قارئ رموز QR

تُرسم الصورة على لوحة في هذه الصفحة وتُفحص البكسلات بحثًا عن المربّعات الثلاثة الكبيرة التي تعلّم زوايا رمز QR. وما إن تُحدَّد حتى تُقرأ الشبكة، ويُطبَّق تصحيح الأخطاء، ويسقط النص. ولا إطار ولا ملف يغادر جهازك — فمجرى الكاميرا يُقرأ ويُهمَل في النبضة نفسها.

وكاميرا هاتفك تفعل هذا أيضًا. والفرق فيما يحدث بعده. فالهاتف يعرض عليك معاينة مقصوصة وزرًّا يفتح الرابط. وهذه الصفحة تعرض الشيء كله، وتفكّكه، ولا تفتح شيئًا.

وما تشير إليه. رابط يُقدَّم عبر http مجرّد. واسم مستخدم مضمَّن قبل المضيف، وهي أقدم حيلة لجعل عنوان يبدو مشيرًا إلى مكان ليس هو. ومختصِر روابط، يخفي الوجهة الحقيقية كليًا. ونطاق يحوي حروفًا سيريلية أو يونانية تبدو مطابقة للاتينية — وهي طريقة تسجيل نسخة مقنعة من عنوان مصرف. والبَنيكود، وهو ما يبدو عليه ذلك بعد ترميزه.

وتُفكَّك الرموز المهيكلة إلى حقول: فرمز الواي فاي يعرض الشبكة وكلمة المرور وهل هي شبكة مفتوحة؛ وبطاقة جهة الاتصال تعرض كل حقل ستحفظه.

وللهجوم الذي يدافع عنه هذا اسم. التصيّد بالرموز — رمز QR مطبوع على ملصق ومثبَّت فوق رمز حقيقي. وعدّادات مواقف السيارات وطاولات المطاعم وشواحن السيارات الكهربائية والفواتير المرسَلة هي الأهداف المعتادة، لأن الضحية في كل حالة يتوقّع بلوغ صفحة دفع ولا سبيل له إلى معرفة أيّها بلغ. فالملصق لا يكلّف شيئًا والرمز غير مقروء لإنسان بتصميمه.

وكيف تستعمل هذا عمليًا. صوّر الرمز بدل مسحه، وافتح هذه الصفحة، واختر الصورة. تحصل على الوجهة كاملةً قبل أن يُفتح شيء. فإن كان مختصِر روابط وأنت تتوقّع خدمة مواقف مدينتك، أو كان المضيف غير النطاق المطبوع إلى جانبه، فقد حصلت على جوابك.

ومثال عملي على تحذير التشابه. رمز يُفكّ إلى https://аirbnb.com/pay. ويُقرأ قراءةً سليمة تمامًا. والحرف الأول سيريلي а، لا اللاتيني a، فهو نطاق مختلف كليًا — مسجَّل ومستضاف ومشهود له من شخص آخر. وعينك لا تستطيع الفصل بينهما بأي مقاس. وهذه الصفحة تقول ذلك.

والاستعمال اليومي الآخر. استعادة كلمة المرور من رمز واي فاي طبعه أحدهم وألصقه على الثلاجة، أو قراءة بطاقة جهة اتصال دون حفظها أولًا. وكلاهما يظهر حقولًا مجرّدة هنا.

وللاتجاه الآخر وبناء رمز، استعمل مولّد QR. ولتفكيك رابط مريب لديك نصًّا أصلًا، فاحص الروابط يعرض كل جزء منه.