عدم وجود كابل بيانات لا يعني عدم وجود مدخلات
تستقبل أجهزة التوقيع غير المتصلة بالإنترنت طلبات المعاملات عبر رموز QR، ولكنها لا تزال تتطلب تحليل البيانات الخارجية. يقلل عزل الشبكة من بعض قنوات الاتصال، ولكنه لا يقضي تلقائيًا على مخاطر البرامج الثابتة أو التحليل أو سلسلة التوريد أو التحقق من المستخدم. عند تقييم أي جهاز، راجع البروتوكولات المدعومة والتحديثات الرسمية وملاحظات الأمان، بدلاً من افتراض أن جميع طلبات التوقيع موثوقة لمجرد أنها "غير متصلة بالإنترنت تمامًا".
قد تحتوي رموز QR على محتوى مختلف.
يمكن أن تحمل رموز QR عناوين أو روابط أو معاملات غير موقعة أو بيانات مشفرة مجزأة. أولًا، تأكد مما إذا كان مسح رمز QR على الجهاز لعرض بيانات الدفع أو لتوقيع المعاملات؛ لا تخلط بينهما. يجب إعادة تجميع رموز QR المجزأة بشكل صحيح؛ إذا انقطع المسح، فأعد تشغيله وفقًا للإجراء الرسمي. لا تقم بتنزيل برامج مساعدة غير مألوفة لإكمال الفحص، ولا تقم بتحويل كلمات الاسترداد إلى رموز QR وحفظها في ألبوم صور عبر الإنترنت.
تحقق من النتيجة الفعلية على الجهاز قبل التوقيع.
يجب أن تعرض شاشة منفصلة المبلغ القابل للتحقق، وعنوان الاستلام، والرسوم، ومعلومات الشبكة الضرورية. بالنسبة للمعاملات متعددة المخرجات، افهم الفرق بين الباقي والمدفوعات الخارجية. النص المعروض على الكمبيوتر هو مجرد اقتراح؛ قبل التوقيع النهائي، تحقق من المحتوى الذي يمكن للجهاز تحليله بشكل مستقل. إذا كان التوقيع الأعمى هو الخيار الوحيد المتاح أو تعذر تفسير التفويض، فتوقف بدلاً من الاعتماد على عبارة "تم التحقق منه بشكل آمن" على صفحة الويب.
تعلّم العملية باستخدام نموذج بدون رصيد.
أولاً، أكمل عملية الإنشاء والمسح الضوئي والتحقق والتوقيع والإرجاع في بيئة تدريبية مدعومة للتحقق من كيفية عرض البرنامج للرسوم وأسباب الفشل. يساعد اختبار العملية في تحديد نقاط الضعف في الفهم، ولكنه لا يضمن أمان جميع الطلبات المستقبلية. بالنسبة لعمليات الأصول الحقيقية، أعد التحقق من الحساب والشبكة والمخرجات؛ لا تستخدم عناوين الأمثلة في لقطات الشاشة التعليمية كعناوين استقبال حقيقية.
تأكد من عمليات الإرجاع والبث أيضًا.
بعد عودة نتيجة التوقيع إلى الجهاز المتصل، تحقق من تطابق المعاملة النهائية مع الطلب الأصلي قبل اتخاذ قرار البث. سجّل مُعرّف المعاملة وحالة البث لتجنب عمليات البدء المكررة نتيجة لتعطل واجهة الإرجاع. قد تكشف ملفات التوقيع معلومات المعاملة وربط الحساب، لذا لا ينبغي تحميلها على مواقع الويب العامة للحصول على المساعدة. عند عدم الإلمام بجهاز أو أصل، أعطِ الأولوية لقراءة وثائق البروتوكول الرسمية ذات الصلة.
يجب أن تكون استنتاجات الأمان ذات نطاق.
سجّل طراز الجهاز، والبرنامج الثابت، وإصدار التطبيق، والبروتوكولات المدعومة، والحقول التي تم التحقق منها هذه المرة. أي ادعاءات بـ"عدم التسريب مطلقًا" أو "الأمان الدائم" تتجاوز ما يمكن إثباته من خلال اتصال بسيط غير متصل بالإنترنت. توضح هذه الوثيقة عملية التحقق، لكنها لا تُوصي بأي جهاز مُحدد، كما أنها لا تُغني عن إدارة النسخ الاحتياطي؛ إذ لا يزال فقدان الجهاز وتسريب النسخ الاحتياطية يتطلبان ترتيبات طوارئ منفصلة.