L'associazione tramite codice QR è un metodo di configurazione in cui un dispositivo visualizza un codice scansionabile e un altro dispositivo lo legge per scambiare i dettagli di connessione. È comune in telefoni, console, dispositivi per la smart home e accessori perché evita la digitazione manuale e può velocizzare l'onboarding. Il codice QR di solito contiene un token, informazioni di rete o un valore di handshake che aiuta entrambe le parti a stabilire fiducia.
In termini di sicurezza, l'associazione tramite codice QR è un percorso di input e un confine di fiducia. Se il codice è visibile a un attaccante nelle vicinanze, potrebbe essere in grado di avviare un tentativo di associazione indesiderato, acquisire un token di sessione o fornire dati malformati al parser che gestisce il codice. I difensori dovrebbero trattare i payload QR come qualsiasi altro input non affidabile: validarli, limitare ciò che possono autorizzare, imporre limiti temporali alle finestre di associazione e richiedere un ulteriore passaggio di conferma prima di azioni sensibili. Se implementata bene, l'associazione tramite QR è comoda; se implementata male, può diventare una superficie di attacco locale.