क्या QR कोड स्कैन करना सुरक्षित है?

छोटा जवाब

स्कैन करना सुरक्षित है। QR कोड चौकोर खानों में बना टेक्स्ट का एक छोटा टुकड़ा है, और उस पर कैमरा तानने से ठीक एक ही चीज़ होती है: वह टेक्स्ट वापस पढ़ लिया जाता है। यह पढ़ाई न कुछ इंस्टॉल कर सकती है, न कहीं जा सकती है, न आपके फ़ोन की किसी चीज़ को छू सकती है — ठीक उसी वजह से जिस वजह से किसी लिखे हुए पते को देखना आपको वहाँ पहुँचा नहीं देता।

खतरा एक कदम बाद शुरू होता है, जब कोई चीज़ पढ़े हुए को खोलती है — और QR के हर फ़रेब की सारी चाल यही है कि वह कदम आपके यह देखने से पहले हो जाए कि आप जा कहाँ रहे हैं। कोड के भीतर का टेक्स्ट एक ऐसा पता है जिसे कोई आँखों से पढ़ नहीं सकता, और ज़्यादातर फ़ोन उसका जवाब एक ही उतावले टैप से दे देते हैं। पढ़ने और खोलने को अलग रखिए, और फ़रेब के पास काम करने को कुछ बचता ही नहीं।

QR कोड असल में है क्या

खानों के नीचे अक्षरों की एक लड़ी के सिवा कुछ नहीं है: ज़्यादा से ज़्यादा कुछ हज़ार अक्षर, अक्सर उससे कहीं कम। एक वेब पता, किसी Wi-Fi नेटवर्क का नाम और पासवर्ड, एक संपर्क कार्ड, सादे टेक्स्ट की एक पंक्ति। यह फ़ॉर्मैट 1994 में टोयोटा की फ़ैक्टरी में गाड़ियों के पुर्ज़ों पर नज़र रखने के लिए बनाया गया था, और इसमें किसी किस्म का कोई निर्देश नहीं होता। QR कोड उतना ही “वायरस रख” सकता है जितना कोई साइनबोर्ड।

वह जो रख सकता है, वह है ऐसा टेक्स्ट जो आपके फ़ोन से कुछ माँगता है: यह पता खोलो, इस नेटवर्क से जुड़ो, यह संपर्क सहेजो। इनमें से हर एक गुज़ारिश है, हुक्म नहीं। कोड पेश करता है; फ़ैसला वह करता है जिसने उसे स्कैन किया। जो स्कैनर आपको टेक्स्ट दिखाकर रुक जाता है, वह पूरी तरह सुरक्षित है। जो स्कैनर टेक्स्ट पर खुद ही अमल कर देता है, उसने फ़ैसला उसके हवाले कर दिया जिसने कोड छापा था — और सुरक्षित और खतरनाक स्कैन के बीच का सारा फ़र्क बस यही है।

ईमानदारी के नाते एक फुटनोट: कोड खोलने वाले प्रोग्राम में खोट हो सकती है, जैसे इनपुट पढ़ने वाले हर प्रोग्राम में हो सकती है, और बरसों में स्कैनरों में ऐसी खोटें निकली भी हैं। पर वह जोखिम स्कैनर का है, कोड का नहीं, और फ़रेब उस पर टिके भी नहीं हैं। वे टैप पर टिके हैं।

स्टिकर वाली चाल

जो ठगी इतनी आम हो गई कि उसे नाम मिल गया — quishing — वह शर्मिंदा कर देने की हद तक सीधी है: अपना कोड छापिए, असली के ऊपर चिपका दीजिए, इंतज़ार कीजिए। पार्किंग मीटर पर, जहाँ नकली कोड नगर निगम जैसी दिखती भुगतान-पेज पर ले जाता है। रेस्तराँ की मेज़ पर, मेन्यू के ऊपर। दरवाज़े से आई पार्सल-पर्ची पर, “आप घर पर नहीं मिले” के बगल में।

गौर कीजिए कि यह चलती किस बूते पर है। तकनीकी कारीगरी पर नहीं — उसमें कारीगरी है ही नहीं। बल्कि इस बात पर कि QR कोड पतों की वह अकेली किस्म है जिसे इंसान पीछा करने से पहले पढ़ नहीं सकता। अक्षरों में लिखा टेढ़ा वेब पता हर देखने वाले के सामने खुद अपनी पोल खोल देता है; वही पता खानों में बना हो तो हूबहू ईमानदार पते जैसा दिखता है। जब तक आप देख पाते हैं कि कोड कहाँ गया, आप वहाँ पहुँच चुके होते हैं — उस पेज पर जो आपकी उम्मीद वाले पेज जैसा दिखने के लिए ही बनाया गया है, और जो आपसे कार्ड नंबर पूछ रहा है।

बचाव यह नहीं कि स्कैन करना छोड़ दें। बचाव यह है कि स्कैन और जाने के बीच पते को देख लें — इसमें कोई दो सेकंड लगते हैं और चाल पूरी तरह बेकार हो जाती है।

तीन तरीके जिनसे पता झूठ बोलता है

दो सेकंड की नज़र काफ़ी है, पर तभी जब पता हो कि देखना क्या है। टेढ़ा पता ईमानदार दिखने वाले तीन रूप धरता है, और तीनों को पहचान से जानना काम का है।

1. @ से पहले का नाम

वेब पते में @ चिह्न से पहले लिखा एक यूज़रनेम हो सकता है: @ तक की हर चीज़ सजावट है, और असली मंज़िल उसके बाद शुरू होती है। [email protected] आपके बैंक नहीं जाता। वह evil.example जाता है, और “aapkabank.in” को एक बेमानी लॉगिन-नाम की तरह साथ ढोता है। आँख पते की शुरुआत पढ़ती है; ब्राउज़र उसका आखिर।

2. अक्षर जो वे अक्षर नहीं जिनके जैसे दिखते हैं

लिपियाँ एक-दूसरे पर चढ़ी हुई हैं। सिरिलिक а ठीक लातिनी a की तरह बनता है, और उससे लिखा पता एक अलग पता है जो स्क्रीन पर हूबहू वैसा ही दिखता है। इस चाल का नाम है — होमोग्राफ़ हमला — और यही वजह है कि कोई मंज़िल आपकी भरोसे वाली मंज़िल से अक्षर-दर-अक्षर मिलकर भी कहीं और हो सकती है।

3. पहला पड़ाव, जो ईमानदार है

कोड में लिखा पता सचमुच प्रतिष्ठित हो सकता है — कोई लिंक छोटा करने वाली सेवा, कोई मार्केटिंग-रीडायरेक्ट, किसी सर्च इंजन की अपनी क्लिक-गिनती — और वह आपको बस ऐसी जगह आगे भेज दे जो प्रतिष्ठित नहीं है। पहला पता जाँच में खरा उतरता है; मंज़िल का फ़ैसला एक सर्वर तब करता है जब आप चल पड़े होते हैं। छपे कोड में छोटा किया हुआ पता किसी बुराई का सुबूत नहीं है, पर उसका मतलब यह ज़रूर है कि जो पता आप जाँच सकते हैं, वह वो पता नहीं जिस पर आप पहुँचेंगे।

सुरक्षित ढंग से स्कैन कैसे करें

नियम एक वाक्य का है: पहले पढ़ो, फिर खोलो, और एक ही इशारे से दोनों कभी मत होने दो। अमल में:

• ऐसा स्कैनर लीजिए जो पढ़ा हुआ टेक्स्ट दिखाकर रुक जाए। ज़्यादातर फ़ोन कैमरे खोलने से पहले मंज़िल एक छोटी पट्टी में दिखाते हैं — उस पट्टी को आदतन टैप करने की जगह पढ़िए, और पते का आखिर पढ़िए, शुरुआत नहीं।
• सबसे ज़्यादा शक वहाँ कीजिए जहाँ दाँव सबसे ऊँचा हो और सतह सार्वजनिक: हर वह चीज़ जो भुगतान पर खत्म होती है, हर वह चीज़ जो खुले में टँगी है। पार्किंग मीटर का कोड म्यूज़ियम की तख्ती के कोड से ज़्यादा सोच माँगता है।
• जो कोड सीधे लॉगिन या कार्ड-विवरण वाले पेज पर ले जाए, वही रुकने की और उसकी जगह वह पता खुद टाइप करने की घड़ी है जो आप पहले से जानते हैं। उस पेज का असली रूप कभी भी चंद कुंजियों से ज़्यादा दूर नहीं होता।
• Wi-Fi और संपर्क-कार्ड वाले कोड भी वही ठहराव माँगते हैं: एक आपके फ़ोन से नेटवर्क याद रखने को कहता है, दूसरा किसी शख्स को सहेजने को। दोनों जान-बूझकर कबूल करने में कोई हर्ज नहीं, और दोनों में से कुछ भी चुपचाप नहीं होना चाहिए।

यहाँ का रीडर कैसे पेश आता है

इस साइट पर एक QR और बारकोड रीडर है, और वह उसी नियम पर बना है जिसकी वकालत यह पेज करता आया है: वह कभी कुछ नहीं खोलता। पढ़ा हुआ टेक्स्ट पूरा छापा जाता है, पता असल में जिस होस्ट तक पहुँचेगा उसे अलग पंक्ति में निकालकर रखा जाता है, और ऊपर के तीनों भेस जाँचे जाते हैं और दिखते ही नाम लेकर बताए जाते हैं। लिंक खोलना एक अलग बटन है, जो पढ़ने के बाद दबाया जाता है — या कभी नहीं।

पढ़ाई खुद आपकी मशीन पर होती है। जो तस्वीर आप स्कैन करते हैं, वह आपके ब्राउज़र में खोली जाती है और कहीं भेजी नहीं जाती, इसलिए जिस कोड पर आपको शक है उसे आप बिना किसी को — इस साइट समेत — यह पता चले जाँच सकते हैं कि उसमें लिखा क्या था; Wi-Fi बंद करने पर भी यह पेज चलता रहता है, और उस दावे को परखने का सबसे आसान तरीका यही है। और जो पेलोड खुलेआम दुश्मनी वाला हो, जैसे javascript: पता जो खोलने वाले के यहाँ कोड चला देता, उसे लिंक मिलता ही नहीं — उसे वही कहा जाता है जो वह है।

दूसरा आधा भी मौजूद है: एक QR कोड जेनरेटर जो कोड आपकी अपनी मशीन पर बनाता है, और छपाई में जाने से पहले कोड बनाकर यह साबित करने की साथी गाइड कि वह स्कैन होता है। और अगर आपके सवाल के पीछे उससे बड़ा सवाल था — किसी वेबसाइट को कुछ भी थमा देना असल में करता क्या है — तो उसका अपना पेज है।