Management and Future Technologies | Volume 2, Issue 1 | № 005

Management and Future Technologies journal.umft.uz March 2025 Volume 2, Issue 1 101 Figure 2. Visualization of segmented and geometrically reconstructed liver vessels in the Multivox workstation. Perhaps the record-breaking performance to date is that of the open DICOM visualizer InVols, developed at Lobachevsky State University of Nizhny Novgorod. Invols uses the best modern DVR algorithms, including preliminary integration and block decomposition, and is optimized for the GPU architecture. Back in April 2012, it was able to visualize a tomogram of 5168 layers in real time: "GPU RayCasting for a huge dataset" ( https://www.youtube.com/user/ngavrilov86 ). InVols performance continues to grow every year along with GPU performance. The problem of 3D visualization quality There are undoubtedly 3 main factors that influence the quality of 3D visualization: 1) noise in the original data; 2) the interpolation method when sampling values on a regular data grid during integration along the ray; 3) post-classification (classification after interpolation) of the selected value using the Transfer Function. Recently, much has been done for hardware and software noise minimization in each of the 2D layers of the tomogram. A serious step has also been made in removing noise by using the coherence of adjacent layers of the tomogram [12]. Therefore, we will consider the remaining 2 factors.

Volume 2, Issue 1 March 2025 Management and Future Technologies journal.umft.uz 102 Figure 3. Comparison of distortions introduced on the model data grid by bilinear interpolation (left) and bicubic smoothing (right) and real artifacts of trilinear interpolation in the form of tree rings Figure 3 shows the effect of the data interpolation method on the image quality. Postclassification artifacts are also visually evident. It is clear that interpolation defects can be combated either by increasing the tomogram resolution or, for example, by using tricubic interpolation or even a Lanczos filter. A brilliant solution to post-classification artifacts was proposed by the authors of the Pre-integrated Direct Volume Rendering (PDVR) method [3]. This method not only qualitatively improved the synthesized image, but also made the integration process along the ray mathematically correct. Later methods of adaptive step selection peak finding and differential sampling (ASM) [4] and virtual sampling (VS) [5] attempted to abandon PDVR based on their higher performance for some data. However, using the performance criterion, they did not control the image quality. The objective reason for this is the lack of a standard. The problem of measuring and ensuring the specified quality of 3D visualization of a tomogram is solved in an acceptable manner in the work [2]. A method for measuring (quantifying) artifacts and the quality of 3D visualization is proposed, which does not require a reference image and, therefore, is a universal approach to measuring the quality of reconstruction by any 3D visualization method. The method is based on generating a reference image as the mathematical expectation of pixels in a series of images obtained by noisy start of the beam within one step along the beam. To estimate the deviation from the mathematical expectation, the traditional PSNR value in dB for signals and images is chosen. The conditions for the correctness of using this estimate are discussed. A method of Pre-integrated virtual sampling (PLVS, PCVS, see Fig. 4-5) is also proposed, combining the advantages of virtual samples with pre-integration. A new approach to the development of 3D visualization algorithms is proposed, based on the study of the method in the performance-quality axes. A comparative study of several modern methods in the performance-quality axes is performed (Figure. 4, 5).

Management and Future Technologies journal.umft.uz March 2025 Volume 2, Issue 1 103 Figure 4. Quality (PSNR, dB) / performance (frames/sec, FPS) for the case of trilinear filtering of data without illumination Figure 5. Quality (PSNR, dB) / performance (frames/sec, FPS) for the case of tricubic filtering of data with lighting. The study was conducted for the methods implemented by the authors of the publication [2]. Designations: UDVR – conventional Direct Volume Rendering; PDVR - Pre-integrated Direct Volume Rendering [3]; ASM - peak finding and differential sampling [4]; LVS, CVS – Virtual Sampling with linear and cubic interpolation of virtual samples along the ray; PLVS, PCVS – Preintegrated virtual sampling with linear and cubic interpolation of real samples [2]. Markers along the curves correspond to a linear change in the sampling frequency of values along the ray from 1 to 8 samples per voxel. It is hoped that the method for quantitative assessment of visualization quality will be useful not only in biomedical visualization, but also in computational fluid mechanics, where detection and

Volume 2, Issue 1 104 March 2025 Management and Future Technologies journal.umft.uz high-quality visualization of vortices is relevant [10]. Parameterized modeling The line of three-dimensional modeling of a person, his organs and systems, is represented by a fairly large number of companies and model complexes. Historically, the absolute majority of 3D models were created for the purposes of visual study of anatomy and are not parameterized. The authors of the most advanced products have already begun to move towards the creation of parameterized models and the completeness of parameterization. The US market leader in digital training models, Visible Body (1996, http://www.visiblebody.com/ ), which annually receives awards for the best product for training in the field of biomedicine, began producing models that implement local movement. A younger English company Plasticboy (2005-2009) offers today on its website a new version of the Male-Female anatomical models of the Anatomy Models Store series, parameterized for movement (rigged model) in the Autodesk Maya environment: V07 Anatomy 3D models (Motionbuilder Compatible). The remaining model formats (for the other 12 3D modeling systems) are supplied as standard (i.e. without movement). The approximate price is about $2000 per workstation. An example on the company's website demonstrates work during movement of the entire musculoskeletal framework close to natural ( http://www.plasticboy.co.uk/store and Figure 6). Figure 6. An example of parameterization of movement in a 3D model of normal anatomy from Plasticboy. Zygote Inc. ( http://www.zygote.com/ ) is considered a recognized leader in the field of 3D modeling in biomedicine. Since 1994, it has been providing knowledge-intensive services in 3D modeling in biomedicine, the entertainment industry and the professional market. Today, along with surface polygonal textured models in the formats of 3D modeling systems: 3D Studio Max; Blender (OBJ); Cinema 4D; Generic OBJ; Maya ( http://www.zygote.com/poly-models ), solid CAD models are also offered for use in bioengineering needs within CAD systems: ProE/Creo; IGES; ParaSolid; SolidWorks; Step. The market price of a pair of Male-Female surface models is about $25,000. The higher the degree of parameterization of the model, the more technologically advanced its application

Management and Future Technologies journal.umft.uz March 2025 Volume 2, Issue 1 in the specified markets. It was on the basis of such models that the company EZ (Germany) was founded in 2014. Today it offers anatomical 3D preparations printed on a 3D printer (Printed Anatomy Series, www.3danatomyseries.com ) and, perhaps, will then develop the field of prosthetics. All these models were created using both developed commercial 3D modeling systems and modern open libraries and geometric modeling environments. Among such open libraries, one should first of all include CGAL - The Computational Geometry Algorithms Library ( www.cgal.org ) [7]. The project to create this library started in 1996 as an international European project initially involving 7 parties: Utrecht University (The Netherlands, prime contractor), ETH Zürich (Switzerland), Free University of Berlin (Germany), INRIA (France), Max-Planck-Institute Saarbrucken (Germany), RISC Linz (Austria), Tel-Aviv University (Israel), and was financed by several large European scientific programs (GALIA, ECG, ACS, Aim@Shape). Since 2003, commercial licenses for CGAL have become available. CGAL C++ library, ending with the construction of grids, has functional completeness and is widely used for creating application systems with a geometric basis in the following areas: GIS, CAD, molecular biology, medicine, computer graphics, robotics, etc. The domestic analogue of CGAL is the geometric kernel C3D ( http://c3dlabs.com ), developed since 1995 in the interests of the domestic CAD KOMPAS-3D company ASCON. In November 2012, C3D Labs became an independent company working on the international market. A project close in functionality to CGAL, but with a purely French origin, is the open system and technology for geometric design and engineering analysis (Open CASCADE Technology, http://www.opencascade.org/ ). CAS.CADE is an abbreviation of the name of the software package Computer Aided Software for Computer Aided Design and Engineering, which was developed in the early 1990s by the French company Matra Datavision, which developed CAD Euclid in 1980. CAS.CADE then became the basis for such a well-known system as CATIA. In 1999, Matra Datavision made CAS.CADE an open platform. Based on this library, an open system of three-dimensional modeling, mesh decomposition and engineering analysis SALOME ( www.salome-platform.org ) was built, capable of providing a platform for pre- and post-processing for numerical modeling, both in engineering applications and in medicine. In parallel, more modest open libraries and similar commercial ones have been created, such as The Geometric Modelling Library (GML), created by the international company Renishaw ( http://www.renishaw.com/geometricmodelling/en/the-gml--14749 ). On such powerful computer-geometric support, both separate applied models and entire software packages (libraries and tools) appeared, providing functional modeling of separate organs and systems of the human body. One of the well-known packages is VMTK ( www.vmtk.org ) - the Vascular Modelling Toolkit. VMTK solves problems of 3D reconstruction, geometric analysis, generation of finite element meshes, surface analysis and modeling of blood flow in the human 105

Volume 2, Issue 1 106 March 2025 Management and Future Technologies journal.umft.uz cardiovascular system. The development of 3D modeling systems has made it possible to use a 3D model of a patient as a basis for integrating and jointly interpreting the results of his examination using modern methods of medical diagnostics. Research and creation of systems in this area is actively supported by IBM, the world leader in supercomputer production, which saw here prospects for the mass application of supercomputers in the implementation of technologies based on big data. The completion of the IBM 3D Avatar project resulted in three new technologies supported by the new company Nhumi Technologies (2009, www.nhumi.com , read as New Me). In essence, this is a new three-dimensional Me, built from start to finish on a three-dimensional image of the patient (a 3D avatar of a specific person), his medical examinations, 3D planning and monitoring of the treatment process. The first Study Insight technology is a service for integrating data from various patient examinations with the possibility of collective Internet access to them by doctors and holding teleconsultations on the patient. Visual Health technology is a service for navigation through a 3D model of human anatomy (about 3000 objects) for doctors from any standard web client with the linking of clinical data to organs, figuratively speaking, a three-dimensional medical record of the patient (Figure 7). Figure 7. Examples of models used in the Visual Health and Healthcorpus systems Three-dimensional segmentation, geometric reconstruction and analysis of organs and the human body as a whole As we can see, even a general three-dimensional model of anatomy begins to play a significant role in medical systems. Especially - a personal model of the anatomy of a specific patient. With its

Management and Future Technologies journal.umft.uz March 2025 Volume 2, Issue 1 construction, we can talk about personalized medicine with even greater justification. It makes sense to start a doctor's appointment with a 3D reconstruction of the patient's body. The cheapest way to do this is to use images from video cameras. We can say that this task has already been picked up by specialists and found good solutions. One of the solutions can be seen on the website of the Body Labs company ( www.bodylabs.com ) - a beta version of the BodyKIT product has been prepared for highprecision reconstruction of a 3D model of the body and capturing its motion with MS Kinect. The project also declares the ability to compare, morph, animate, and average bodies. Another solution is on the website of the Itseez company, which supports and develops the world-famous OpenCV computer vision library ( http://itseez.com/products/itseez3d/ ) - already working software for 3D reconstruction of the human body and other objects (Figure 8). Figure 8. Example of 3D reconstruction on the Itseez website For medical technologies using tasks 3 and 4, an interesting application solution was found, which was called the Virtual Dissection Table. For the first time, such a table was transferred to Stanford University by Anatomage Inc. ( www.anatomage.com ) in 2011 for experimental use and development. The main idea of the table was to combine 3D visualization of individual tomography data with a parameterized model of anatomy (Figure 9). 107

Volume 2, Issue 1 March 2025 Management and Future Technologies journal.umft.uz 108 Figure 9. An example, presented on the website http://medical.anatomage.com , of combining a polygonal 3D model (of internal organs and the circulatory system) with a voxel reconstruction of the skeleton and body contour, extracted from a real tomogram It was proposed to use this primarily for the purposes of training students. Any training information can be easily linked to the objects of the model, and a specific tomogram should provide information on the real state and pathologies of organs. However, the universal implementation of this concept beyond the specific case presented on the site turned out to be too labor-intensive and has not been completed to date. The development of the system in the past 4 years has gone along the line of accumulating a library of common organ pathologies (by now, about 120 pathologies have been collected in the Anatomage Table system), and accumulating a toolkit for segmentation, geometric reconstruction, and methods for analyzing individual body parts. This software toolkit was named Invivo ( http://medical.anatomage.com/medical-products/invivo5 ). Today, it contains 8 functions and is certified for use in medicine. Each copy of Anatomage Table is supplied with the Invivo package. A simpler and more pragmatic product, Sectra Visualization Table, was introduced in 2012 by the Swedish company Sectra ( http://www.sectra.com/medical/sectra_table/ ), which has been operating in the medical visualization market for over 20 years. This is a table for 3D visualization of tomograms in real time, which is positioned as useful for preoperative preparation of a surgeon, collective discussions of tomography results, and the study of pathologies by students on real tomogram material. 3D visualization software is supplied with the table. In 2015, a cloud-based visualization option on a tablet became available for Sectra Table owners. In Russia, the development of a virtual table more similar to Anatomage Table is currently being completed. It is being carried out by a small enterprise at the Saratov Medical University based on the atlas of normal and pathological anatomy of the human body InBody Anatomy ( http://inbody.pro , http://www.npo-leader.com/ ) developed there with more than 100 pathologies. In 2013, the Nizhny Novgorod University implemented a cloud service for high-performance 2D-3D visualization of tomograms to organize personal doctor and patient accounts on its basis. The

Management and Future Technologies journal.umft.uz March 2025 Volume 2, Issue 1 experimental version of the service ( http:// 85.143.3.10:4526 ) is also capable of operating in the virtual table mode of the Sectra Table type (Figure 10). Figure 10. Example of 3D visualization using the UNN cloud service Conclusion Upcoming tasks. A reflection of some of the problems currently being solved can be found among the new Invivo5 functions at ( http://medical.anatomage.com/medical-products/invivo5 ). This is the filling and expansion of the tasks: Compare Cases - pairwise comparison of cases (quantitative detection of dynamics), and not only in 2D, but also in 3D (for example, comparison of lung volume during inhalation and exhalation). This is also Isolate Anatomy and Capture Videos the user can reconstruct a separate part of the skeleton and perform various manipulations with it: scale, rotate, move in parallel. Even wider are the capabilities of the optional Medical Design (MD) component, which can both geometrically reconstruct fragments of a tomogram (Create Digital Models from Patient Scans) and import external objects into the created models, for example, an artificial valve - into the heart. The direction of development of segmentation and reconstruction algorithms. Obviously, reconstruction is performed based on segmentation, and its capabilities are extremely limited today and require further development and regularization. Segmentation and diagnostics of soft tissues are especially difficult. Full-fledged detection of organ anomalies should begin with accurate detection of its boundaries. Which is most often extremely difficult to do based on tomogram data due to the fact that the tomograph has a limited resolution, and with a slice step of 0.5 mm, it cannot reliably detect objects with a size or thickness (for thin boundaries) less than 1 mm. This problem is closely related to the problem of merging a 3D model of normal anatomy with a tomogram of the patient's body or a body fragment and extracting model parameters from a personal tomogram. However, here it is 109

Volume 2, Issue 1 110 March 2025 Management and Future Technologies journal.umft.uz possible to move towards each other from the side of deepening and specialization of the 3D model parameterization and from the side of segmentation methods. A serious step in this direction is the work Computational Bodybuilding [6], presented at SIGGRAPH'2015. There is hope for regularization of segmentation algorithms by using such support models. The same path seems effective for creating high-performance segmentation and reconstruction algorithms. Creation of functional (dynamic) personal models. There is also the most important task of full involvement of ultrasound diagnostics in 3D reconstruction and the task of reconstruction on this basis of not static, but dynamic (especially Doppler) volumetric models: in many cases of studying the dynamics of an organ/system, ultrasound remains the gold standard. An example of reconstructing blood flow in the heart based on ultrasound data is the work [8]. Also relevant is the processing of tomograms taken in dynamics, adequate in performance to the so-called "fast" MRI tomographs (FLASH MRI), appearing on the market. Work on functional modeling of individual organs and systems of the human body is being carried out on a fairly broad front with the prospect of creating a "virtual clone of a person", in journalistic terminology. Examples of such work are recent works on the reconstruction of blood flow: in the vessels of the legs [1]; prognosis of surgical treatment of an aneurysm of the cerebral artery [9] and reconstruction of small vessels of the fundus [13]. Work is being carried out on electromechanical modeling of the heart [11]. In all these cases, computer graphics retains the geometrical support of the functional modeling of a personal virtual organism. A recent example of such a function is the visualization of the dynamics of a patient's contracting cyberheart ( https://youtu.be/2LPboySOSvo ), built at RIKEN on the Japanese supercomputer K and presented for the first time on June 4, 2015 at the SIGGRAPH 2015 conference (Figure 11). Figure 11. Visualization of the dynamics of the patient’s contracting cyberheart ( https://youtu.be/2LPboySOSvo ).

Management and Future Technologies journal.umft.uz March 2025 Volume 2, Issue 1 References 1. Gamilov T., Ivanov Yu., Kopylov P., Simakov S., Vassilevski Yu. Patient specific hemodynamic modeling after occlusion treatment in leg. Mathematical Modelling of Natural Phenomena, 2014, vol. 9, no. 6, pp. 85-97 2. Gavrilov, N. I.; Turlapov, V. E. Novel approach to development of direct volume rendering algorithms based on visualization quality assessment. Programming and Computer Software, 2014, vol. 40, no. 4, pp. 174-184 3. Engel K., Kraus M., Ertl T. High-quality pre-integrated volume rendering using hard-ware-accelerated pixel shading. Proc. of Graphics Hardware 2001, pp. 9-16 4. Knoll A., Hijazi Y., Westerteiger R., Schott M., Hansen C., Hagen H. Volume ray casting with peak finding and differential sampling. IEEE Transactions on Visualization and Computer Graphics, 2009, vol. 15, no. 6, pp. 1571–1578. 5. Lee, B., Yun, J., Seo, J., Shim, B., Shin, Y. G., & Kim, B. Fast high-quality volume ray casting with virtual samplings. IEEE Transactions on Visualization and Computer Graphics, 2010, vol. 16, no. 6, pp. 1525-1532. 6. Saito Sh., Zhou Zi-Ye, Kavan L. Computational Bodybuilding: Anatomically-based Modeling of Human Body. ACM Transactions on Graphics, 2015, vol. 34, no. 4, Article 41 7. The CGAL Project. CGAL User and Reference Manual. CGAL Editorial Board, 4.6.2 edition, 2015. 8. Yatchenko A., Krylov A. Cross-Frame Ultrasonic Color Doppler Flow Heart Image Unwrapping. Lecture Notes in Computer Science, 2015, vol. 9126, pp. 265−272 9. Yatchenko A.M., Gavrilov A.V., Boldyreva E.V., Arkhipov I.V., Grigorieva E.V., Gudkov I.M., Krylov V.V. Blood Flow Prediction and Visualization within the Aneurysm of the Middle Cerebral Artery after Surgical Treatment. Proceedings of IMTA-5, 2015, Portugal, pp. 108-113 10. Bondarev A., Galaktionov V. Modern directions of development of data visualization in computational mechanics of liquids and gases. Scientific visualization, 2013, v. 5, no. 4, pp. 18 - 30 11. Kostin V.A., Osipov G.V. Self-consistent electromechanical activity in an elastically fixed cardiac muscle fiber. Problems of Strength and Plasticity, 2014, v. 76, no. 4, pp. 357-363 12. Lukin A.S., Storozhilova M.V., Yurin D.V. Methods for analyzing the quality of noise filtering in computed tomography images. Proceedings of the 15th International Conference "Digital Signal Processing and its Applications" (DSPA'2013), v. 2, 2013, pp. 85−88. 13. Nasonova A.A., Krylov A.S. Isolation of vessels in fundus images and its quality assessment. Biotekhnosfera, No. 3, Politechnika Publishing House, 2014, pp. 24−25. 111

Volume 2, Issue 1 March 2025 112 Авторы Шохида Юсупова Старшая преподавательница факультета информационных технологий Ургенчский филиал Ташкентского университета информационных технологий имени Мухаммада аль-Хорезми; gratifikus@gmail.com Огабек Матёкубов Старшая преподавательница факультета информационных технологий Ургенчский филиал Ташкентского университета информационных технологий имени Мухаммада аль-Хорезми; ogabekbahrombekogli@gmail.com Management and Future Technologies journal.umft.uz РАЗРАБОТКА ИННОВАЦИОННЫЙ ПОДХОД ДЛЯ ЗАЩИТЫ ОТ QRLJACKING И CLICKJACKING ПРИ ОБЕСПЕЧЕНИИ БЕЗОПАСНОСТИ ВХОДА ЧЕРЕЗ QRКОДЫ А ннотация. В современную эпоху традиционные пароли постепенно утрачивают свою актуальность, уступая место более удобным и безопасным методам аутентификации, таким как отпечатки пальцев и двухфакторная аутентификация (2FA). Одним из наиболее эффективных методов, стал вход с помощью QR-кода, запатентованный компанией Google Inc. Однако исследование уязвимостей показало, что данный метод не является абсолютно безопасным. В данной работе рассматривается вектор атаки QRLJacking, который позволяет злоумышленникам получить полный контроль над учетной записью жертвы, даже если используется 2FA. Ключевые слова: аутентификация, QR-код, безопасность, уязвимость, CRLJacking, сlickjacking, злоумышленник, двухфакторная аутентификация (2FA). Copyright: © 2024 by the authors. Ushbu maqola Creative Commons Attribution (CC BY) litsenziyasi shartlari asosida tarqatiladigan ochiq foydalanish maqolasi hisoblanadi (https://creativecommons.org/ licenses/by/4.0/).

Management and Future Technologies journal.umft.uz March 2025 Volume 2, Issue 1 Введение Аутентификация с помощью QR-кода изначально была представлена как безопасный и удобный способ входа в систему, объединяющий в себе простоту использования и высокий уровень защиты. Однако атака QRLJacking демонстрирует уязвимости данной технологии. В ее основе лежит социальная инженерия, позволяющая злоумышленнику обманом заставить жертву отсканировать поддельный QR-код, что приводит к захвату учетной записи. В данной работе рассматривается механизм атаки, возможные риски и методы защиты, позволяющие снизить вероятность успешного QRLJacking-нападения. QR-код (сокращенно от Quick Response Code) — это товарный знак для типа матричного штрих-кода (или двухмерного штрих-кода), впервые разработанного для автомобильной промышленности в Японии (рис.1.). Штрих-код — это машиночитаемая оптическая этикетка, которая содержит информацию о товаре, к которому она прикреплена. QR-код использует четыре стандартизированных режима кодирования (числовой, буквенноцифровой, байтовый/двоичный и кандзи) для эффективного хранения данных; также можно использовать расширения. Система QR-кодов стала популярной за пределами автомобильной промышленности благодаря быстрой считываемости и большей емкости хранения по сравнению со стандартными штрих-кодами UPC. Приложения включают отслеживание продуктов, идентификацию товаров, учет времени, управление документами и общий маркетинг. Основная часть QR-код состоит из черных модулей (квадратных точек), расположенных в квадратной сетке на белом фоне, которые могут быть считаны устройством обработки изображений (например, камерой, сканером и т. д.) и обработаны с помощью коррекции ошибок РидаСоломона до тех пор, пока изображение не будет соответствующим образом интерпретировано. [1] Затем необходимые данные извлекаются из шаблонов, присутствующих как в горизонтальной, так и в вертикальной составляющих изображения. Рисунок 1. Пример QR-кода 113

Volume 2, Issue 1 114 March 2025 Management and Future Technologies journal.umft.uz Единый вход (SSO) — это свойство управления доступом к нескольким связанным, но независимым программным системам. С помощью этого свойства пользователь входит в систему с единым идентификатором и паролем, чтобы получить доступ к подключенной системе или системам без использования разных имен пользователей или паролей, а в некоторых конфигурациях легко входить в систему в каждой системе. Обычно это достигается с помощью протокола LDAP (Lightweight Directory Access Protocol) и сохраненных баз данных LDAP на серверах. Простая версия единого входа может быть достигнута по IP-сетям с использованием файлов cookie, но только в том случае, если сайты используют общий родительский домен DNS. И наоборот, единый вход — это свойство, при котором одно действие по выходу из системы прекращает доступ к нескольким программным системам. Поскольку разные приложения и ресурсы поддерживают разные механизмы проверки подлинности, единый вход должен внутренне преобразовывать и хранить учетные данные для различных механизмов, начиная с учетных данных, используемых для первоначальной проверки подлинности. К другим схемам общей аутентификации, которые не следует путать с SSO, относятся OAuth, OpenID, OpenID Connect и Facebook Connect, которые требуют от пользователя ввода учетных данных каждый раз при переходе на другой сайт или в другое приложение. Clickjacking, также известный как «атака на исправление пользовательского интерфейса», — это когда злоумышленник использует несколько прозрачных или непрозрачных слоев, чтобы обмануть пользователя и заставить его нажать на кнопку или ссылку на другой странице, когда он намеревался нажать на страницу верхнего уровня. [2] Таким образом, злоумышленник «перехватывает» клики, предназначенные для его страницы, и перенаправляет их на другую страницу, скорее всего, принадлежащую другому приложению, домену или и тому, и другому. Используя подобную технику, можно перехватывать и нажатия клавиш. С помощью тщательно продуманной комбинации таблиц стилей, iframe и текстовых полей пользователь может поверить, что он вводит пароль к своей электронной почте или банковскому счету, но вместо этого печатает в невидимую рамку, контролируемую злоумышленником. Вход с помощью QR-кодов, функция или баг? (Безопасность против удобства использования) Когда дело доходит до аутентификации, любая система, которая не достигает состояния баланса между достаточным удобством использования и безопасностью, в основном является непрактичной системой аутентификации. С самого начала традиционная система аутентификации на основе учетных данных доминировала над любыми другими альтернативами. Но не без многих недостатков, от рисков, таких как повторное

Management and Future Technologies journal.umft.uz March 2025 Volume 2, Issue 1 воспроизведение и фишинговые атаки, до внутренних проблем, таких как проблема «усталости от паролей» (при которой пользователь обременен необходимостью запоминать чрезмерное количество паролей в рамках своей повседневной рутины), мы остаемся с нетривиальными недостатками дизайна, которые необходимо устранить. В дальнейшем появились новые подходы к решению этих проблем. Одним из подходов является система единого входа (также известная как SSO), где пользователь может просто иметь одну учетную запись, которая позволяет ему аутентифицироваться в нескольких службах. Это в некоторой степени решает вышеупомянутую проблему «усталости от паролей», поскольку пользователю больше не нужно обременять себя слишком большим количеством паролей, чтобы запомнить, и больше не возникает соблазна развивать плохие привычки, такие как повторное использование одного и того же пароля снова и снова. Но все же он не лишен своих недостатков, так как в этом случае потеря одного пароля будет препятствовать доступу ко всем сервисам, связанным с системой SSO; не говоря уже о потенциальном риске массовой компрометации счетов. [3] Еще один подход, который был введен, — это так называемый «одноразовый пароль (OTP)», который пытается в некоторой степени снизить многие риски, такие как атаки повторного воспроизведения и любой потенциал фишинговых атак. Но с другой стороны, эти пароли обычно трудно запомнить, и поэтому для их развертывания требуются дополнительные технологии. Недавно была представлена новая модель SSO, основанная на одноразовых паролях на основе QR-кода, для дальнейшего устранения таких недостатков. При входе в систему на основе QR-кода пользователю может потребоваться только отсканировать QR-код, сгенерированный сервисом, в котором он пытается пройти аутентификацию, а затем клиентское приложение на доверенном устройстве, таком как смартфон, отсканирует и передаст QR-код поставщику удостоверений, чтобы проверить его и далее аутентифицировать пользователя в целевом сервисе. Таким образом, процесс входа в систему без проблем и безопасности обеспечивается даже на потенциально скомпрометированном устройстве. Но, как мы подробно объясним позже, в зависимости от реализации, таким подходом можно легко злоупотребить, чтобы обмануть пользователя и заставить его аутентифицировать злоумышленника от своего имени в конфиденциальных веб-сервисах, что сводит на нет весь смысл такого подхода! Связанные исследования и проекты о "Вход по QR-коду" Вход с помощью QR-кода. Абстрактный В настоящем документе раскрываются системы и методы для того, чтобы пользователь мог использовать доверенное устройство для предоставления конфиденциальной информации поставщику идентификационных данных с помощью QR-кода (быстрого реагирования) для поставщика идентификационных данных для посредничества при входе на веб-сайт или для сбора информации для веб-сайта. Пользователь может безопасно совершать транзакции с веб-сайтом с незащищенных устройств, вводя 115

Volume 2, Issue 1 116 March 2025 Management and Future Technologies journal.umft.uz конфиденциальную информацию на доверенное устройство. Поставщик идентификационных данных может сгенерировать QR-код для отображения веб-сайтом на незащищенном устройстве. Пользователь, запускающий приложение от поставщика удостоверений на доверенном устройстве, может отсканировать QR-код для передачи QR-кода поставщику удостоверений. Поставщик удостоверений может проверить QR-код и получить информацию об учетных данных для аутентификации пользователя или может собирать информацию для веб-сайта. Предпочтительно, что пользователь может осуществить безопасный вход на сайт с недоверенных устройств, используя доверенное устройство Вход в систему со смартфона с помощью QR-кода Абстрактный Системы и методы раскрываются для того, чтобы пользователь мог использовать мобильное устройство, такое как смартфон, для сканирования QR-кода (быстрого реагирования), отображаемого на веб-странице входа на веб-сайт. QR-код может кодировать URL-адрес сервера веб-сайта. [4] Мобильное устройство декодирует QR-код и передает идентификатор устройства и другую расшифрованную информацию поставщику услуг. Поставщик услуг находит учетные данные пользователя, связанные с идентификатором устройства, и передает эти учетные данные на сервер веб-сайта для аутентификации пользователя. [5] В качестве альтернативы мобильное устройство может передавать идентификатор своего устройства на сервер веб-сайта, чтобы сервер веб-сайта мог найти учетную запись пользователя, связанную с идентификатором устройства для входа пользователя. Кроме того, мобильное устройство может передавать сохраненные учетные данные для входа на сервер веб-сайта. Преимущество заключается в том, что пользователь может получить доступ к веб-сайту без необходимости предоставлять какие-либо учетные данные для входа. Проект SQRL SQRL или Secure, Quick, Reliable Login— это проект открытого стандарта для безопасного входа на веб-сайт и аутентификации. Программное решение обычно использует QR-код, который обеспечивает аутентификацию, когда пользователь идентифицирует себя анонимно, а не предоставляет идентификатор пользователя и пароль. [6] Считается, что этот метод невосприимчив к атаке методом перебора пароля или утечке данных. Это перекладывает бремя обеспечения безопасности с стороны, запрашивающей аутентификацию, на реализацию того, что возможно на оборудовании, на операционную систему, а также на пользователя. SQRL был предложен Стивом Гибсоном из Gibson Research Corporation в октябре 2013 года как способ упростить процесс протокола аутентификации, не раскрывая никакой информации о транзакции третьей стороне. Атака на QRLJacking QRLJacking или Quick Response Code Login Jacking — это простой вектор атаки социальной инженерии, способный перехватить сессию, затрагивая все приложения, которые

Management and Future Technologies journal.umft.uz March 2025 Volume 2, Issue 1 полагаются на функцию «Вход с QR-кодом» в качестве безопасного способа входа в учетные записи. Проще говоря, в двух словах, жертва сканирует QR-код злоумышленника в результате перехвата сеанса. Вот как работает атака QRLJacking за кулисами: 1. Злоумышленник инициализирует QR-сеанс на стороне клиента и клонирует QR-код для входа в фишинговый веб-сайт «Теперь хорошо продуманная фишинговая страница с действительным и регулярно обновляемым QR-кодом готова к отправке жертве». 2. Злоумышленник отправляет жертве фишинговую страницу. (Многие эффективные векторы атак будут уточнены позже в этой статье) 3. Жертва сканирует QR-код с помощью специального целевого мобильного приложения. 4. Злоумышленник получает контроль над Аккаунтом жертвы. 5. Сервис обменивается всеми данными жертвы с сессией злоумышленника. Рисунок 2. Как работает атака QRLJacking. Захват учетных записей. Атака QRLJacking дает злоумышленникам возможность применить сценарий полного захвата учетной записи к уязвимой функции входа с QR-кодом, что приводит к краже учетных записей и потере репутации. Раскрытие информации Когда жертва сканирует QR-код, он дает злоумышленнику гораздо больше информации, такой как, например, его точное текущее местоположение по GPS, тип устройства, IMEI, информация о SIM-карте и любая другая конфиденциальная информация, которую клиентское приложение предоставляет в процессе входа в систему) 117

Volume 2, Issue 1 118 March 2025 Management and Future Technologies journal.umft.uz Манипуляции с данными обратного вызова Когда злоумышленник получает данные, которые мы уточнили в пункте «Раскрытие информации», часть этих данных используется для связи с серверами сервиса для уточнения некоторой информации о пользователе, которая может быть использована позже в приложении пользователя. К сожалению, иногда эти данные передаются через незащищенное сетевое соединение, что позволяет злоумышленнику легко контролировать эти данные, давая ему возможность изменить или даже удалить их.[7] Например, WhatsApp отправляет обратно версию браузера, версию ОС и текущее местоположение браузера. Благодаря атаке QRLJacking эти данные теперь находятся на стороне злоумышленника, злоумышленник может перехватить и изменить эти данные, чтобы отравить дату входа в систему на стороне жертвы. см. рисунок 3 и рисунок 4 Рисунок 3 Данные журналов приложения WhatsApp манипулировались со стороны жертвы. Отказ от ответственности: Об этой проблеме было сообщено на их веб-сайте поддержки, и мы не получили ответа. Рисунок 4. Burpsuite Proxy перехватывает данные обратного вызова на стороне

Management and Future Technologies journal.umft.uz March 2025 Volume 2, Issue 1 злоумышленника во время генерации QR Отказ от ответственности: об этой проблеме было сообщено на их веб-сайте поддержки, и мы не получили ответа. QRLJacking и продвинутые векторы атак в реальной жизни Как мы все знаем, если мы объединим несколько векторов атак вместе, мы можем получить больший результат. Атаку QRLJacking можно комбинировать с другими мощными векторами и методами атаки, чтобы сделать ее более надежной и заслуживающей доверия. Вот несколько примеров: Методы социальной инженерии (целевые атаки). Опытному злоумышленникусоциальному инженеру будет легко убедить жертву отсканировать QR-код, клонировав всю страницу входа в веб-приложение с точной, но со своим собственным QR-кодом на стороне злоумышленника. Взломанные сайты и сервисы с высоким уровнем доверия Взломанные сайты подвержены вставке скрипта, который показывает рекламу или недавно добавленный раздел отображает крутое предложение, если пользователь отсканировал этот QR-код с помощью конкретного целевого мобильного приложения, его аккаунт будет угнан.[8] Удаление SSL. SSL Stripping — это вектор атаки, который заключается в том, чтобы лишить SSL-шифрование веб-сайта и заставить его работать на незащищенной версии. Вебсайты без включенной «Политики HSTS» подвержены риску удаления, что дает злоумышленнику несколько вариантов манипулирования содержимым страниц веб-сайта, например, «изменение разделов входа с QR-кодом». Небезопасные сети доставки контента (понижение уровня CDN) Хорошо реализованная функция входа по QR-коду использует изображение QR-кода base64, сгенерированное и размещенное на защищенной странице, что очень затруднит манипулирование, если этот веб-сайт работает по протоколу HTTPS и принудительно использует HSTS, но, к сожалению, многие веб-приложения и сервисы используют процесс генерации QR-изображений на основе CDN. Сами эти CDN иногда хранятся на серверах, уязвимых для атак с понижением версии HTTPS. Злоумышленник найдет способ понизить уровень этих защищенных соединений, перенаправить URL-адреса CDN на свой собственный QR-код, а поскольку QR-код является изображением, это приведет к «пассивному смешанному контенту», поэтому браузер не столкнется с проблемами при его просмотре на странице входа в веб-приложение вместо оригинальной. Незащищенный трафик через локальную сеть. Это самый крутой вектор атаки для 119

Volume 2, Issue 1 120 March 2025 Management and Future Technologies journal.umft.uz атаки на локальных пользователей, который использует незащищенные веб-сайты через локальные сети, Злоумышленник здесь выполняет MITM (Man in the Middle Attack) против своей локальной сети, отравляя трафик на лету, внедряя JS-файл на каждую незащищенную веб-страницу, что приводит к тому, что ясно показано на рисунке 5 ниже. Рисунок 5 - Простой лайтбокс, внедренный в http-сайт Amazon, который просит пользователя отсканировать QR-код, чтобы получить 1 год бесплатного сервиса WhatsApp. Отказ от ответственности: Об этой проблеме было сообщено на веб-сайте поддержки, и мы не получили ответа. Плохая реализация / Логика Плохая логика реализации логики входа по QR-коду может привести к более легким сценариям захвата учетных записей. Во время нашего исследования мы нашли конкретный пример: приложение для чата просит вас отсканировать QR-код других людей, чтобы добавить их в друзья, пока здесь это нормально и не возникает никаких проблем, но когда дело доходит до процесса входа в систему, это большая проблема. К сожалению, в приложении реализована функция «вход по QR-коду» на том же экране, который вы используете для добавления друга, поэтому представьте, что кто-то клонировал свой QR-код для входа и сказал вам: «Эй, это мой QR-код, отсканируйте его, вы отсканировали его, бум», вы потеряли свою учетную запись. QRLJacking против Clickjacking. Как мы объясняли ранее в этой статье, Clickjacking — это злоупотребление стилем конфиденциальной веб-страницы путем сокрытия, прикрытия и манипулирования некоторыми элементами, чтобы убедить жертву «например» изменить основной адрес электронной почты и пароль своей учетной записи на адрес электронной почты и пароль злоумышленника, но что, если злоумышленник преуспел в этом, и через некоторое время он захочет войти в учетную запись жертвы и обнаружит, что эта учетная запись имеет функцию двухфакторной аутентификации. Конечно, атака срывается, и все это