фишинговый код поверх плаката не имеет смысла — вечером включится подсветка изнутри и наклейка будет сразу видна.
Отличный кейс для создания стартапа!
Ловите идею — хабрапиплы!
Только костяк — мясо додумывайте сами!
Можно написать QR читалку, которая обрабатывает только зарегистрированные у себя QR коды.
Регулярно производит сканирование ресурсов на которые редиректит.
Ведет рейтинг трастовости ресурсов.
P.S.
qrsecure.ru — ещо свободен!
Ловите идею — хабрапиплы!
Только костяк — мясо додумывайте сами!
Можно написать QR читалку, которая обрабатывает только зарегистрированные у себя QR коды.
Регулярно производит сканирование ресурсов на которые редиректит.
Ведет рейтинг трастовости ресурсов.
P.S.
qrsecure.ru — ещо свободен!
а вот в QR код в Беларуси qrcode.by/
А я хотел использовать этот метод ещё год назад для продвижения своего сайта расписаний фильмов (агрегатор по всем кинотеатрам города), в моём родном городе O на рекламных плакатах фильмов раньше не висело вообще никаких QR кодов.
Не стал, т.к. решил что это не очень честно по отношению к кинотеатрам, без их согласия. И в то же время — не очень удобно пользователю, если ссылки бы всегда были бы на главную, поэтому нужно было бы делать для каждого фильма свою наклейку с кодом, который бы вел на страницу этого фильма, что было очень накладно в плане производительности (куча времени бы на это уходило), поэтому я оставил эту идею до лучших времён)
Не стал, т.к. решил что это не очень честно по отношению к кинотеатрам, без их согласия. И в то же время — не очень удобно пользователю, если ссылки бы всегда были бы на главную, поэтому нужно было бы делать для каждого фильма свою наклейку с кодом, который бы вел на страницу этого фильма, что было очень накладно в плане производительности (куча времени бы на это уходило), поэтому я оставил эту идею до лучших времён)
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
Фишинг: Новый тренд — переклейка QR кодов в общественных местах