Кібербезпека та QR

QR-коди до публічного Wi-Fi: що перевірити за десять секунд

QR-код на стіні кафе зручний рівно до того моменту, коли хтось наклеїв свій поверх нього. Погана новина: підробка може виглядати точнісінько як оригінал. Добра: перевірка займає кілька секунд, і її варто робити щоразу, коли ви сідаєте в новому місці.

Постер із QR-кодом, телефон сканує його, а далі два шляхи — до роутера і до чужого ока — Наліпка на стіні, один скан — і код веде або до роутера кавʼярні, або до чужого ока. Видно це тільки в адресі.

За однаковим квадратом ховаються два різні коди

Саме цю частину більшість інструкцій пропускає, а вона й визначає, де насправді лежить ризик. Одні коди несуть налаштування мережі: назву, тип шифрування, пароль. Телефон читає квадрат і підключається, нічого у вас не питаючи. Інші не несуть нічого, крім вебадреси: скан відкриває сторінку, де ще треба натиснути кнопку, прийняти умови або щось ввести.

Більшість закладів використовують другий варіант, бо сторінка входу дозволяє показати меню, зібрати пошту або обмежити час сеансу. Ця одна деталь змінює всю пораду: з кодом-налаштуванням небезпека в мережі, з кодом-посиланням — у сторінці. І дивитися треба саме на сторінку.

Два однакові постери: на одному наліпка поверх коду, на другому код тихо передрукували — Ліворуч наліпку видно одразу. Праворуч код передрукували тихо — і саме на нього ніхто не дивиться.

Що код може і чого не може

Wi-Fi-код не може нічого встановити на телефон, прочитати ваші повідомлення чи відкрити камеру. Це не застосунок і він не виконує програм. Навіть у найгіршому випадку він робить одне з двох: підключає вас до мережі, до якої ви не збиралися, або відкриває сторінку, яку ви не збиралися відкривати.

Це справді втішає — і саме тут утішання закінчується. Обидва результати віддають комусь позицію, якої в нього до вас не було. Чужа мережа — це реальна вразливість, а переконлива фальшива сторінка — найстаріша атака в інтернеті. Код не є нападом. Код — це двері.

Ліва колонка: що код може нести — сторінку, вхід у Wi-Fi, картку. Права: що не може — пароль, око, людину — Код несе адресу й більше нічого. Усе, що ви бачите далі, вирішує сторінка за цим посиланням.

Перевірка на десять секунд

Чотири речі, у такому порядку, і жодна не потребує технічних знань.

Дивіться на наклейку, а не на кодЧи вона наклеєна поверх іншої? Другий шар, товщий край, кут, що відклеюється, чистий прямокутник на брудній стіні. Справжні таблички друкують, ламінують або прикручують.

Порівняйте назву мережі літера в літеруПідключайтеся зі списку мереж у самому телефоні й звірте назву з надрукованим на картці. «Cafe Free» і «Cafe_Free» — різні мережі.

Спитайте, чого хоче сторінкаГостьова мережа може попросити пошту або номер кімнати. Вона ніколи не потребує пароля, який ви використовуєте деінде, номера картки чи коду з SMS для входу.

Спитайте, хто за нею стоїтьЧи називає сторінка заклад, у якому ви сидите? Екран входу без назви, без логотипа й без адреси міг би належати кому завгодно.

Якщо хоч одне з чотирьох виглядає не так, користуйтеся мобільним інтернетом. Це весь висновок. Ще ніхто не пошкодував, що не підключився до мережі кафе.

Телефон із лупою і годинник: десять секунд на адресу перед натисканням — Десять секунд: прочитайте адресу в сканері. Не те, що чекали — не тисніть.

Сама мережа — більший ризик

Ось чесна версія, без шпигунських фільмів. У відкритій мережі той, хто її тримає, бачить, до яких сайтів ви підключаєтеся, навіть коли самі сторінки зашифровані. Він також може підставити свої сторінки там, де мали бути ваші. Вміст HTTPS-сторінки він не прочитає, але бачить, куди ви пішли, і може підсунути щось на шляху.

На практиці це вужче, ніж лякають статті. Читати новини в кафе — нормально. Заходити в банк, платити збереженою карткою чи відкривати робочу пошту — ні, бо саме в ці моменти має значення, що за вами дивляться, і саме там фальшива сторінка дає результат.

Телефон надсилає дані до роутера, частина пакетів звертає вбік, до чужого ока — Слабке місце — не код, а мережа. У відкритій мережі частина ваших даних іде не туди.

Три підробки, які варто впізнавати

Майже кожен реальний випадок вкладається в одну з цих трьох форм. Виглядають вони по-різному, і відповідь на кожну різна.

Наклейка поверх наклейки

Оригінальний код лишається на стіні цілим, зверху з'являється новий. Найдешевший і найпростіший спосіб. Дивіться на краї — це та єдина фізична перевірка, яка ловить більшість випадків.

Мережа, що відрізняється одним символом

Дві мережі майже з однаковою назвою: одну тримає заклад, другу — хтось поблизу. Код підключає вас до другої. Підключайтеся зі списку мереж, а не через код, і звіряйте написання з надрукованим.

Сторінка входу, що просить зайве

Переконлива копія сторінки закладу, яка просить картку «для підтвердження», пароль від пошти або код з SMS. Нічому, що потрібно гостьовій мережі, це не потрібно. Закрийте і введіть адресу вручну.

Три панелі: переклеєна наліпка, адреса зі зміненою літерою, одна адреса на два різні місця — Три хитрощі: наліпка поверх, одна змінена літера в адресі, один код на два різні місця.

П'ять хвилин після підключення

Більшість шкоди трапляється після скану, а не під час нього, і звички тут дрібні. Не відкривайте банк і не платіть карткою в мережі, яку ви не контролюєте. Якщо сайт, де ви вже були в акаунті, раптом пропонує «увійти ще раз», закрийте вкладку і введіть адресу самостійно, а не йдіть за посиланням.

Ще дві, які нічого не коштують. Вимкніть автопідключення до відкритих мереж, щоб телефон перестав чіплятися до «Free_WiFi» у кожному місті. І ставтеся до замка в адресному рядку як до мінімуму, а не до гарантії: він означає, що з'єднання зашифроване, а не що сайт порядний, бо сертифікати безкоштовні й доступні кому завгодно.

Список із пʼяти пунктів поруч із годинником: що зробити в перші хвилини після підключення — Перші пʼять хвилин: вимкнути спільний доступ до файлів, банк відкласти, перевірити адресу сторінки входу.

VPN, точка доступу й чесні межі

VPN ховає ваш трафік від власника мережі — саме від того, про що йшлося вище. Він не рятує від фальшивої сторінки входу, бо ви ввели дані на неї ще до того, як з'явився будь-який тунель. І він не робить ненадійний заклад надійним: він лише означає, що власник бачить менше.

Для більшості людей простіша відповідь — власна точка доступу на телефоні: без підписки, без застосунку, мережа ваша. VPN має сенс, якщо ви регулярно працюєте з кафе. Але жодне з двох не замінює перевірку на десять секунд, бо обидва починаються після того, як ви вже підключилися.

Синя захищена лінія в тунелі й червона гілка, що витікає повз нього — VPN загортає трафік у тунель, але не робить вас невидимим. Частина все одно виходить назовні.

Якщо ви тримаєте заклад

Майже весь ризик вище створює заклад, а не гість, і майже весь його можна прибрати за барною стійкою. Повісьте код там, де його бачить персонал: столик у кутку або стіна за рогом — це місця, де підробка живе місяцями. Надрукуйте назву мережі й пароль звичайним текстом поруч із кодом, щоб нікому не доводилося сканувати, аби дізнатися назву, і щоб розбіжність у назві стала очевидною.

Перевіряйте наклейку за графіком, а також після кожного ремонту, генерального прибирання чи зміни керівництва. Фотографуйте кожне розміщення, щоб наступна людина знала, як воно має виглядати. І лишайте код зручністю, а не єдиним входом: надрукований пароль — менший ризик, ніж гість, який здався і просить точку доступу в незнайомця.

Дві наліпки: одна поверх іншої з червоним хрестиком, друга з цілою пломбою — Якщо заклад ваш: друга наліпка поверх вашої — це вже сигнал. Пломба і погляд раз на тиждень закривають питання.

Як виглядає добрий Wi-Fi-код у закладі

Один код, на рівні очей, за стійкою або на ній, там, де працівник може глянути на нього мимохідь. Надрукований або заламінований, а не гола наклейка, на матовому матеріалі, щоб стельові лампи не з'їли половину квадрата. Назва мережі читабельним текстом над ним, пароль під ним і один короткий рядок про те, що буде після скану.

Цей останній рядок важить більше, ніж здається. «Скануйте, щоб підключитися — відкриється сторінка, пароль не потрібен» знімає вагання, через яке люди сканують перше-ліпше, зокрема наклейку, яку хтось інший приліпив. Гість, який знає, чого чекати, — це гість, який помітить, коли щось не так.

Зліва код на стійці на рівні очей, справа дрібний код у куті екрана — Добрий код видно з кроку і не треба шукати. Поганий — дрібний, у куті, за склом.

Помилки, які трапляються найчастіше

Підключитися до мережі, бо так сказав код, замість звірити назву з надрукованою.
Сканувати, не глянувши на саму наклейку — шар, краї, слід клею.
Ввести номер картки або пароль від пошти на гостьовій сторінці входу.
Перейти за посиланням «увійти ще раз» зі сторінки, яку ви не відкривали.
Лишити автопідключення до відкритих мереж і потім дивуватися, чому телефон підключився сам.
Тримати в закладі код, який є єдиним способом дізнатися пароль.

Шість карток: угорі типові помилки з хрестиком, унизу виправлені з галочкою — Шість звичних помилок і що робити замість них. Нічого складного — це звичка, а не проєкт.

Як зробити це на практиці

Якщо мережа ваша, динамічний QR-код — кращий вибір із двох причин, які не мають нічого спільного з дизайном: призначення можна змінити без передруку карток, коли переїде сторінка входу, і ви отримуєте лічильник сканів, який каже, чи кодом взагалі користуються. Код, який ніхто не сканує, — це код, який ніхто не обслуговує.

У QR-студії збирайте не квадрат, а всю картку на столі: назва мережі чітким текстом, код читабельного розміру, ціла тиха зона, матовий фон. Погані коди в закладах зазвичай не погано намальовані — їх малюють нашвидкуруч і затискають у кут, де біле поле зникає.

А потім перевірте готовий друк у QR-сканері — у самій залі, за фактичного світла, найстарішим телефоном, який знайдете. Код, що ідеально читається на моніторі й не читається на ламінованій картці під лампою, означає передрук, і саме через передруки заклади перестають цим займатися.

Чотири кроки: створити код, надрукувати, повісити, перевірити телефоном — Як зробити: створити код у генераторі, надрукувати великим, повісити на рівні очей і просканувати власним телефоном.

Наступні кроки, готові до використання

Як зробити Wi-Fi-кодНалаштування мережі, типи шифрування й сторінка входу. Як працює QR-фішингЧому код — це посилання з прихованою адресою. QR-коди й безпекаНіщо не зашифроване, і що це означає для вас. Наклейки поверх наклейокФізичний бік проблеми й як перевірити заклад. Дизайн, який ще скануєтьсяКонтраст, тиха зона й де може стояти логотип. Як правильно друкувати кодРозмір, матеріал і пастка роздільності.