Wat de streepjescode van je instapkaart over je prijsgeeft - en waarom wij alleen de route lezen

Er is een socialemediaklassieker die elk tijdperk overleeft: de luchthavenfoto met de instapkaart in de hand, op weg naar vakantie. Het probleem is dat dat rechthoekje niet alleen je bestemming laat zien: de streepjescode erop vertelt wie hem kan lezen aanzienlijk meer over je dan het bijschrift.

Wil je de korte versie? Plak je eigen kaart in de gratis lezer voor instapkaart-streepjescodes - hij decodeert in je browser, somt elk veld op en uploadt niets. Lees daarna verder over wat die velden prijsgeven.

Wat er in een streepjescode past

Het formaat is wereldwijd gestandaardiseerd door IATA, de internationale vereniging van luchtvaartmaatschappijen, onder de standaard BCBP (Bar Coded Boarding Pass, vastgelegd in Resolutie 792). Het is een tweedimensionale code - PDF417 op papier; QR, Aztec of Datamatrix op je telefoon - met een gestructureerd databericht: naam van de passagier, boekingsreferentie, route, maatschappij, stoel en, als je die hebt, je frequent-flyernummer.

Niets daarvan is een staatsgeheim: het is letterlijk wat de scanner bij de gate moet weten. Het addertje is dat iedereen met een streepjescodelezer (er zijn er genoeg, gratis, op het web) precies hetzelfde leest. Wil je het zien in plaats van ons op ons woord geloven, dan hebben we er een gebouwd: plak je eigen kaart in de decoder voor instapkaart-streepjescodes en hij somt elk veld op, in je browser, zonder iets te uploaden.

Het experiment dat een les werd

In 2015 publiceerde beveiligingsjournalist Brian Krebs een zaak die het standaardvoorbeeld werd: een lezer nam de foto van een instapkaart die een vriend op Facebook had gezet, decodeerde de streepjescode en kwam eruit met de naam, het frequent-flyernummer en de boekingsreferentie van die vriend. Daarmee kon hij op de site van de maatschappij de toekomstige vluchten van zijn vriend zien, zijn stoel wijzigen - en zelfs vluchten annuleren. Gecombineerd met openbare informatie van sociale media (de meisjesnaam van zijn moeder bijvoorbeeld) kon hij zelfs de pincode van het mijlenaccount resetten.

Krebs’ conclusie houdt tien jaar later stand, niet in de laatste plaats omdat de standaard nog steeds dezelfde is: een instapkaart is een document, geen fotoattribuut. Post de foto niet, laat het strookje niet in het stoelvak achter, en gooi het weg zoals je een bankafschrift weggooit.

”Prima, maar jullie app scant precies die code”

Terecht. Stamp Hunt gebruikt de camera om de streepjescode van je instapkaart te scannen: zo wordt een reis een Rare- of Legendary-stempel in je collectie. Het verschil zit in wat er na het lezen gebeurt: de app herkent vertrek en bestemming - de route, en dat is wat bewijst in welk land je was - en dat is het deel dat ertoe doet. Je collectie en je bewijs blijven op je toestel; er is geen server van ons die je gegevens ontvangt, geen account om aan te maken, geen openbare tijdlijn. Je kunt kaarten ook importeren uit Apple Wallet of vluchten synchroniseren uit Flighty en Tripsy.

Het is een simpele regel die we op al onze apps toepassen: lees het minimum dat nodig is en raak nooit een server aan die wij beheren. GalleryCheckup doorzoekt je fotobibliotheek op dubbele foto’s zonder dat er één foto je iPhone verlaat; Receitorio bewaart je recepten zonder sociaal netwerk; TigelaBoa houdt de maaltijden van je huisdier bij zonder account; Artisan View runt de productie van een maker zonder analytics.

Grenzen worden steeds digitaler - de inktstempel is in Europa al op weg naar buiten - en registraties van je reizen bestaan sowieso. De enige keuze die overblijft is waar ze staan: op de server van iemand anders, of in je broekzak.

---

Bronnen

• What’s in a Boarding Pass Barcode? A Lot - Krebs on Security (6 oktober 2015)
• Bar Coded Boarding Pass (BCBP) Implementation Guide - IATA (PDF)
• Common Use Standards - IATA
• Scangedrag en bewijsniveaus zoals beschreven op de Stamp Hunt-homepage.