QR-коды и Rigas Satiksme

[Казз]

На остановках постепенно появляются новые таблички с расписаниями рижского транспорта - теперь и с QR-кодами.
Учет современных тенденций и поддержка смартфонов - это, конечно, хорошо.

Расписания выглядят как ламинированные листки бумаги с QR-кодами под ламинатом. Они достаточно несложно вытаскиваются из рамок и вставляются в них же. На большинстве остановок отсутствуют видеокамеры, которые могли бы фиксировать злоумышленников, меняющих таблички.

Как минимум еще в прошлом году появились (как минимум в Германии) хитро*опые мошенники, подкидывающие свои QR-коды (фейковые коды, подмена плакатов, или наклеивание поверх плакатов). Скиммеры, например, до Латвии дошли, и их жертвы были даже среди членов нашего клуба (см. старый форум). Наивно предполагать, что QR-мошенники из какой-нибудь Румынии до нас не доберутся.

Возможно, конечно, что я параноик и сгущаю краски. Буду благодарен за критику.

Немного ссылок по теме:
http://www.infosecisland.com/blogview/2 ... kulas.html
https://appsec-labs.com/blog/security-a ... omparison/
http://habrahabr.ru/post/165489/
http://www.examiner.com/article/qr-code ... bilities-1
http://www.youtube.com/watch?v=_mDOmc_5xZU

[Volfram]

QR код в этой ситуации ничем принципиально не отличается от просто нарисованного на заборе URL. By design.
Бороться с этим иначе как разъяснением, что по неизвестно откуда взявшимся ссылками лучше особо не бегатть - это перекладывать с больной головы на здоровую. Не предназначены QR для этого.

[Казз]

URL можно оценить на предмет соответствия остальной информации. Например, URL http://saraksti.rigassatiksme.lv на расписании вызывает больше доверия, чем URL http://ddssdsdsd12344.hhjhjh.nu там же. ряд сканеров QR-кодов либо не показывает URL (а в QR-е может быть закодирован не URL, а вовсе js-код, например), либо показывает первый URL, а не всю цепочку.

Да, и никто из 3G/4G-провайдеров в Латвии, насколько я знаю, такими разъяснениями не занимается. Ну и Rigas Satiksme этим тоже не озабочивается.

[Volfram]

URL можно оценить на предмет соответствия остальной информации.

Ага, и поэтому все так любят жмакать на результаты url shortener'ов ;) Не говоря уж про классические phishing-трюки с мелкими "опечатками" в домене.

ряд сканеров QR-кодов либо не показывает URL (а в QR-е может быть закодирован не URL, а вовсе js-код, например), либо показывает первый URL, а не всю цепочку.

Это неприятная проблема, согласен, но едва ли относится к Латвии или Rigas Satiksme.

[Казз]

URL можно оценить на предмет соответствия остальной информации.

Ага, и поэтому все так любят жмакать на результаты url shortener'ов ;)

http://untiny.me
http://longurl.org
и куча аналогичных сервисов и аддонов.
По-моему, все вменяемые люди пользуются одним из этих решений.

ряд сканеров QR-кодов либо не показывает URL (а в QR-е может быть закодирован не URL, а вовсе js-код, например), либо показывает первый URL, а не всю цепочку.

Это неприятная проблема, согласен, но едва ли относится к Латвии или Rigas Satiksme.

Латвия - страна непуганых владельцев смартфонов. Их надо просвещать (государству и 3G/4G операторам - но никто это не делает), а не создавать ситуации, идеально подходящие для мошенников (пока чемпион - Ригас Сатиксме).

[Volfram]

Вменяемые люди не доверяют содержимому QR-кодов.
К слову, в Латвии уровень сетевой грамотности довольно высок а глупого использования QR - довольно мало, относительно той же западной Европы. А в остальном я всеми руками за просвещение Есть конкретные предложения?

[Казз]

конкретное предложение:
1. Большой тройке операторов начать с выкладывания на сайте текста про опасность некритического использования QR-кодов. Но как их убедить, я не знаю.
2. Rigas Satiksme прекратить использовать QR-коды таким вот провоцирующим мошенников образом. Но как убедить Rigas Satiksme, я не знаю.

Можно, конечно, ждать до первых QR-мошенников.

[Ёжкин Кот]

Ты писал Ригас Сатиксме письмо с описанием проблемы?

[Казз]

Еще нет.
Я собираюсь вначале обсудить ее тут в течении нескольких дней (поскольку тут много айтишников), а потом уже писать и звонить.
Вдруг я неправ и паникую зря, и меня в этом кто-нибудь убедит.
А если я прав, то тут могут подкинуть аргументов и посоветовать, как лучше убеждать РС и провайдеров.

[Epmak]

QR-коды - это удобно. E-mail - тоже удобно. Интернет - тоже удобно. Достоинства перекрывают недостатки. Ведь мы сейчас общаемся по интернету не смотря на то, что в нем полно жуликов и вирусов.
Если человек считал на остановке мобильником QR-код и ему предлагают ввести номер своей кредитной карточки, то его наверное вводить не нужно.
Пора начинать пользоваться мобильными антивирусами. Для десктопов пользование антивирусами стало нормой. Станет нормой и для мобильников.