QR-codes zijn overal en we gebruiken ze bijna elke dag. De zwart-witte vierkantjes helpen ons zelfs de landgrenzen over. Maar hoe werkt de ingenieuze uitvinding, en waar komt ze vandaan? Nu ook het covidcertificaat zijn weg vindt naar onze smartphones, zal ons leven nog meer worden gestuurd door vierkantjes met schijnbaar kriskras verspreide zwarte en witte vakjes. QR-codes waren het afgelopen jaar al alomtegenwoordig geworden: we gebruiken ze om op restaurant of op café de menukaart te raadplegen en af te rekenen, maar ook om terug te keren naar België via het PLF-formulier. Dat document zal na de pandemie wel verdwijnen, maar de QR-codes in de horeca, in cultuurhuizen en op zoveel andere plaatsen zullen wellicht blijven.

Toepassingen zoals het covidcertificaat roepen vragen op die voor corona zelden over QR-codes werden gesteld. Zoals: hoeveel unieke exemplaren kunnen worden gegenereerd? Bestaat bijvoorbeeld de kans dat twee Europeanen identiek hetzelfde certificaat krijgen? En hoe robuust zijn de codes, erop gelet dat iedereen ze online kan genereren, afdrukken en vervolgens ergens aanbrengen – vind tegenwoordig maar eens een terrastafeltje zonder QR. En, ten slotte, hoe veilig zijn ze? Kunnen ze worden gehackt?

30.000 vakjes

De hoeveelheid data die in een QR-code kan worden gestopt, is afhankelijk van de omvang. Het voordeel tegenover de klassieke streepjescode is dat informatie niet alleen horizontaal maar ook verticaal kan worden opgeslagen. ‘Dankzij die twee dimensies kan in een QR-code honderd keer meer informatie worden gecodeerd dan in een streepjescode met dezelfde oppervlakte’, zegt Ann Dooms, wiskundige aan de VUB. ‘Streepjes­codes worden al snel veel te lang.’

‘In een QR-code kan honderd keer meer informatie worden gecodeerd dan in een streepjescode met dezelfde oppervlakte’

De QR-standaard voorziet maximaal 177 rijen en kolommen, in ­totaal 31.329 vakjes of ‘pixels’. Elk vakje correspondeert met een bit, de kleinste hoeveelheid informatie waarbij wit ‘1’ is en zwart ‘0’. Ruim 30.000 bits, dat is goed voor ongeveer 4 kilobyte aan informatie. In een hypothetische QR-code zonder foutcorrectie (zie verder) zou dat overeenkomen met een drieduizendtal alfanumerieke tekens, ongeveer de helft van dit artikel. Dat is veel meer dan nodig is om de identiteitsgegevens en de ‘corona­status’ (vaccinatie, antistoffen, tests) van een persoon in te verwerken en om zo elke Europeaan een unieke QR-code te bezorgen. Idem voor de adressen van websites (URL’s) in QR-codes in de horeca, in winkels maar steeds vaker ook op productverpakkingen.

Voor het covidcertificaat beperkt de Europese Commissie zich overigens tot een matrix van (minimaal) een 85-tal rijen en kolommen. Dat levert minstens 7.225 vakjes of bits op, goed voor ruim 900 bytes. ‘Dat is nog altijd voldoende om de nodige informatie in op te nemen’, zegt Bert Vanhalst, IT-expert bij Smals, een semi­publieke organisatie die overheden bijstaat in de uitrol van digitale toepassingen.

Foutcorrectie

Maar in een QR-code is het aantal bytes niet gelijk aan het aantal gecodeerde tekens. Bij het covidcertificaat zijn dat er geen 900, maar ongeveer 530. Dat komt door de foutcorrectie, die maakt dat bescha­digde of besmeurde codes nog altijd juist kunnen worden uitgelezen. Die correctie helpt ook om onscherpe codes, die bijvoorbeeld hun contrast hebben verloren door zonlicht, nog correct te scannen. En ze maakt dat je je smartphone schuin kunt houden als je een code scant. Ten slotte laat de foutcorrectie toe dat QR-codes kunnen worden opgetuigd met bijvoorbeeld een logo (zoals van deze krant) of een foto van jezelf – leuk voor op je visitekaartje.

Er zijn vier niveaus van foutcorrectie, bepaald door het gedeelte van de code dat onleesbaar mag zijn: 30, 25, 15 en 7 procent. De hoogste niveaus worden vooral gebruikt in industriële omgevingen, waar al snel stof en vuil op een code kunnen liggen. Daarvoor is de quick response-code (afgekort QR) trouwens uitgevonden: in de jaren 90 introduceerde een Japanse fabrikant van auto-onderdelen hem om items tijdens de assemblage snel en gemakkelijk te monitoren. De firma heeft de code gepatenteerd, maar iedereen mag hem vrij gebruiken. Daardoor kon de QR-code de wereld veroveren, al komt dat ook doordat het gebruiksgemak veel groter is dan bij de klassieke streepjescode. Daarvoor is een speciaal scantoestel nodig dat vrij nauwkeurig moet worden gericht. De QR-code vertelt zelf aan het scanapparaat (bijvoorbeeld uw smartphone) hoe hij is georiënteerd – daar dienen die drie grote vierkanten in de hoeken voor.

Misbruik

Hoe groter de foutcorrectie, hoe minder plaats er overblijft voor de eigenlijke code. ‘In een buiten­omgeving, waarin ook mensen met oudere smartphones codes moeten kunnen scannen, wordt meestal voor een medium correctie van 15 procent gekozen’, zegt Vanhalst. Smals was betrokken bij de ontwikkeling van de PLF-codes, zijdelings bij die van het covidcertificaat, en ook bij die van de QR-codes op de Limosaformulieren waarmee bijvoorbeeld buitenlandse bouwvakkers in België worden geregistreerd. Die laatste codes meten ongeveer 3 bij 3 centimeter, en bij een praktische test op een bouwwerf zagen Vanhalst en zijn collega’s dat ze tot 322 tekens konden uitlezen. ‘Meer tekens scannen lukte niet, onder meer door de stoffige omgeving.’

Gemakkelijk data overbrengen, dat is de bestaansreden van de QR-code. Dat nodigt natuurlijk uit tot misbruik. Een code is snel overplakt door een valse, die bijvoorbeeld naar een malafide website leidt. Vanhalst: ‘Daarom vragen de meeste smartphones eerst je toestemming om naar de webpagina achter de gescande url te gaan. Je krijgt dan eerst het webadres te zien.’

Privacygevoelige informatie wordt dan weer beveiligd, bijvoorbeeld door een digitale handtekening of een andere sleutel aan de code toe te voegen. De echtheid kan dan worden nagegaan door de bevoegde instanties. In het geval van het covidcertificaat zijn dat de diensten van de Europese lidstaten die over het personenverkeer gaan.