Tek başına bir QR kodu dünyaya sizinle ilgili hiçbir şey söylemez. Yalnızca veri depolayan — çoğunlukla bir web adresi taşıyan — bir desendir; tarandığını bile bilemez. Gizlilik riskleri başka yerdedir: kodun açtığı web sitesinde ve kodu oluşturan serviste. İkisi de ne yaptığınızla ilgili ayrıntıları kaydedebilir.
QR kodu yalnızca veridir
Bir QR kodu iki boyutlu bir barkoddur. Siyah ve beyaz modüller sıradan karakterleri kodlar: bir URL, bir satır metin, iletişim bilgileri, bir Wi-Fi şifresi. Telefonunuzun kamerası deseni tanıdığında bu karakterleri anında çözümler. Kodun kendisi hiçbir şey iletmez, çünkü kod bir cihaz değildir. Hafızası yoktur, bağlantısı yoktur ve tarandığını bildirebileceği bir yolu yoktur.
Bu, basılı bir kodun kâğıda yazılmış aynı metin kadar mahrem olduğu anlamına gelir. On kişi tarasın ya da bir milyon; desen hiç değişmez, asla kimseye haber göndermez. Statik bir kod — nihai içeriği doğrudan taşıyan kod — sizi izleyemez.
Bu açıklığın bir de ikinci yüzü var: QR kodunda hiçbir şey gizli değildir. Elinde herhangi bir tarayıcı olan herkes, görebildiği her kodu çözümleyebilir. Kodlamak, şifrelemek değildir — ve bu gerçek, bu yazının ilerleyen bölümlerinde bir koda asla ne koymamanız gerektiğine dair tavsiyelerin dayanağıdır.
Gizlilik riski aslında nereden gelir
Taramadan sonra iki şey olur ve ikisini ayrı ayrı değerlendirmekte fayda var.
Birincisi varış noktası. Bir web sitesini açan kod, sıradan bir web sitesi açar; bunun bütün sonuçlarıyla birlikte: sunucu günlükleri, çerezler, analiz betikleri, formlar. Site bir ziyaretin gerçekleştiğini bilir ve her ziyaretçinin bıraktığı ayrıntıları kaydedebilir.
İkincisi kodu oluşturan hizmet. Ticari QR oluşturucuların çoğu hedef adresinizi doğrudan kodlamaz. Bunun yerine kendi alan adlarında kısa bir yönlendirme bağlantısı kodlar. Tarama yaptığınızda önce onların sunucusuna gelirsiniz; sunucu taramayı günlüğe kaydeder, sonra sizi gerçek hedefe yönlendirir. "Dinamik" kodlar böyle çalışır ve tarama analizlerinin arkasındaki mekanizma budur.
Statik kodun aracısı yoktur. Taramak sizi doğrudan hedefe götürür ve aradaki kimse hiçbir şey öğrenmez. Gizlilik önemliyken bu iki tasarım arasındaki fark, anlaşılması gereken tek en önemli şeydir.
Bağlantıyı açtığınızda bir web sitesi ne görebilir
Bir bağlantıyı açmak — QR koduyla ya da tıklayarak — aynı bilgileri sitenin sunucusuna açar:
- IP adresiniz, ağınızı tanımlar.
- Bu IP'den çıkarılan yaklaşık bir konum; genellikle sokak adresi değil, şehir ya da bölge düzeyi.
- Cihaz ve tarayıcı ayrıntılarınız, user agent içinde otomatik gönderilir: işletim sistemi, tarayıcı türü ve sürümü, ekran boyutu.
- Tarayıcı diliniz, erişimin tam saati ve hangi sayfalara baktığınız.
- Kasıtlı girdiğiniz her şey: form alanları, girişler, indirmeler.
- Çerezler ve tarayıcı parmak izi; sonraki ziyaretlerde sizi tanıyabilir.
En az bu kadar önemli olan, bir web sitesinin kolayca göremeyecekleridir. Adınızı, e-posta adresinizi, telefon numaranızı ya da rehberinizi siz yazmadıkça öğrenemez. İzin istemeden kesin GPS konumunuzu okuyamaz; kameranıza ve dosyalarınıza da erişim vermeden ulaşamaz.
Taramak hiçbir şeyi açığa çıkarmaz. Veri paylaşan şey sayfayı açmaktır — yani pratik gizlilik sorusu her zaman karşıdaki sayfaya güvenip güvenmediğinizdir.
Tarama takibi nasıl çalışır
Bir kod "dinamik" olduğunda kodlanan bağlantı, oluşturucunun sunucusuna işaret eder. Her tarama, sunucunun kaydedebileceği bir olaydır: saat, arkasındaki IP adresi, cihaz türü ve IP'den çıkarılan kabaca bir konum. Operatör bir tarama panosu görür ve çoğunlukla kodun nereye işaret ettiğini değiştirebilir — binlerce broşüre basılmış olsa bile.
Bunun kendisi gizlice kötücül değildir. Düzenlenebilen restoran menüleri, yeniden basılan ambalajlar ve pazarlama kampanyaları, değiştirilebilir ve ölçülebilir bir kod istemek için meşru nedenlerdir. Ama sizin için sonucu gerçektir: her tarama, seçmediğiniz bir üçüncü tarafa bildirilir; o kaydı, gizlilik politikasını — bulabilirseniz — o taraf belirler. Üstelik açılış sayfası, yönlendirme günlüğünün üstüne kendi analizlerini de ekleyebilir.
Kodlar ayrıca yapımcılarından çok uzağa gider. Bir ülkede taranan afiş, başka bir ülkedeki sunucudan geçebilir. Gizlilik açısından onu taramak, o operatörle doğrudan iletişim kurmaktır.
Tarama yaparken maruz kalmanızı nasıl azaltırsınız
Küçük alışkanlıklar riskin çoğunu kapsar:
- Açmadan önce okuyun. Çoğu telefon kamerası, sayfa yüklenmeden çözümlenen bağlantıyı, en azından alan adını gösterir. Tanımadığınız bir kısa bağlantı ya da yanlış yazılmış bir alan adıysa açmayın.
- Bilinmeyen kaynaklardan gelen QR açılış sayfalarına şüpheyle yaklaşın. Bir afişi tarayarak ulaştığınız sayfaya giriş bilgisi, ödeme bilgisi ya da kişisel veri girmeyin. Kod bankanızı ya da bir fatura kurumunu iddia ediyorsa, kurumun adresini kendiniz yazın.
- Ekstraları reddedin. QR açılış sayfasının önerdiği uygulamaları indirmeyin; yaptığınız şeyle ilgisi olmayan izin taleplerini kapatın.
- Çerezlerden kaçınmak istiyorsanız özel (gizli) taramayı kullanın; IP adresinizi gizlemediğini bilerek.
- Hedef sitelerden IP'nizi saklamak sizin için önemliyse bir VPN düşünün — bu kez VPN sağlayıcısının, siteyi görecek olan olduğunu anlayarak.
- Güvendiğiniz kaynakları tercih edin. Gerçek kodların üzerine yapıştırılan etiketler, insanları sahte ödeme sayfalarına yönlendirmek için kullanılmıştır; hassas bir ortamdaki kod, şüpheli bir e-posta bağlantısı kadar titizlikle incelenmeyi hak eder.
Neden asla herkese açık bir koda sır koymamalısınız
Her tarayıcı her kodu çözümleyebildiği için kodladığınız her şey fiilen yayımlanmış olur. Ekrandaki, afişteki, kartvizitteki ya da paylaşılan bir belgedeki kod fotoğraflanabilir ya da ekran görüntüsü alınabilir; içindeki veri o görüntüde süresiz yaşar.
Bu, insanların kodlara gerçekten koyduğu uzun bir listeyi eler:
- Şifreler, PIN'ler ve tek kullanımlık kodlar. Kodu gören herkes sırrı elde tutar.
- Herkese görünür malzemelerdeki Wi-Fi bilgileri. Kafe duvarındaki misafir ağı şifresi bilinçli bir tercihtir; ofis kapısındaki özel ağ şifresi bir sızıntıdır.
- Yabancıların görebileceği hiçbir şeyde kimlik numaraları, ev adresleri ya da telefon numaraları.
- Tek kullanımlık bilet ya da kupon kodları; siz ulaşmadan kopyalanıp kullanılabilir.
- İki adımlı doğrulama kurulum kodları. Kimlik doğrulayıcı uygulamanızı bağlarken gösterilen QR kodu, giriş kodlarınızı üreten sırrı içerir. Onu tarayan herkes o kodları da üretebilir; bu yüzden asla paylaşılmamalı ya da fotoğraflanmamalıdır.
Kural basit: QR kodu veriyi korumanın değil, yayımlamanın bir yoludur. Bir sırrı yalnızca kodu görebilen herkesin onu görmesi amaçlanıyorsa kodlayın.
Gizlilik dostu oluşturucular farklı ne yapar
Takip dostu tasarım ortada bir sunucu ister: kısa bağlantı, yönlendirme, günlük. Gizlilik dostu oluşturucular bu aracıyı kaldırır; farklar da buradan gelir.
Kodu sunucuda değil tarayıcınızda üretirler; böylece kodladığınız metin ya da adres cihazınızdan hiç çıkmaz. Hesapsız çalışırlar; kodlarınıza eklenecek bir e-posta adresi toplanmaz. Statik kod üretirler — nihai hedefi doğrudan taşıyan: yönlendirme yok, tarama günlüğü yok, son kullanma tarihi yok. Kod, hedef var olduğu sürece çalışır ve tarandığında kimse haberdar edilmez.
Bazı ücretsiz oluşturucular böyle çalışır — QRCodeMax.Vip de aralarında — ve test her araç için kolaydır: temel bir kod için kayıt isteyen ya da kodları yalnızca kendi kısa bağlantıları üzerinden sunan bir hizmette, kod aynı zamanda bir takip mekanizmasıdır. Kodu gözünüzün önünde üreten ve hiçbir şey istemeyen bir araçta ise kod yeniden yalnızca veridir.
Özet
Bir QR kodu sizinle ilgili hiçbir şeyi açığa çıkaramaz; o, ata bir desendir. Gizliliğinize varış sayfası ve kodun arkasındaki hizmet karar verir. Açmadan önce bağlantıyı okuyun, tanımadığınız QR açılış sayfalarına tanımadığınız e-posta bağlantıları gibi davranın, herkese görünür hiçbir şeye sır kodlamayın ve hesapsız, yönlendirmesiz, yerelde statik kod üreten oluşturucuları seçin. Bunu yaparsanız taramak, okumak kadar mahrem kalabilir.