Hầu hết mọi người coi một mã QR như một lối tắt vô hại tới một website. Thường thì đúng vậy. Nhưng một QR chỉ là một vật chứa cho chữ, và chữ đó có thể nhạy cảm hơn nhiều một liên kết. Trước khi bạn thả một ảnh mã vào "trình đọc QR trực tuyến" đầu tiên bạn tìm được, đáng để biết bạn có thể đang giao đi cái gì — và cho ai.
Một mã QR thật sự có thể chứa gì
Hoa văn đen-trắng mã hóa chữ thuần, và theo quy ước chữ đó có thể là nhiều thứ:
- Một URL — trường hợp phổ biến, nhưng đôi khi là một liên kết riêng tư hoặc dùng một lần (một lần đặt lại mật khẩu, một lời mời, một tài liệu "không niêm yết" chứ không thật sự công khai).
- Một mạng Wi-Fi và mật khẩu — các mã "quét để kết nối" trên bộ định tuyến và trong khách sạn theo đúng nghĩa đen mã hóa tên mạng và mật khẩu ở dạng chữ thuần.
- Một danh thiếp (vCard) — một cái tên, số điện thoại, email, và địa chỉ nhà hoặc văn phòng.
- Một token đăng nhập hoặc thanh toán — một số ứng dụng hiện một QR để cấp phép một phiên hoặc một lần chuyển; chuỗi bên trong thực chất là một chiếc chìa khóa.
- Chữ thuần hoặc một tin nhắn — bất cứ thứ gì ai đó chọn để mã hóa.
Không cái nào trong đó nguy hiểm với bạn khi bạn giải mã nó ngay trên thiết bị của mình. Nó trở thành vấn đề khi việc giải mã đòi gửi ảnh đi đâu đó khác.
Bước ẩn: "trình đọc trực tuyến" tải ảnh của bạn lên
Đây là phần dễ bỏ sót. Một trình đọc QR trực tuyến điển hình hoạt động bằng cách tải tệp ảnh của bạn lên máy chủ, giải mã ở đó, và gửi kết quả về. Nghĩa là tấm ảnh — và bất cứ thứ gì mã đó mã hóa — rời khỏi thiết bị của bạn và tới phần cứng bạn không kiểm soát. Với một liên kết tới một bài viết công khai thì ổn. Với một mật khẩu Wi-Fi, một token đăng nhập, hay một danh thiếp có địa chỉ nhà, bạn vừa truyền một bí mật tới máy chủ của người lạ, nơi nó có thể bị ghi nhật ký hoặc lưu đệm, tất cả chỉ để đọc chữ vốn đã có trên màn hình của bạn.
Bạn có thể kiểm tra xem một công cụ có tải lên không: để ý một thanh tiến trình co giãn theo dung lượng tệp, hoặc mở tab Network của trình duyệt và xem một yêu cầu lớn có mang theo ảnh của bạn không. Các công cụ thật sự tại chỗ thì không làm cả hai.
Giải mã nó tại chỗ thay vào đó
Cách tiếp cận tôn trọng riêng tư là giải mã mã ngay trong trình duyệt của bạn, để ảnh không bao giờ di chuyển.
Trình đọc mã QR của IMG.DIY làm đúng điều đó. Bạn đưa cho nó một ảnh — kéo, dán, hay chọn một tệp — và nó vẽ tấm ảnh lên một canvas và giải mã QR bằng thư viện jsQR ngay trong trình duyệt của bạn. Không gì được tải lên. Không có tài khoản và không có máy chủ nào làm việc, và một khi trang đã tải nó vẫn chạy với mạng tắt. Bạn có thể tự chứng minh cho mình: tải công cụ, bật chế độ máy bay, và giải mã một mã — nó vẫn chạy, vì chưa bao giờ có một máy chủ trong vòng lặp.
Nếu mã là một URL, công cụ cho bạn một liên kết nhấp được (đánh dấu rel=nofollow) để bạn thấy đích trước khi cam kết với nó. Nếu nó là một chuỗi Wi-Fi hay danh thiếp, bạn nhận chữ thô và một nút sao chép — đọc nó, dùng nó, và nó ở lại trên máy của bạn.
Một thói quen hợp lý cho các mã nhạy cảm
Hai quy tắc nhỏ giữ bạn an toàn:
- Xem chữ trước khi hành động. Giải mã một mã cho bạn thấy đích đến hoặc nội dung trước khi thiết bị của bạn kết nối tới bất cứ thứ gì. Riêng điều đó vô hiệu hóa rất nhiều trò lừa dựa trên QR, nơi mã in bị tráo bằng một mã trỏ tới đâu đó thù địch.
- Khớp công cụ với bí mật. Với một liên kết công khai, bạn giải mã ở đâu hầu như không quan trọng. Với một mật khẩu, một token, hay thông tin cá nhân của ai đó, hãy giải mã nó tại chỗ để bí mật không bao giờ rời khỏi thiết bị của bạn ngay từ đầu.
Các giới hạn thành thật đáng nêu ra: cái này đọc một mã từ một ảnh bạn cung cấp, từng cái một, không phải từ một webcam trực tiếp — một lựa chọn cố ý để giữ mọi thứ tại chỗ. Với bất cứ thứ gì một mã QR có thể đang giấu, đọc nó ngay trên thiết bị của bạn đơn giản là mặc định đúng.