الجواب المختصر
المسح آمن. رمز QR قطعة نص قصيرة مرسومة على هيئة مربعات، وتوجيه الكاميرا إليه يفعل شيئا واحدا بالضبط: يقرأ ذلك النص. هذه القراءة لا تستطيع تثبيت شيء، ولا زيارة شيء، ولا لمس شيء في هاتفك — للسبب نفسه الذي يجعل النظر إلى عنوان مكتوب لا ينقلك إليه.
الخطر يبدأ بعد خطوة واحدة، حين يفتح شيء ما ما تمت قراءته — وحيلة كل احتيال برموز QR كلها أن تحدث تلك الخطوة قبل أن ترى إلى أين أنت ذاهب. النص داخل الرمز عنوان لا يستطيع أحد قراءته بعينيه، ومعظم الهواتف تجيبه بنقرة واحدة متعجلة. أبق القراءة والفتح منفصلين، ولن يبقى للاحتيال شيء يشتغل عليه.
ما هو رمز QR فعلا
تحت المربعات لا يوجد سوى سلسلة من الحروف: بضعة آلاف على الأكثر، وأقل من ذلك بكثير في العادة. عنوان ويب، اسم شبكة واي فاي مع كلمة سرها، بطاقة اتصال، سطر نص عادي. صمم هذا النسق سنة 1994 لتتبع قطع السيارات في مصنع تويوتا، وهو لا يحتوي أي تعليمات من أي نوع. لا يستطيع رمز QR أن «يحمل فيروسا» كما لا تستطيع لافتة طريق أن تحمله.
ما يستطيع حمله هو نص يطلب من هاتفك شيئا: افتح هذا العنوان، انضم إلى هذه الشبكة، احفظ جهة الاتصال هذه. كل واحد من هذه طلب لا أمر. الرمز يقترح، ومن مسحه يقرر. الماسح الذي يريك النص ثم ينتظر آمن تماما. أما الماسح الذي يتصرف بالنص من تلقاء نفسه فقد سلم القرار لمن طبع الرمز — وهذا هو الفرق كله بين مسح آمن ومسح خطر.
حاشية من باب الأمانة: البرنامج الذي يفك الرمز قد تكون فيه أخطاء، شأن كل برنامج يحلل مدخلات، وقد ظهرت أخطاء كهذه في ماسحات على مر السنين. لكن ذلك الخطر يخص الماسح لا الرمز، وليس هو ما تعتمد عليه الاحتيالات. إنها تعتمد على النقرة.
حيلة الملصق
الاحتيال الذي شاع حتى استحق اسما — quishing — بسيط إلى حد محرج: اطبع رمزا من عندك، ألصقه فوق رمز حقيقي، وانتظر. على عداد مواقف السيارات، حيث يقود المزيف إلى صفحة دفع تشبه صفحة البلدية. على طاولة المطعم، فوق قائمة الطعام. على بطاقة الطرد التي تدخل من تحت الباب، بجانب عبارة «لم نجدك في البيت».
لاحظ ما الذي يجعلها تنجح. ليست البراعة التقنية — لا براعة هنا أصلا. بل كون رمز QR هو النوع الوحيد من العناوين الذي لا يستطيع إنسان قراءته قبل أن يتبعه. العنوان الملتوي المكتوب بالحروف يفضح نفسه أمام كل من ينظر إليه؛ العنوان نفسه مرسوما مربعات يبدو تماما كعنوان أمين. وحين يصير بوسعك أن ترى إلى أين مضى الرمز تكون قد وصلت فعلا: إلى صفحة بنيت لتشبه الصفحة التي توقعتها، وتسألك رقم بطاقتك.
الدفاع ليس أن تكف عن المسح. بل أن تنظر إلى العنوان بين المسح والزيارة، وهو ما يكلف نحو ثانيتين ويبطل الحيلة إبطالا تاما.
ثلاث طرق يكذب بها العنوان
ثانيتان من النظر تكفيان، لكن بشرط أن تعرف إلى أين تنظر. للعنوان الملتوي ثلاث هيئات تبدو أمينة، وثلاثتها تستحق أن تعرفها بمجرد رؤيتها.
1. الاسم قبل @
يجوز أن يحمل عنوان الويب اسم مستخدم مكتوبا قبل علامة @: كل ما قبل @ زينة، والوجهة الحقيقية تبدأ بعدها. [email protected] لا يذهب إلى مصرفك. إنه يذهب إلى evil.example حاملا «bankuka.com» اسم دخول لا معنى له. العين تقرأ أول العنوان؛ والمتصفح يقرأ آخره.
2. حروف ليست الحروف التي تشبهها
الأبجديات تتداخل. حرف а السيريلي يرسم تماما كحرف a اللاتيني، والعنوان المكتوب بأحدهما عنوان آخر يبدو على الشاشة مطابقا. لهذه الحيلة اسم — هجوم الحروف المتشابهة — وهي سبب إمكان أن تطابق وجهة ما، حرفا بحرف، الوجهة التي تثق بها وتكون مع ذلك في مكان آخر.
3. المحطة الأولى الأمينة
قد يكون العنوان في الرمز محترما بحق — مختصر روابط، تحويلة تسويقية، تتبع نقرات محرك بحث — ثم لا يفعل سوى أن يحيلك إلى مكان ليس محترما. العنوان الأول يجتاز الفحص؛ أما الوجهة فيقررها خادم بعدما تكون قد انطلقت. العنوان المختصر في رمز مطبوع لا يثبت سوءا، لكنه يعني أن العنوان الذي تستطيع فحصه ليس العنوان الذي ستصل إليه.
كيف تمسح رمزا بأمان
القاعدة جملة واحدة: اقرأ أولا، وافتح ثانيا، ولا تدع حركة واحدة تفعل الاثنين أبدا. وفي التطبيق:
- استخدم ماسحا يريك النص المفكوك ثم يتوقف. معظم كاميرات الهواتف تعرض الوجهة في شريط صغير قبل فتحها — اقرأ الشريط بدل نقره بحكم العادة، واقرأ آخر العنوان لا أوله.
- كن أشد ريبة حيث يكون الثمن أعلى والسطح عاما: كل ما ينتهي بدفع، وكل ما يعيش في الخارج. رمز عداد المواقف يستحق تفكيرا أطول من رمز لوحة المتحف.
- الرمز الذي يقود مباشرة إلى صفحة دخول أو بيانات بطاقة هو لحظة التوقف وكتابة العنوان الذي تعرفه أصلا بدلا منه. النسخة الشرعية من تلك الصفحة لا تبعد أبدا أكثر من بضع ضغطات على لوحة المفاتيح.
- رموز الواي فاي وبطاقات الاتصال تستحق الوقفة نفسها: أحدها يطلب من هاتفك أن يحفظ شبكة، والآخر أن يخزن شخصا. كلاهما مقبول إذا قبلته عن علم، ولا ينبغي لأي منهما أن يحدث في صمت.
كيف يتصرف القارئ هنا
في هذا الموقع قارئ رموز QR والباركود، وهو مبني على القاعدة التي ظلت هذه الصفحة تدافع عنها: لا يفتح شيئا أبدا. النص المفكوك يعرض كاملا، والمضيف الذي سيبلغه العنوان فعلا يستخرج إلى سطر خاص به، والتنكرات الثلاثة أعلاه تفحص وتسمى بأسمائها حين تظهر. فتح الرابط زر منفصل، يضغط بعد القراءة — أو لا يضغط أبدا.
القراءة نفسها تجري على جهازك. الصورة التي تمسحها تفك في متصفحك ولا ترسل إلى أي مكان، فالرمز الذي تشك فيه يمكن فحصه من دون أن يعلم أحد — بما في ذلك هذا الموقع — ما الذي قاله؛ والصفحة تواصل العمل بعد إطفاء الواي فاي، وهذه أسهل طريقة للتحقق من هذا الادعاء. أما الحمولة العدائية صراحة، كعنوان javascript: الذي سيشغل شيفرة عند من يفتحه، فتحرم من الرابط كليا وتسمى بما هي عليه.
النصف الآخر موجود أيضا: مولد رموز QR يرسم الرموز على جهازك، ودليل مرافق عن صنع رمز والتأكد أنه يقرأ قبل أن يذهب إلى المطبعة. وإن كان وراء سؤالك السؤال الأوسع — ما الذي يفعله فعلا تسليم أي شيء لموقع ويب — فلذلك صفحة خاصة به.