Корисні матеріали

QR-код і біометричний доступ: що він насправді робить, а що ні

Код на екрані не перевіряє ваше обличчя. Він лише переносить короткий доказ того, що перевірка вже відбулась. Уся безпека системи тримається на трьох речах навколо коду, і жодна з них не є самим квадратом.

Телефон показує QR-код із коротким токеном, зчитувач на турнікеті приймає його, а прохід потрапляє в журнал — Код на екрані — лише перепустка: вирішує турнікет, а пам'ятає журнал.

Сумнівний код? Сканер покаже адресу до того, як ви її відкриєте.

Перевірити код

Спочатку приберемо плутанину

Слово «біометричний QR» звучить так, ніби в квадраті зашитий ваш відбиток пальця. Нічого подібного. У квадраті лежить звичайний текст — найчастіше коротке посилання або довгий рядок символів.

Ліворуч квадрат QR-коду, праворуч відбиток пальця й замок усередині контуру телефона — У квадраті лежить токен, а не ваш палець. Відбиток узагалі не виходить із телефона.

Відбиток пальця ніколи не покидає телефон. Він розблоковує ключ, який лежить у захищеній частині пристрою, і вже цей ключ підписує те, що показано на екрані. Код — це лише спосіб передати підпис далі, на турнікет або камеру.

Тому правильна фраза звучить так: QR не робить доступ біометричним. Він робить біометричну перевірку переносною.

Що лежить у квадраті

Найчастіше це не сама адреса, а короткий токен — набір символів, який сервер упізнає й перевіряє. Є три звичні варіанти, і вони дуже різні за наслідками.

QR-код перетворюється на смужку токена з позначкою часу, а сервер відповідає двома зеленими галочками і одним червоним хрестиком — Усередині квадрата — короткий токен зі строком дії та сервер, який відповідає «так» або «ні».

Одноразовий код на кілька секундНайбезпечніший варіант. Таким кодом не можна скористатись двічі, і навіть якщо його сфотографують, наступного разу він уже не спрацює.

Токен із коротким строком життяДіє кілька хвилин. Зручно, коли людина йде від ресепшену до дверей, але встигає переслати скриншот колезі.

Постійний секретТой самий код щодня, надрукований на бейджі. Один раз сфотографували — і доступ мають усі, хто бачив це фото.

Три речі, які тримають систему

Якщо прибрати будь-яку з них, зручність лишається, а безпека зникає. Це варто повторити вголос, перш ніж замовляти обладнання.

Три картки із замком, годинником і щитом, а під ними смуга подій журналу — Систему тримають три речі: багатофакторний вхід, короткий строк дії коду й HTTPS. Четверта — журнал, який показує, хто зайшов.

Перевірка на сервері. Двері не вірять картинці. Вони питають сервер, чи дійсний цей токен, чи не використаний він уже і чи має ця людина право саме в ці двері.
Короткий строк життя. Токен має померти швидше, ніж людина встигне комусь його показати. Секунди й хвилини — норма. Дні — уже ні.
Прив'язка до пристрою або сесії. Підпис робить конкретний телефон. Якщо той самий токен прийшов з іншого пристрою, це тривога, а не вхід.

І четверта, нудна, але обов'язкова: журнал. Хто, коли, у які двері, з якого пристрою. Без нього ви не помітите, що один код ходить по офісу тиждень.

Як це виглядає в реальному проході

Людина підходить до турнікета. Дістає телефон, розблоковує його обличчям або пальцем — саме тут відбувається біометрія, на її власному пристрої. Застосунок показує квадрат.

П'ять з'єднаних кроків: розпізнавання обличчя, токен, QR-код, зчитувач і відчинений турнікет — Один прохід — п'ять кроків: розблокувати телефон, отримати токен, показати код, зчитати, відчинити.

Турнікет читає код, надсилає токен на сервер і чекає відповіді. Якщо токен дійсний, а людина має право входити саме тут і саме зараз — стулки відкриваються. Увесь шлях займає менше секунди, і саме тому це працює в натовпі на вході.

Важлива деталь: коли мережа падає, двері мають чітко знати, що робити. Відкриватися навстіж — ризик. Стояти намертво — теж ризик, бо люди почнуть тримати двері руками. Це рішення ухвалюють заздалегідь, а не в момент аварії.

Де це справді доречно

Технологія добре працює там, де людей багато, а доступи змінюються часто.

Офіс і коворкінгСпівробітники, підрядники, гості на зустріч. Доступ видають на день і забирають одним натисканням, без пластику.

Подія з денним бейджемКод живе на екрані, а не на роздрукованому бейджі. Підроблене фото нічого не дає, бо токен уже недійсний.

Лабораторія або сервернаДва фактори одночасно: щось, що є у вас (телефон), і щось, що є у вас в організмі (обличчя чи палець).

Готельний цифровий ключКод відкриває номер у визначеному вікні часу. Після виїзду він просто перестає працювати.

Де це погана ідея

Є місця, де QR-доступ створює більше проблем, ніж вирішує, і краще це визнати до впровадження.

Ліворуч друкована наклейка з копіями та червоним хрестиком, праворуч телефон зі свіжим кодом, смугою часу, камерою з хрестиком і зчитувачем із галочкою — Друковану наклейку копіюють хоч сто разів. Код із таймером не встигають сфотографувати.

Друкована наклейка з постійним кодом

Найгірший варіант із можливих. Код не змінюється, його фотографують один раз, і доступ має кожен, хто бачив фото. Таку наклейку треба знімати, а не захищати.

Код на екрані з коротким строком

Той самий квадрат, але вміст оновлюється кожні кілька секунд. Скриншот марний, пересилання теж. Це єдиний варіант, який варто розглядати.

Поганий код доступу впізнається за одним питанням: якщо я сфотографую його зараз і покажу через годину — він спрацює? Якщо так, захисту немає.

Чого код не робить

Варто відразу зняти зайві очікування, бо на них найчастіше й спотикаються.

Він не доводить, що людина — це саме та людина. Він доводить лише, що токен видано після успішної перевірки. Різниця стає помітною, коли телефон розблокований і лежить на столі.

Він не замінює охорону. Він не перешкоджає пройти за спиною колеги. Він не працює без живлення й без мережі, якщо ви не продумали локальний сценарій.

І він не робить систему безпечною сам по собі. Квадрат — це остання ланка, а не все коло.

Помилки, які трапляються найчастіше

Друкувати постійний код на бейджі й називати це біометричним доступом.
Перевіряти тільки картинку на пристрої, без звернення до сервера.
Ставити строк життя токена в добу, бо «так зручніше тестувати».
Не вести журнал і дізнаватися про проблеми з розмов у коридорі.
Не вирішити заздалегідь, як поводяться двері без мережі.
Залишати доступ колишнім підрядникам, бо «ніхто не згадав».

Як перевірити свою схему за десять хвилин

Вам не потрібно одразу купувати турнікети. Достатньо зробити один код і подивитись, як він поводиться.

Секундомір поряд зі списком із п'яти пунктів, кожен із галочкою — Десять хвилин із секундоміром дають більше, ніж довга презентація: один тестовий код показує все відразу.

Відкрийте генератор і створіть динамічний код на тестову сторінку. Уявіть, що це токен: подивіться, за скільки секунд ви здатні змінити те, куди він веде, і чи залишиться при цьому старий скриншот робочим.

Потім QR-студія: зробіть макет так, щоб код читався з екрана й з відбитком на пластиковій картці. Перевірте сканером, що саме він показує до відкриття сторінки, — у доступі це критично, бо людина має бачити, куди її ведуть.

Готові рішення

QR для Wi-FiПідключайте гостей одним скануванням. QR-візитівкаДіліться контактами без ручного введення. QR-менюВедіть гостей до актуального меню. QR для відгуківДайте клієнтам швидкий шлях до відгуку. QR для маркетингуПереводьте офлайн-аудиторію в онлайн. QR з аналітикоюДізнавайтеся, коли та звідки сканують.