Geçen hafta Kadıköy’deki bir aktarma istasyonunda, akşam 18:00-19:30 arasında, İstanbulkart dolum makinesinin yanında bekleyen üç kişinin aynı QR kodu farklı telefonlarda gösterdiğini gördüm. Aynı sahne iki gün sonra Mecidiyeköy’de tekrarlandı. Bu, tek bir gözlem; ama İBB’nin mobil uygulama üzerinden üretilen QR biletlerin son iki yılda yaygınlaşmasıyla birlikte, ekran görüntüsü alınmış kodların yeniden satılması İstanbul’da yeni bir tür küçük çaplı dolandırıcılık hâline geldi.
Kendi gözlemimi ölçülebilir hâle getirmek için basit bir günlük tuttum: 12 gün boyunca, farklı saatlerde, 9 istasyonda (Kadıköy, Mecidiyeköy, Yenikapı, Üsküdar, Levent, Bakırköy, Ayrılıkçeşme, Kartal, Beşiktaş) QR bilet kullanan kişilerin kaçının ekran görüntüsü (statik görsel) gösterdiğine baktım. 41 kişiden 6’sı statik görüntüydü; geri kalanı canlı uygulama ekranıydı. 41 kişi büyük bir veri değil, ama statik görüntü oranının %15 civarında olması, QR kodların süreli olmasına rağmen paylaşılabildiğini gösteriyor.
Kendi tarafımda ne yaptım: Bir QR biletin ne kadar süre geçerli olduğunu ve aynı kodun ikinci bir cihazda çalışıp çalışmadığını test ettim. Uygulamada üretilen kod, turnikede okutulduktan sonra belirli bir süre içinde tekrar kullanılabiliyor gibi görünüyor; ancak bu süre uygulama sürümüne ve hatta telefona göre değişebiliyor. Aşağıdaki gibi basit bir kontrol listesi çıkardım:
1. QR kodun ekran görüntüsü mü, canlı mı? (canlıysa arka planda hareketli sayaç var)
2. Kod aynı gün içinde ikinci kez okutulduğunda turnike uyarı veriyor mu?
3. Biletin üretim zamanı ile okutma zamanı arasındaki fark 2 dakikadan fazla mı?
4. Aynı cihazda farklı hesaplarla üretilmiş kodlar art arda denendiğinde ne oluyor?
Bunu neden böyle yaptım: Çünkü QR biletin güvenliği, kodun kendisinden çok, kodun üretildiği andaki oturum ve cihaz bağlantısına dayanıyor. Turnike tarafında kod doğrulanırken sunucuya gidiliyor; sunucu da kodun daha önce kullanılıp kullanılmadığını kontrol ediyor. Ekran görüntüsü alındığında bu zincir kopmuyor, sadece kodun süresi dolana kadar geçerli kalıyor. Yani asıl maliyet, kodun çalınması değil, aynı kodun kısa süre içinde birden fazla kişi tarafından kullanılması. Bu da turnike geçiş süresini uzatıyor ve istasyonlarda gereksiz kuyruk oluşturuyor.
Nerede işe yaramıyor: Bu yöntem, QR kodun süresi dolduktan sonra tamamen işe yaramaz hâle geliyor; ama süre dolmadan önceki 1-2 dakikalık pencerede hâlâ risk var. Ayrıca internet bağlantısının zayıf olduğu istasyonlarda (özellikle yer altındaki bazı aktarma noktalarında) turnike doğrulaması gecikiyor ve aynı kod farklı turnikelerde neredeyse eşzamanlı okutulabiliyor. Kendi denememde Yenikapı’da iki farklı turnikede aynı kodu 40 saniye arayla okutmayı başardım; bu, sistemin tamamen kapalı olmadığını gösteriyor. Bir de şu var: Uygulama güncellemeleriyle QR ekranındaki hareketli öğe kaldırılırsa, statik görüntü oranı artar.
Sizin istasyonlarınızda benzer bir durum var mı? Özellikle kalabalık saatlerde QR bilet kullananların ne kadarının ekran görüntüsü gösterdiğine dair bir gözleminiz varsa, hangi istasyonda ve hangi saatte olduğunu yazarsanız, bir sonraki turda karşılaştırma yapabilirim.
0 条评论
还没有评论，写下第一条。