کاری را که اجازهٔ انجامش را می‌دهید بررسی کنید، نه فقط ظاهر کد را.
پیامی می‌گوید برای پیوستن به یک گروه خصوصی یا فعال نگه‌داشتن حسابتان باید کد QR را اسکن کنید. اما صفحهٔ بعد از شما می‌خواهد دستگاهی را پیوند بدهید. این‌ها دو کار متفاوت‌اند. پیش از تأیید مکث کنید: حتی سازوکار واقعی پیوند حساب هم ممکن است برای هدفی فریبکارانه استفاده شود.
رمزنگاری سرتاسری از پیام‌ها میان نقاط پایانیِ شرکت‌کننده در ارتباط محافظت می‌کند. اما نمی‌تواند تشخیص دهد آیا واقعاً قصد داشته‌اید دستگاهی را که اکنون پیام‌ها را دریافت می‌کند اضافه کنید یا نه. این راهنما تفاوت لینک وب، درخواست پیوند دستگاه و کد تأیید مخاطب را توضیح می‌دهد و می‌گوید اگر قبلاً اقدامی کرده‌اید چه چیزهایی را بررسی کنید.
دو دام متفاوت با کد QR
وب‌سایت جعلی: کد، صفحه‌ای را باز می‌کند که ظاهر یک سرویس آشنا را تقلید می‌کند و از شما رمز عبور یا اطلاعات حساس دیگری می‌خواهد. کمیسیون تجارت فدرال آمریکا، FTC، دربارهٔ کدهای QR در پیام‌های غیرمنتظره هشدار می‌دهد و توصیه می‌کند مقصد را بررسی کنید و به‌جای دنبال‌کردن پیام، از راهی شناخته‌شده با فرستندهٔ ادعایی تماس بگیرید. لوگوی آشنا مشخص نمی‌کند چه کسی صفحه را اداره می‌کند. راهنمای FTC دربارهٔ کلاهبرداری با کد QR.
دستگاه پیوندخوردهٔ ناخواسته: مهاجم شما را قانع می‌کند رایانه یا دستگاه دیگری متعلق به او را به حساب پیام‌رسان خود وصل کنید. این کار می‌تواند سوءاستفاده از قابلیتی مجاز باشد، نه شکستن رمزنگاری. گروه اطلاعات تهدید گوگل حملات پیوند دستگاه در سیگنال را مستند کرده که به‌شکل دعوت به گروه یا اعلان امنیتی ظاهر می‌شدند. در آن حملات مشاهده‌شده، پیوند موفق باعث می‌شد پیام‌های بعدی به دستگاه تحت کنترل مهاجم برسند. پژوهش گوگل دربارهٔ فیشینگ پیوند دستگاه.
این تفاوت مهم است. تغییر رمز عبور جای بررسی دستگاه‌های پیوندخورده را نمی‌گیرد. از طرف دیگر، صرفاً گرفتن دوربین مقابل یک کد هم اثبات نمی‌کند که حساب تصاحب شده است. مشخص کنید چه صفحه‌ای باز شد، چه اطلاعاتی دادید و چه عملی را تأیید کردید.
سه کد شبیه به هم، سه هدف متفاوت
| کد یا صفحه | هدف اصلی | پرسش پیش از ادامه |
|---|---|---|
| کد QR وب‌سایت | بازکردن یک نشانی | آیا این همان مقصدی است که مستقل از پیام انتظار داشتم؟ |
| کد QR پیوند دستگاه | مجازکردن دستگاهی دیگر | آیا دستگاه متعلق به من است و خودم پیوند را شروع کرده‌ام؟ |
| کد QR تأیید مخاطب | مقایسهٔ اطلاعات هویت رمزنگاری | آیا در صفحهٔ تأیید مخاطب هستم و با شخص درست مقایسه می‌کنم؟ |
برای نمونه، سیگنال در مستندات خود روند مشخصی برای پیوند دستگاه از طریق تنظیمات دستگاه‌های پیوندخورده و دوربین داخل برنامه دارد. دستورالعمل فعلی آن، انتخاب دربارهٔ انتقال تاریخچهٔ پیام‌ها را هم شامل می‌شود. این کار با بررسی شمارهٔ ایمنی مخاطب یکسان نیست. دستورالعمل سیگنال برای دستگاه‌های پیوندخورده.
مستندات شمارهٔ ایمنی سیگنال، مقایسهٔ شماره‌ها یا اسکن کد QR تأیید مخاطب را توضیح می‌دهد؛ ترجیحاً به‌صورت حضوری. این مقایسه به تأیید هویت رمزنگاریِ گفتگو کمک می‌کند و دستورِ دادن دسترسی حساب به رایانه‌ای جدید نیست. همچنین به‌تنهایی هویت واقعی یک شخص را در دنیای بیرون اثبات نمی‌کند. ملاک را هدف واقعی صفحه قرار دهید، نه توضیح فرستنده دربارهٔ آن. توضیح سیگنال دربارهٔ شمارهٔ ایمنی.
نمونهٔ عملی: دعوتی که معنایش عوض می‌شود
این موقعیت خیالی را تصور کنید. مینا پیامی دریافت می‌کند که ظاهراً از طرف همکارش است: «گروه پروژه جابه‌جا شده. این را اسکن کن تا دوباره عضو شوی.» صفحه ظاهری حرفه‌ای دارد، اما به او می‌گوید اسکنر پیوند دستگاهِ پیام‌رسانش را باز کند.
مینا متوجه ناسازگاری می‌شود: می‌خواست به گفتگو بپیوندد، نه اینکه رایانه‌ای دیگر را وصل کند. کار را لغو می‌کند، خودش مخاطب همیشگی را باز می‌کند و از یک مسیر جداگانه و مطمئن موضوع را با همکارش بررسی می‌کند. از شمارهٔ تلفن درج‌شده در صفحهٔ مشکوک استفاده نمی‌کند.
این نمونه یک قاعدهٔ تصمیم‌گیری کاربردی را نشان می‌دهد: اگر مجوز درخواستی برنامه از کاری که قصدش را دارید گسترده‌تر یا با آن متفاوت است، متوقف شوید. حساب فرستندهٔ آشنا کافی نیست؛ چون ممکن است جعل هویت صورت گرفته یا حساب به خطر افتاده باشد. نشانیِ به‌ظاهر مطمئن وب‌سایت هم به‌تنهایی توضیح نمی‌دهد چرا دستگاهی غیرمنتظره به دسترسی نیاز دارد.
فهرست کوتاه بررسی پیش از تأیید
- کارتان را مشخص کنید. می‌خواهید صفحه‌ای باز کنید، عضو گروه شوید، مخاطبی را تأیید کنید یا رایانهٔ خودتان را پیوند بدهید؟
- مستقل شروع کنید. برای مدیریت حساب، برنامهٔ نصب‌شده یا مقصدی را که از قبل می‌شناسید باز کنید؛ نه اینکه دستورهای یک پیام ناخواسته را دنبال کنید.
- درخواست برنامه را بخوانید. پیوند دستگاه، بازیابی حساب و واردکردن اطلاعات ورود را تصمیم‌هایی جداگانه بدانید. درخواستی را که با کارتان مطابقت ندارد لغو کنید.
- دستگاه دیگر را شناسایی کنید. فقط دستگاهی را پیوند دهید که قصد استفاده از آن را داشتید و کنترلش در اختیار شماست. نام دوستانهٔ یک دستگاه، اثبات مالکیت آن نیست.
- اطلاعات محرمانه را در چت نفرستید. رمز عبور، کد ثبت‌نام یا کلید بازیابی را برای کسی که ادعای کمک دارد ارسال نکنید.
- نرم‌افزار را به‌روز نگه دارید. به‌روزرسانی‌ها و هشدارهای داخلی مهم‌اند، اما یک درخواست تأییدِ غیرمنتظره را به درخواستی قابل‌اعتماد تبدیل نمی‌کنند.
راهنمای ضد فیشینگ خود سیگنال نیز تأیید مستقل، محرمانه نگه‌داشتن کدها و برخورد محتاطانه با درخواست‌های غیرمنتظره را توصیه می‌کند. همچنین میان اعلان‌های رسمیِ فقط‌خواندنی و فردی که در نقش پشتیبانی جعلی با شما گفتگو می‌کند تفاوت می‌گذارد. این جزئیات مختص سیگنال‌اند، نه ادعایی دربارهٔ سامانهٔ پشتیبانی همهٔ پیام‌رسان‌ها. راهنمای سیگنال دربارهٔ فیشینگ و جعل هویت.
اگر قبلاً اسکن یا تأیید کرده‌اید
بر اساس کاری که واقعاً انجام شده اقدام کنید:
- فقط صفحه‌ای را باز کرده‌اید: آن را ببندید و تعامل را متوقف کنید. بررسی کنید آیا اطلاعاتی وارد کرده‌اید، چیزی دانلود کرده‌اید یا عملی در برنامه را تأیید کرده‌اید. صرف اسکن را نه نشانهٔ قطعی نفوذ بدانید، نه تضمین ایمنی.
- اطلاعات ورود وارد کرده‌اید یا کدی داده‌اید: از دستگاهی مطمئن، دستورالعمل رسمی بازیابی آن سرویس را دنبال کنید. رمزهای افشاشده را عوض کنید و دسترسی‌های حساب را بررسی کنید؛ به رمزهای تکراری که جای دیگری هم استفاده کرده‌اید جداگانه رسیدگی کنید.
- دستگاهی ناآشنا را پیوند داده‌اید: فهرست واقعی دستگاه‌ها یا نشست‌های برنامه را باز کنید و اتصال ناخواسته را بردارید. فرض نکنید حذف پیام کلاهبرداری دسترسی را لغو می‌کند.
- نرم‌افزار نصب کرده‌اید یا مجوزهای نامعمول داده‌اید: این موضوع را جداگانه بررسی کنید. لغو نشست حساب، به‌خودی‌خود بدافزار را از گوشی حذف نمی‌کند.
در مورد سیگنال، راهنمای حفاظت آن توصیه می‌کند دستگاه‌های پیوندخورده را بررسی کنید، موارد ناآشنا را بردارید و اگر مطمئن نیستید همهٔ دستگاه‌های فهرست را حذف کنید. دستورالعمل قطع پیوند نیز توضیح می‌دهد چگونه از گوشی اصلی دسترسی دستگاهی را لغو کنید. سرویس‌های دیگر ممکن است کنترل‌های متفاوتی داشته باشند. راهنمای حفاظت از حساب سیگنال، دستورالعمل قطع پیوند دستگاه در سیگنال.
لغو دسترسی نمی‌تواند اطلاعاتی را که قبلاً جای دیگری کپی شده پس بگیرد. میزان افشا به سرویس، مجوزهای داده‌شده، انتخاب احتمالی انتقال تاریخچه و مدت دسترسی بستگی دارد؛ نه به یک قاعدهٔ همگانیِ «همهٔ چت‌ها». اگر احتمال می‌دهید گفتگوهای حساس افشا شده‌اند، از مسیری مطمئن به افراد متأثر اطلاع دهید و روند مربوط به گزارش رخداد را دنبال کنید.
هنگام ارزیابی لیوارا یا پیام‌رسانی دیگر چه بپرسیم؟
بپرسید دستگاه جدید چگونه مجاز می‌شود، نشست‌های فعال کجا نمایش داده می‌شوند، دسترسی چگونه لغو می‌شود و آیا تاریخچه جداگانه منتقل می‌شود. به‌جای فرض اینکه برچسب رمزنگاری پاسخ همهٔ این پرسش‌هاست، مستندات فعلی محصول را بررسی کنید. این مقاله تأیید نمی‌کند که لیوارا از ورود مبتنی بر QR یا روند مشخصی برای پیوند دستگاه استفاده می‌کند.
نتیجهٔ عملی ساده است: کاری را که اجازهٔ انجامش را می‌دهید بررسی کنید، نه فقط ظاهر کد را.
