张澄铖



二维码安全风险分析及其防护

张澄铖

南京市气象局，江苏 南京 210019

随着移动互联网与移动智能终端的普及，二维码产业发展迅速。通过扫描二维码下载应用、获取信息的方式已被众多用户所接受。但二维码如被黑客用于不良企图，由此引发的信息泄露、信息篡改、病毒等安全问题值得高度重视，并亟待解决。通过介绍二维码的结构及编码过程，分析了二维码存在的安全隐患，并讨论了安全防护策略。

二维码；安全风险；加密算法

1 二维码概述

二维码是一项将数据符号信息记录在某种特定几何图形中的条码技术，通过图像输入设备或光电扫描设备自动识读，从而实现信息自动处理[1]。QR二维码（Quick Response code）是由日本丰田子公司Denso Wave于1994年发明并开始使用的一种矩阵二维码符号。QR二维码支持的信息类型非常丰富，包括文本、图片、网址链接、音频、视频等。

1.1 二维码结构

QR二维码是由若干个黑白方形模块排列组成的正方形矩阵，分为编码区域和寻景图案、校准图案、定位图案等功能图案区域，深色模块表示二进制“1”，浅色模块表示二进制“0”，其符号规格根据编码数据量自适应调整[2]。

1.2 二维码编解码过程

QR二维码的编码过程主要为分为以下六步，解码则为其逆过程。

第一步：分析原始数据，确定数据类型，选择编码效率最高的编码模式；

第二步：根据第一步得到的编码模式，将数据字节转换为二进制位流；

第三步：采用纠错码技术生成相应的纠错码，如果数据较大，首先对数据进行分块，然后生成每个数据块的纠错码，按照分块顺序合并作为最终的纠错码；

第四步：组合数据码字和纠错码字，构成最终的数据码字；

第五步：根据需求添加相应的版本、格式、定位等结构，并根据规则在矩阵中布置模块；

第六步：使用不同的掩模图形对编码区进行掩模处理，评价掩模结果，选择评估结果最好的进行掩模。

2 二维码安全风险分析

二维码发展潜力巨大，但同时也存在着制作发布缺乏监管、可被恶意利用传播病毒木马、易造成信息泄露、安全工具检测能力较弱，以及二维码内容监管困难等问题。

2.1 监管力度不够

二维码制作、扫描软件已纳入应用商店第三方应用监管范围，但目前的监管力度与二维码发展速度不匹配。目前发布的免费二维码制作和扫描软件达几百种，任何组织或个人均可借助这些免费软件制作和发布二维码，若被不法分子利用，肆意传播木马病毒或发布不良信息，将严重威胁我国网络与信息安全。

2.2 易成为木马等病毒传播新渠道

一些二维码发布平台对二维码发布前后安全审核力度不足，制作源头难以查找，给手机病毒、吸费软件、钓鱼网站等通过二维码传播创造了条件。不法分子将恶意软件链接嵌入二维码中，诱骗他人扫描，造成用户被恶意耗费或被盗取网银账号，严重损害用户利益。

2.3 扫码软件缺乏安全检测能力

二维码软件与智能终端密切相关，其软件安全性直接影响用户智能终端安全。目前，多数二维码扫描工具缺乏病毒木马检测能力和恶意网址识别能力，有些甚至被内置病毒，造成手机病毒借助二维码制作和扫描软件肆意传播。

2.4 编码方式存在信息泄露风险

市场常用二维码码制多为开源、通用码制，任何安装二维码扫描软件的终端均可读取，加之大量用户的信息保护意识不强，若在公共服务等应用中使用开源二维码制和明文编码，存在较大的信息泄露风险。火车票实名制实施初期票面二维码采用明文编码，曾被不法分子利用来收集旅客姓名、身份证等隐私信息，后经特殊码制加密处理才得到有效遏制。

2.5 易成为违法信息传播新方式

随着二维码的普及，论坛、微博、网站中逐渐出现二维码信息载体形式，二维码具有承载内容不直接可见特征，一旦被用作敏感、违法信息传播渠道，在一定程度可规避现行信息内容监测过滤技术手段，大大增加了违法信息传播扩散的风险[1]。

2.6 易成为金融诈骗新手段

随着移动支付的发展，越来越多的用户开始使用二维码支付，这种只需扫描二维码就可完成全部支付流程的付款方式，极大地方便了消费者和商家。但由于多数二维码扫描工具缺乏病毒木马检测能力和恶意网址识别能力，使二维码支付成为了感染高危手机支付类病毒的染毒渠道。用户在支付过程中的个人消费信息及资金账户安全受到了严重的威胁。

3 二维码安全防护策略

3.1 改进编解码方式

针对QR二维码伪造的问题，可使用常用的加密方法和消息鉴别码的方法，即在原有的二维码编解码时加入加密和解密的环节。以非对称加密为例，将加密后的信息使用QR编码器编码，将生成后的二维码和公钥刊登在印刷品上，用户扫描QR二维码时输入公钥，若能解码得到正确可读的信息，则说明扫描的QR二维码来源可靠。非对称加密方式不仅能够抵抗恶意攻击，还能够抵抗大部分针对QR二维码的篡改行为。另一种简化方式是采用哈希值，在解码阶段解码器将解密哈希值并比对是否与原QR二维码信息匹配。而防范QR二维码个人信息泄露可采用对称加密的方法，加密后的QR二维码只有特定的密钥持有人才能正常解码，其他人均无法读取。

3.2 纳入统一管理

当前QR二维码在编码阶段缺乏统一的编码标准，在使用阶段也缺少统一管理，导致QR二维码市场的混乱。引入第三方管理、认证机制能有助于减少QR二维码携带的恶意网址和虚假信息。同时，提供认证机制，可以增加其来源的可靠性。

3.3 增强用户防护意识

提高用户对二维码中病毒的防范意识，加强自身信息保护意识，扫描前先确定二维码来源是否权威可信，最好提前使用提供恶意二维码扫描识别功能的安全软件验证二维码是否已经被病毒编写者利用。此外，在需要用户输入账号密码等个人信息时，对手机的软件、链接网络等环境进行安全检查，保护个人账号安全。从正规渠道下载APP，对他人发来的APP、链接和二维码不要随便扫描、点击和安装[2]。

[1]孟楠，韩佳琳，贺晓能，张振涛.二维码安全问题分析及应对策略[J].现代电信技，2014（8）：96.

[2]国家质量技术监督局．快速响应矩阵码：GB/T 18284－2000[S]．北京：中国标准出版社，2000．

Security Risk Analysis and Protection of Two-Dimensional Code

Zhang Chengcheng

Nanjing Meteorological Bureau，Jiangsu Nanjing 210019

With the popularity of mobile Internet and mobile intelligent terminals, two-dimensional code industry has developed rapidly, by scanning two-dimensional code to download applications, access to information has been accepted by many users. But the two-dimensional code by hackers used for bad intentions, the resulting information disclosure, information tampering, viruses and other security issues deserve great attention, and to be resolved. This paper introduces the structure and coding process of two-dimensional code, analyzes the hidden dangers of two-dimensional code, and discusses the security protection strategy.

two-dimensional code; security risk; encryption algorithm

TP391.44

A

1009-6434（2016）10-0031-02