What's encoded in a Wi-Fi QR code?

A Wi-Fi QR uses the WIFI: URI scheme (originally a ZXing convention, since standardized by the Wi-Fi Alliance). It encodes the network name (SSID), security type (WPA / WPA2 / WPA3 / WEP / nopass for open), the password, and a hidden-network flag. WPA2-Enterprise networks also carry an EAP method, an identity, an anonymous identity, and a phase-2 method.

Is it safe to scan a Wi-Fi QR at a café or hotel?

Usually, but verify two things: (1) the network name (SSID) matches what the venue advertises, and (2) the security type is WPA2 or WPA3, not WEP (broken) or 'nopass' (open). A fake QR can advertise a network name like 'Starbucks-WiFi-Free' that looks plausible but routes you to an attacker's hotspot.

What's the 'evil twin' attack?

An attacker sets up a Wi-Fi hotspot with a name that matches or closely mimics the legitimate venue's network. They print or sticker a QR code containing that SSID. Customers scan, connect, and route their traffic through the attacker. Common in airports, hotels, and conference centres. Our scanner flags lookalike SSIDs against a list of known high-value targets (Starbucks, McDonald's, airport-free-wifi patterns, hotel chain names).

Are open Wi-Fi QRs (no password) dangerous?

Open networks aren't dangerous to join, your phone uses HTTPS to encrypt traffic anyway, but they ARE highly impersonable. Anyone with a Wi-Fi router and 10 minutes can stand up a fake 'Coffee Shop Free WiFi' next to a real coffee shop. If you must use open Wi-Fi, double-check that the SSID matches what the venue posts, and consider a VPN. Or just use your mobile data, modern plans usually have it.

Standar · QR kredensial Wi-Fi

Apakah kode QR Wi-Fi ini aman untuk discan?

QR Wi-Fi menghubungkan ponsel Anda ke jaringan apa pun yang namanya ada di dalam kode — titik. Bahayanya bukan pada format QR (sudah distandarisasi dan tidak berbahaya sendiri), melainkan pada SSID. QR dengan nama seperti "Starbucks-WiFi-Free" bisa merutekan Anda ke hotspot palsu di tempat parkir. Pertahanannya adalah membaca nama jaringan SEBELUM Anda mengetuk Hubungkan.

Periksa QR Wi-Fi → Semua standar →

Apa formatnya

Standarnya adalah skema URI WIFI:, yang awalnya diperkenalkan oleh proyek ZXing dan diadopsi oleh Wi-Fi Alliance. Payload lengkap terlihat seperti:

WIFI:T:WPA2;S:CafeWiFi;P:hunter2;H:false;;

Field-nya adalah pasangan kunci-nilai yang dipisahkan titik koma. Setiap aplikasi kamera smartphone modern mengenali format ini dan meminta untuk bergabung ke jaringan.

Untuk WPA2-Enterprise (Wi-Fi korporat atau kampus), format diperluas dengan tiga field lagi: metode EAP (PEAP / TLS / TTLS), identitas (nama pengguna Anda), anonymous identity (identitas EAP luar), dan metode autentikasi phase-2.

Field per field

T, jenis keamanan

WPA, WPA2, WPA3, WEP, atau nopass (terbuka). WEP sudah dibobol — ponsel modern mungkin menolak untuk terhubung. nopass berarti jaringan terbuka tanpa enkripsi di lapisan link.

S, SSID (nama jaringan)

Nama jaringan yang ditampilkan ponsel Anda setelah terhubung. Field terpenting untuk diverifikasi. Bandingkan dengan apa yang diiklankan venue dalam cetakan atau papan petunjuk.

P, kata sandi

Kunci pre-shared untuk jaringan kelas WPA. Tidak ada untuk nopass.

H, jaringan tersembunyi

true jika jaringan tidak menyiarkan SSID-nya. Jaringan tersembunyi perlu dicari — tidak secara inheren lebih aman, sering kali kurang.

E, Metode EAP (Enterprise)

Untuk jaringan WPA2/3-Enterprise: PEAP, TLS, TTLS, PWD. Menentukan cara ponsel Anda mengautentikasi ke server auth jaringan.

I, Identitas (Enterprise)

Nama pengguna Anda di jaringan Enterprise. Beberapa venue mengodekan identitas tamu di sini; jaringan korporat mengharapkan nama pengguna asli Anda.

A, Identitas Anonim (Enterprise)

Identitas luar yang terlihat selama jabat tangan EAP. Digunakan untuk privasi — identitas nyata dienkripsi di dalam tunnel.

PH2, Metode Fase 2 (Enterprise)

Untuk TTLS / PEAP: metode autentikasi inner-tunnel, biasanya MSCHAPV2.

Serangan evil-twin

Resepnya:

Penyerang menyiapkan router Wi-Fi (atau ponsel dalam mode hotspot) di dekat venue target — kedai kopi, gerbang bandara, lobi hotel, pusat konferensi.
Mereka mengonfigurasi SSID agar cocok atau meniru jaringan venue: Starbucks_WiFi_2, FREE_AIRPORT_WIFI, HotelGuests_5G.
Mereka mencetak QR untuk jaringan palsu tersebut dan menempelkannya di tempat yang masuk akal — di bawah tepi meja, di samping stopkontak, di jendela.
Anda scan, ponsel Anda bergabung dengan hotspot mereka. Penyerang memproksikan lalu lintas Anda ke internet nyata agar tidak ada yang terasa salah — tapi mereka melihat setiap hostname SNI jabat tangan HTTPS (situs yang Anda kunjungi), setiap kueri DNS, dan lalu lintas yang tidak terenkripsi.

Aplikasi modern menggunakan HTTPS sehingga kredensial dan konten dienkripsi. Tapi:

SNI membocorkan situs yang Anda kunjungi (dengan ClientHello terenkripsi tidak, tapi sedikit klien yang menerapkannya).
DNS melalui jaringan penyerang mengungkap kueri Anda kecuali Anda menggunakan DoH / DoT.
Aplikasi yang mundur ke HTTP karena alasan apa pun (API lawas, bug certificate-pinning, probe captive-portal) membocorkan data.
Penyerang bisa menyajikan halaman captive-portal palsu yang meminta kredensial yang biasanya Anda ketik di tempat lain.

Scanner kami menandai SSID yang terlihat seperti target yang rentan ditiru — nama merek terkenal dengan confusable yang didekode — sebagai mencurigakan agar Anda memeriksa nama jaringan sebelum bergabung.

Yang ditampilkan scanner kami

Letakkan QR Wi-Fi (gambar, tempel, atau kamera) ke scanner kami. Putusannya menampilkan:

Jaringan (SSID) — baca dengan teliti dan bandingkan dengan apa yang diiklankan venue.
Jenis keamanan — WPA2 / WPA3 / WEP / Open. Jaringan Open atau WEP akan mendapat peringatan.
Kata sandi — ketuk-untuk-tampil (field sensitif). Berguna untuk ditambahkan ke pengelola kata sandi.
Flag tersembunyi — Ya / Tidak.
Metode EAP + identitas + phase-2 — untuk jaringan Enterprise, ditampilkan agar Anda bisa mengonfirmasi metode auth sesuai yang disampaikan IT.
URL yang tertanam di SSID atau kata sandi — beberapa penyerang menyisipkan URL phishing ke field kata sandi; kami menandai itu.

Scanner berjalan di browser Anda; hanya teks yang didekode yang mencapai server kami untuk pemeriksaan keamanan, bukan gambarnya.

Sebelum Anda mengetuk Hubungkan

Apakah SSID cocok persis dengan yang diiklankan venue? Tiruan (karakter tambahan, huruf yang ditukar, "Starbucks_2") adalah tanda serangan.
Apakah keamanannya WPA2 atau WPA3? Jaringan Open dan WEP tidak berbahaya secara inheren tapi DAPAT ditiru.
Jika ini jaringan Enterprise, apakah IT memberi tahu Anda untuk mengharapkan metode EAP dan identitas persis ini?
Apakah Anda sudah menggunakan data mobile? Jika ya, pertimbangkan untuk menggunakannya saja. Paket mobile modern biasanya lebih baik dari Wi-Fi venue untuk kecepatan dan privasi.
Apakah kata sandi venue dirotasi secara rutin? Banyak kafe mencetak kata sandi di papan tulis; stiker QR lama di jendela mungkin berisi kata sandi yang sudah dirotasi.

Terkait

Periksa QR Wi-Fi

Letakkan gambar QR, tempel string WIFI:, atau gunakan kamera. Putusan menampilkan nama jaringan, jenis keamanan, kata sandi yang disembunyikan, dan menandai tiruan terhadap SSID merek yang rentan ditiru.

Buka scanner →