Так ли безобиден, как его малюют? QR-код как брешь в информационной безопасности.

Пользуясь бесконтактным способом оплаты или заказа посредством QR-кодов, столь неожиданно – но всё же закономерно – распространившихся во время и вследствие пандемии, покупатели и посетители баров, ресторанов и магазинов (в том числе базирующихся во всемирной сети) могли бы получить гораздо больше, чем просто заказ гамбургеров.

Квадратные чёрно-белые пиксельные коды стали повсеместно доступными, что конечно же вызвано их удобством, особенно на фоне ковидных рисков, о чём нам постоянно напоминают массмедиа. Поэтому неудивительно, что они стали столь же востребованным средством профилактики и охраны здоровья во многих заведениях торговли, общепита и прочего обслуживания, как те же медицинские маски и перчатки.

Однако в этом кроется и главная их опасность: такой код устраняет необходимость не только в физическом контакте с обслуживающим персоналом – через то же печатное меню в ресторане или чек, – но иногда даже и в серверах, принимающих заказы. В то же время потребители, которые сканируют простые в использовании коды, тем самым оказываются обезоружены собственным доверием как к поставщику услуги, так и к технологии QR-кодирования. В каждом таком случае мы невольно позволяем тому же магазину или ресторану собирать наши конфиденциальные данные. Эта информация даёт представление о наших интересах, недавних действиях и контактах: что мы купили, что искали в интернете, где были и о многом прочем. В будущем всё это может пригодиться рекламным компаниям для продажи нам других товаров и услуг. 

«Это что-то вроде загадочного ящика, – говорит о, казалось бы, безобидном коде «быстрого ответа» доктор компьютерных наук Дэвид Чоффнес, исполнительный директор Института кибербезопасности и конфиденциальности, доцент информатики. – Вы действительно не знаете, что получите. И по большей части люди этого не видят». 

Так как же обыкновенный потребитель может защитить свои личные данные от подобного злоупотребления доверием со стороны поставщиков услуг? 

Начнём по порядку.

Что и как.

QR-код представляет собой оптическую метку (штрих-код), считываемую сканерами. Обычно она содержит сведения об элементе, на котором находится, но в такой принадлежности бывают и исключения. Этот тип матричного штрих-кода впервые разработан для автопрома Японии в 1994 году. Он позволяет эффективно хранить данные благодаря четырём стандартизированным режимам кодирования. Система стала популярной за пределами автомобильной промышленности благодаря высокой читаемости и большей ёмкости хранилища по сравнению с обычными штрих-кодами, которые способны хранить лишь до 20 цифр. Более чем трёхсоткратное превосходство в обрабатываемых объёмах информации стало той особенностью QR-кода, которая и позволили ему стать технологией, востребованной сегодня по всему миру.

Но дело не только в этом. Другой стороной медали выступает универсальность и живучесть этого инструмента. Во-первых, его можно считывать как по горизонтали, так и по вертикали, а во-вторых, во многих случаях вы можете восстановить материалы из повреждённых или загрязнённых изображений.

В общем, в контексте нашей статьи, основная идея заключается в том, чтобы вместо громоздких коммуникаций с веб-сайтом, на который нужно зайти и воспользоваться его поиском для нахождения большого набора интересующей нас информации, мы могли просто отсканировать компактное квадратное изображение с чёрными и белыми сегментами, которое и предоставит нам все эти данные. Для чтения закодированного таким образом послания у нашего смартфона есть всё, что нужно: QR-сканер или камера и соответствующее ПО. Его содержание может оказаться текстом, URL-адресом или даже приложением для вашего телефона. Вот и всё, таков смысл и назначение этого простого инструмента.

А вот теперь…

Да, пусть сами штрих-коды ничего не хранят – это просто изображения, – но для наших телефонов они являются ключом, который может открыть отслеживание доставки, идентификацию товара или интернет-ссылки. Начинкой кодов может оказаться общий маркетинг, управление приложением и многое другое. Именно их скрытое содержание – процессы, для запуска которых они предназначены – придаёт этим картинкам особое значение как для наших устройств, так и для имеющейся в них конфиденциальной информации.

Но игра начнётся только после того, как смартфон интерпретирует эту тёмную лошадку. 

Давайте предположим, что вы кликнули по маркетинговому письму типа объявления. Вы, наверное, замечали, что, загружаясь, страница не только читает так называемый GAP.com (Guaranteed Asset Protection – гарантированная защита активов) – «пункт назначения» ссылки, но и содержит кучу мусора в конце. Именно он, этот мусор в конце, отслеживает материалы из вашей электронной почты и передаёт на сайт рекламодателя. 

Примерно таким же образом, как только QR-код откроет ссылку на вашем телефоне, сторонние ресурсы смогут собирать любые сведения о вашем телефоне, доступные вашему веб-браузеру. Или, если штрих-код открывает какое-либо приложение, создатель кода может собрать данные о координатах наиболее часто посещаемых вами мест, или о чём-то ещё из того, на что имеются разрешения у запускаемого оптической меткой приложения.

Особое место.

Они удобны и не выглядят вредными – просто чёрные модули в квадратной сетке на белом фоне. Но поскольку они могут открывать непредсказуемые для пользователя приложения или веб-сайты, да к тому же и передавать куда-то его информацию, то у нас есть все основания констатировать уязвимость конфиденциальности в связи с наличием возможности произвольного отслеживания со стороны злоумышленников. 

Нас могли бы успокоить 20 страниц политики конфиденциальности – даже несмотря на то, что их никто не читает обычно, – но их рядом с QR-кодом, разработанным, чтобы вы могли просто сканировать и двигаться дальше, нет и быть не может. Так что о прозрачности можно только мечтать. 

Пользуясь этим инструментом, нужно осознавать, что серьёзность описанной здесь проблемы остаётся всегда. Сколько бы у вас ни было благоприятного опыта в прошлом, эти удачи ничего не гарантируют в следующий раз. Этот инструмент создан во имя интересов компаний, а не для защиты отдельных лиц. Но нам, пользователям, необходимо знать что делает QR-код и что происходит, когда мы активируем его. А как раз это мы здесь упускаем вследствие технологической особенности решения. Так что это слепое пятно определённо никуда не денется.

Наихудший сценарий.

Все мы имеем дело с системой страхования. Так вот, в странах, где не предусмотрено государственное медицинское страхование, вам могут поднять его стоимость, если заметят, что вы часто едите фаст-фуд или посещаете рестораны быстрого питания. Или, допустим, ваша автостраховка может вырасти в цене только потому, что собранные данные покажут вашей компании, что некоторое время вы выпиваете больше определённого количества в год. Это, де, позволяет ей считать вас клиентом с более высоким риском, чем прежде, и либо повысить ставки, либо прямо отказать вам в услуге автострахования. 

Не стоит также забывать, что во всём мире расширяются полномочия органов правопорядка, а некоторые страны уже можно назвать полицейскими государствами.  Поэтому всё чаще полиция использует доступ к личным данным, собранным другими компаниями, как источник доказательства неблагонадёжности подозреваемого или подсудимого, даже не имея фактической доказательной базы его вины. Другими словами, поскольку наше общество таково, что полноценно жить в нём можно только отказавшись от прав на данные личного характера, то полиция, по сути, может с лёгкостью пренебрегать законодательными нормами относительно неприемлемости необоснованных обысков и задержаний, а также требованиями, чтобы любые ордеры на обыск выдавались судами и исключительно при наличии достаточных оснований.  

Не менее важным предстаёт пример с теми же ресторанами. Опираясь на данные о ваших затратах на питание, они могут попытаться продать вам более дорогие блюда из своего меню – ведь оно теперь цифровое, а не фиксированное. Проводится множество всевозможных исследований о том, как разработать меню и увеличить продажи. На самом деле это едва ли не основная вещь в ресторанной индустрии, поэтому меню может быть адаптировано для каждого человека индивидуально. Между тем, в этих ресторанах собственного программного обеспечения может и не быть. Они могут договориться с какой-то другой компанией, которая, вероятно, собирает данные для целой группы ресторанов. И пока существует возможность этим заниматься, любые данные могут быть упакованы и перепроданы другим, за счёт чего на информации, составляющей ваши конфиденциальные данные, зарабатывается ещё больше. 

Что делать?

В целом, если у вас есть другой вариант, то от использования QR-кода лучше отказаться. Так что, если есть нормальное меню, стоит так и поступить. 

Но иногда у нас нет такой возможности, и тогда, кроме контроля за разрешениями приложений и веб-сайтов, обычный потребитель мало что может сделать. Что ж, тем более повышается важность этого пункта.

Строго говоря, бороться с этим действительно нужно. Потребитель в любом случае должен знать, что происходит, и для этого стоит поискать более эффективные способы раскрыть суть процесса, запускаемого графической меткой, чем постановка перед фактом. В общем, выводы неутешительны: если у нас нет выбора, мы мало что можем сделать. Поэтому ищите варианты получше. 

АРМК, по материалам Northeastern University.