アカウント名:
パスワード:
印刷されたQRコードを手か何かで覆って変化するかどうか見れば良いのかな
ああ、賢いね。紙で覆うとかでも良いし。それも検出されるとアウトかもだが、どっちにせよ、いたちごっこだからなあ。とりあえず素晴らしい！
誉めたけど自己レス。ちゃんとしたQRコードを高輝度で投射されたら、紙や手のひらでは読んでしまうかもしれない。
何か平面でないもの、平面ならQRコード面に対して傾けるとかして、投射されたQRコードを歪ませるか、鏡を置いてレーザーを明後日の方向に向けるかするべきだな。或いは体か何かでレーザーを遮るとか。
なんか今回のネタを誤解しているように見受けられますが、
・印刷して壁などに掲示しているQRコードに対して、・ある黒の一ドットに対して、その一ドット分の大きさでピンポイントにレーザーを照射することで、・そのドットをQRコードリーダーからは白色と認識させることで、デコード結果をすり替える
というものですよ。
対策としては、周りからレーザー照射されても届かないようにスキャン対象のQRコードに囲いをしてからスキャンすればOKでしょう。ショルダーハック対策と似たような感じ?
液晶画面に表示されるQRコードならともかく、紙に印刷されているQRコードを周りを囲った状態で(明るさ的に)ちゃんと読み取れるんだろうか?
# QRコード読み取りの際に自動的にLEDライトがつく機能とかあるのかな???
＞周りを囲った状態で(明るさ的に)ちゃんと読み取れるんだろうか?
あなたのスマホにライト機能が搭載されたら良いかもね
まあカメラで撮るんだろうから、ライトで照らすのではないかな
やってみりゃわかるけど、よほど周りが真っ暗でもなければ読み取れなくなるほど暗くするのは難しいよ。ピント合わせるのにある程度距離も必要だし。他コメにもライトとか書いてあるけど、それ以前に自動露出補正で大抵なんとかなる。
・技術的に一ヶ所しか変えられないなんてことはないでしょ？・黒一ヶ所だけだとエラー訂正されるのでは？
> ・技術的に一ヶ所しか変えられないなんてことはないでしょ？それはまあその通りだと思いますが、元コメはQRコードまるごと全部レーザーで投影するように書いてたので、それは違う、と。
> ・黒一ヶ所だけだとエラー訂正されるのでは？発表では、実際に一ドットの書き換えで「u-yokai.ac.jp」→「u-tokai.ac.jp」にしてます。エラー訂正も含めて、一ドットで上手く変わってしまうようなデータにしているんだと思います。
まあ、そういう「書き換え可能なQRコード」自体レアで、どんなQRコードからでも詐称可能なのではなく、「レーザー書き換え可能なQRコードを掲示する」という悪意のある行為が前提だけど、「QRコードそのものには問題がないので、QRコードだけ見ても悪意が発覚しない」というもの。
発表の悪用例では「u-tokai.ac.jp」(東海大学)のQRコードを、「u-yokai.ac.jp」(妖怪大学)に誘導、としているのに、実例では逆になってるのは、
「ドットをグレーにして、読み込みのブレにより確率的に悪意あるサイトに誘導する」という先行研究で作ったQRコードが、たぶん「白でu-tokai、黒でu-yokaiになるドットを、白よりのグレーで印刷」したもので、そのQRコードを流用したんでしょう。今回改めて「u-tokaiから黒→白でu-yokaiになる」ようなQRコードを探し直すことができなかったんでしょうねぇ。そのあたりからして、この手法の非現実さがわかるというもので。
とはいえ、あらかじめそういうコードを用意して、がっちり固定して向きを微調整出来る赤外レーザー光学系を用意すれば出来るよ、ということですね
現実的かどうかは別として。でもカード並みに薄いカードスキマー作って仕掛ける奴が居るとかがあるそうですからねえ。対象がカードだからだろうけど
全体書き換えというか、すぐ横に誤誘導先URLのQRコードを丸々照射するという攻撃がありそうと思った。＞ 元コメはQRコードまるごと全部レーザーで投影するように書いてたので
肉眼にはほぼ不可視、しかしカメラには捉えられるようなQRコード投影。今回のとはやり口が異なるけど、十分あり得そう。
あるいは、本来QRコードを読み取る意図が無いのに、写真を撮ろうとしたら割り込んでくる不可視のQRコードとかね…。地味にうざったいかもしれない。
自己レス:元論文を登録してまで読むつもりはないけど、itmediaの図（妖怪大学の絵がある図のコードと、赤色レーザーを照射した図）では一ドットだけ改変させてるように見えるえー。じゃあ元のコードもエラー訂正レベルを低くしてるとか？最低でも7%汚れてもなんとかなるんじゃないのか＞＞QRコード
それでも一ヶ所だけしか変えられないとかはないだろ、とは思うけどね。QRコードをプリントしたフィルムとレンズ用意して投影するだけだし
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
「毎々お世話になっております。仕様書を頂きたく。」「拝承」 -- ある会社の日常
遠くからレーザー光で照射 (スコア:1)
印刷されたQRコードを手か何かで覆って変化するかどうか見れば良いのかな
Re: (スコア:0)
ああ、賢いね。紙で覆うとかでも良いし。それも検出されるとアウトかもだが、どっちにせよ、いたちごっこだからなあ。とりあえず素晴らしい！
Re:遠くからレーザー光で照射 (スコア:0)
誉めたけど自己レス。
ちゃんとしたQRコードを高輝度で投射されたら、紙や手のひらでは読んでしまうかもしれない。
何か平面でないもの、平面ならQRコード面に対して傾けるとかして、投射されたQRコードを歪ませるか、鏡を置いてレーザーを明後日の方向に向けるかするべきだな。
或いは体か何かでレーザーを遮るとか。
Re:遠くからレーザー光で照射 (スコア:1)
なんか今回のネタを誤解しているように見受けられますが、
・印刷して壁などに掲示しているQRコードに対して、
・ある黒の一ドットに対して、その一ドット分の大きさでピンポイントにレーザーを照射することで、
・そのドットをQRコードリーダーからは白色と認識させることで、デコード結果をすり替える
というものですよ。
対策としては、周りからレーザー照射されても届かないようにスキャン対象のQRコードに囲いをしてからスキャンすればOKでしょう。
ショルダーハック対策と似たような感じ?
Re: (スコア:0)
液晶画面に表示されるQRコードならともかく、紙に印刷されているQRコードを
周りを囲った状態で(明るさ的に)ちゃんと読み取れるんだろうか?
# QRコード読み取りの際に自動的にLEDライトがつく機能とかあるのかな???
Re:遠くからレーザー光で照射 (スコア:1)
＞周りを囲った状態で(明るさ的に)ちゃんと読み取れるんだろうか?
あなたのスマホにライト機能が搭載されたら良いかもね
Re: (スコア:0)
まあカメラで撮るんだろうから、ライトで照らすのではないかな
Re: (スコア:0)
やってみりゃわかるけど、よほど周りが真っ暗でもなければ読み取れなくなるほど暗くするのは難しいよ。ピント合わせるのにある程度距離も必要だし。
他コメにもライトとか書いてあるけど、それ以前に自動露出補正で大抵なんとかなる。
Re: (スコア:0)
・技術的に一ヶ所しか変えられないなんてことはないでしょ？
・黒一ヶ所だけだとエラー訂正されるのでは？
Re:遠くからレーザー光で照射 (スコア:1)
> ・技術的に一ヶ所しか変えられないなんてことはないでしょ？
それはまあその通りだと思いますが、元コメはQRコードまるごと全部レーザーで投影するように書いてたので、それは違う、と。
> ・黒一ヶ所だけだとエラー訂正されるのでは？
発表では、実際に一ドットの書き換えで「u-yokai.ac.jp」→「u-tokai.ac.jp」にしてます。
エラー訂正も含めて、一ドットで上手く変わってしまうようなデータにしているんだと思います。
まあ、そういう「書き換え可能なQRコード」自体レアで、どんなQRコードからでも詐称可能なのではなく、
「レーザー書き換え可能なQRコードを掲示する」という悪意のある行為が前提だけど、
「QRコードそのものには問題がないので、QRコードだけ見ても悪意が発覚しない」というもの。
発表の悪用例では「u-tokai.ac.jp」(東海大学)のQRコードを、「u-yokai.ac.jp」(妖怪大学)に誘導、としているのに、実例では逆になってるのは、
「ドットをグレーにして、読み込みのブレにより確率的に悪意あるサイトに誘導する」という先行研究で作ったQRコードが、
たぶん「白でu-tokai、黒でu-yokaiになるドットを、白よりのグレーで印刷」したもので、
そのQRコードを流用したんでしょう。
今回改めて「u-tokaiから黒→白でu-yokaiになる」ようなQRコードを探し直すことができなかったんでしょうねぇ。
そのあたりからして、この手法の非現実さがわかるというもので。
Re: (スコア:0)
とはいえ、あらかじめそういうコードを用意して、がっちり固定して向きを微調整出来る赤外レーザー光学系を用意すれば出来るよ、ということですね
現実的かどうかは別として。でもカード並みに薄いカードスキマー作って仕掛ける奴が居るとかがあるそうですからねえ。対象がカードだからだろうけど
Re: (スコア:0)
全体書き換えというか、すぐ横に誤誘導先URLのQRコードを丸々照射するという攻撃がありそうと思った。
＞ 元コメはQRコードまるごと全部レーザーで投影するように書いてたので
肉眼にはほぼ不可視、しかしカメラには捉えられるようなQRコード投影。
今回のとはやり口が異なるけど、十分あり得そう。
あるいは、本来QRコードを読み取る意図が無いのに、写真を撮ろうとしたら割り込んでくる不可視のQRコードとかね…。
地味にうざったいかもしれない。
Re: (スコア:0)
自己レス:
元論文を登録してまで読むつもりはないけど、
itmediaの図（妖怪大学の絵がある図のコードと、赤色レーザーを照射した図）では一ドットだけ改変させてるように見える
えー。じゃあ元のコードもエラー訂正レベルを低くしてるとか？
最低でも7%汚れてもなんとかなるんじゃないのか＞＞QRコード
それでも一ヶ所だけしか変えられないとかはないだろ、とは思うけどね。QRコードをプリントしたフィルムとレンズ用意して投影するだけだし