การไล่เดารหัส (enumeration)

การไล่เดารหัส (enumeration) คือเทคนิคที่ผู้ไม่หวังดีอาศัยการที่ระบบใช้เลขเรียงลำดับในลิงก์หรือ API เช่น /asset/1, /asset/2, /asset/3 แล้วเขียนสคริปต์ไล่เปลี่ยนเลขไปเรื่อย ๆ เพื่อดึงข้อมูลทุกรายการออกมา ทั้งที่ตั้งใจให้เห็นเฉพาะของตัวเอง

ในบริบทของ QR ทรัพย์สิน ถ้าลิงก์ในป้ายใช้เลขทรัพย์สินหรือ id ในฐานข้อมูลตรง ๆ คนนอกที่ได้ลิงก์เพียงอันเดียวก็อาจเดาและไล่ดูทรัพย์สินทั้งองค์กรได้ ซึ่งเป็นการรั่วไหลของข้อมูลภายใน วิธีป้องกันมาตรฐานคือใช้ 'โทเคนสุ่ม' ที่ยาวและเดาไม่ได้แทนเลขเรียง

ใน AssetFlow ลิงก์ใน QR ใช้โทเคนสุ่มเชิงเข้ารหัส (random bytes แบบ base64url) ไม่ใช้ id หรือเลขครุภัณฑ์ตรง ๆ จึงกัน enumeration ได้ และหน้าสแกนสาธารณะยังจำกัดข้อมูลที่แสดงเพิ่มอีกชั้น โดยซ่อนมูลค่า/ค่าเสื่อมไว้เฉพาะสมาชิกองค์กรที่ล็อกอินเท่านั้น