Niyə SSL olmadan güzgülərə məlumat daxil edə bilməzsiniz

«Güzgü» başqa domen/alt domen saytının surətidir. Hemblinqdə güzgülər tez-tez kilidlərdə istifadə olunur. Güzgü HTTPS (SSL/TLS) olmadan açılırsa, orada məlumat daxil edilə bilməz: əlaqə yolda oxunur və dəyişdirilir. Söhbət təkcə «kafedəki hakerlərdən» deyil, həm də aralıq qovşaqlardan gedir - yoluxmuş marşrutlayıcıdan provayderə, proksi və zərərli genişləndirməyə qədər.

SSL olmadan dəqiq nə səhv ola bilər

1. Giriş və parol oğurluğu

HTTP hər şeyi açıq şəkildə ötürür. İctimai Wi-Fi və ya marşrutlaşdırıcıda kifayət qədər sniffer 'a - və təcavüzkardan öyrənmək.

2. Qaçırma sessiyası (session hijacking)

Secure olmadan cookies sızdırılır və sizin altınıza parol olmadan daxil olmağa imkan verir.

3. Səhifə/rekvizitlərin dəyişdirilməsi

Hər hansı bir «vasitəçi» gizli saxta KYC formasını daxil edə bilər, çıxarmaq üçün kart/cüzdan nömrəsini dəyişdirə, dəstək ünvanını əvəz edə bilər.

4. Ödənişlərin dəyişdirilməsi və «görünməz» formalar

Skriptlərin inyeksiyası ödəniş detallarını dəyişir və ya gizli avto-submitləri əlavə edir - pul «heç bir yerə» uçur.

5. SSL-stripping

HTTPS-də «rəsmi» domen olsa belə, şəbəkədəki təcavüzkar sizi HSTS olmadan güzgüdə HTTP-yə məcbur edə bilər.

6. Güzgü adı altında fişinq

Sertifikatsız klon (və ya öz-özünə imzalanan/sol) iş güzgüsü kimi maskalanır və giriş, 2FA və kart məlumatlarını toplayır.

Niyə bu da qeyri-qanunidir/operator üçün bahalıdır

PCI DSS: HTTP kart məlumatlarının daxil edilməsi - birbaşa pozuntu. Cərimələr və ekvayrinqin geri çağırılması təhlükəsi var.

GDPR/oxşar qanunlar: HTTP PII/KYC = emal təhlükəsizliyinin pozulması. Cərimələrin və qaydaların riskləri.

Lisenziya şərtləri: əksər tənzimləyicilər hər yerdə HTTPS və şəxsi/ödəniş məlumatlarının qorunmasını tələb edir.

Nüfuz və ADR: müdafiəsiz güzgüdə sızan oyunçu ilə mübahisə demək olar ki, itiriləcək.

SSL olmadan güzgülərdə standart hücumlar - barmaqlarda

Evil Twin Wi-Fi: eyni adlı saxta nöqtə. Bütün HTTP trafiki oxunur/dəyişir.

DNS-spufing: DNS cavabının dəyişdirilməsi düşündüyünüz yerə aparmır. HTTP-də görmək çətindir.

Provayder/proxy-inyeksiya: reklam/zərərli JS «yolda» daxil.

Browser parazit genişləndirilməsi: cüzdan formaları və nömrələri yalnız HTTP səhifələrində dəyişir.

Kaptiv portalları (otellər/hava limanları): HTTPS avtorizasiyadan əvvəl bloklanır/dəyişdirilir, HTTP isə mükəmməl tələdir.

«Amma qala var...» - mifləri təhlil

Brauzer kilidi yalnız HTTPS-də mövcuddur. HTTPS olmadan heç bir «kilid» yoxdur - və bu qırmızı bayraqdır.

Öz-özünə imzalanan/etibarsız sertifikat «normal» deyil. Bu, demək olar ki, həmişə bir səhv və ya MITM cəhd edir.

«Orada heç bir ödəniş yoxdur, sadəcə giriş» - pul daha dəyərlidir: onun vasitəsilə həm pul, həm də sənədlər oğurlanacaq.

Bir oyunçu 30-60 saniyədə təhlükəsiz bir domen fərqləndirmək üçün necə

1. Ünvan ciddi 'https ://' və «kilidi» ilə səhvsiz.

2. Domen hərfi-hərfi: 'm "əvəzinə heç bir 'rn', latın əlifbası əvəzinə kiril əlifbası.

3. «Kilid» klikləməsi → sertifikat etibarlı CA-ya verilir, SAN-da - məhz bu domen.

4. Giriş/cüzdan səhifələrində «Not secure» və ya «Mixed content» xəbərdarlığı yoxdur.

5. Şübhə edirsinizsə, əsas domen nişanından daxil olun və yalnız daxili kabinet linklərindən güzgülərə keçin.

Sürətli yoxlama komandaları (konsol edə bilirsinizsə)

bash
SAN openssl s_client -connect mirror zəncirini göstər. example:443 -servername mirror. example -showcerts </dev/null 2>/dev/null      openssl x509 -noout -subject -issuer -dates -ext subjectAltName

curl -sI https ://mirror təhlükəsizlik başlıqlarını yoxlayın. example      grep -Ei 'strict-transport-security    content-security-policy    x-content-type-options    x-frame-options    frame-ancestors    referrer-policy    set-cookie'

HTTP-nin HTTPS curl -I http ://mirror saytında yenidən idarə olunmasını təmin edin. example

HTTPS işləmirsə/söyürsə, heç nə daxil etmirik.

Operator nə etməyə borcludur (güzgülər də «böyüklər kimi»)

1. HTTPS hər yerdə: TLS 1. 2/1. 3, düzgün zəncir, HSTS preload (mixed content aradan qaldırıldıqdan sonra).

2. HTTP məzmununun qadağan edilməsi: ciddi CSP, yalnız HTTPS resursları.

3. Bütün güzgülərdə HTTP → HTTPS redaktəsi, eyni cookies siyasəti: 'Secure; HttpOnly; SameSite`.

4. Markanın CT monitorinqi: «oxşar» domenə yeni sertifikat verilməsi - alert və yoxlama.

5. DNS-də CAA qeydləri: domen/alt domenlərə hansı CA sertifikatları verə biləcəyini məhdudlaşdırın.

6. mTLS və şifrələmə «CDN arxasında»: güzgülər tez-tez proxy arxasında oturur - origin qədər trafik də şifrələnir.

7. Sertifikatların avtomatik satışı + alertlər: bitməsinə 30/14/7/1 gün qalmış.

8. Hücum zamanı banner xəbərdarlığı: «Biz heç vaxt HTTP-də məlumat istəmirik» + təhlükəsizlik səhifəsinə keçid.

9. Fişinq güzgüləri üçün takedown prosedurları: registrator/hoster, brauzer blokları, reklam şəbəkələri.

10. Passkeys/TOTP + həssas hərəkətlərdə step-up - şəbəkə güzəştdə olsa belə, pul çıxarmaq mümkün olmayacaq.

Oyunçu çek siyahısı

Giriş yalnız https ://və nişandan.
«Kilid» səhvsiz; eyni domen üçün sertifikat.
Brauzer Not secure yazır və ya sertifikat söyüş əgər giriş/KUS/kart daxil etməyin.
2FA (Passkeys/TOTP) və giriş/dəyişiklik bildirişlərini daxil edin.
ictimai Wi-Fi → yalnız VPN vasitəsilə, əks halda təhlükəsiz şəbəkə gözləmək.
Hər hansı bir şübhə - əsas domenə gedin və «Bildirişlər «/» Təhlükəsizlik »bölməsini açın.

Operatorun çek siyahısı

TLS bütün güzgülər 1. 2/1. 3, HSTS (+ preload), ciddi CSP, heç bir qarışıq content.
HTTP → HTTPS vahid redaktəsi, cookie 'Secure; HttpOnly; SameSite`.
CT-monitorinq, DNS-də CAA, avtomatik satış sertifikatları.
Daxili/vebhuklarda CDN və mTLS üçün TLS şifrələmə.
Passkeys/TOTP, detalları dəyişdirmək/çıxarmaq üçün step-up.
ictimai səhifə «Təhlükəsizlik» və hücumlar zamanı in-app xəbərdarlıq.
Fişinq klonlarının sürətli takedown prosedurları.

FAQ (qısa)

Yalnız giriş daxil edə bilərsiniz, parol olmadan - sadəcə baxmaq?

Yox. HTTP-də hər hansı bir giriş sıza bilər və giriş + parol - klassik oğurluq bağlantısı.

Bir saat ərzində «öz-özünə imzalanan» sertifikat - bu, yaxşı?

Yox. Brauzerdə səhvsiz yalnız tanınmış CA sertifikatlarına etibar edin.

Niyə mənim antivirus susdu?

Antivirus həmişə MITM/forma dəyişikliyini tutmur. Əlamət № 1 - No HTTPS və ya brauzer sertifikat söyür.

SSL olmayan güzgü hesab, pul və sənədləri oğurlamaq üçün bir dəvətdir. Qayda sadədir: heç bir etibarlı HTTPS → daxil deyil. Oyunçular üçün - yalnız 2FA daxil olan və əlfəcinlərdən qorunan domenlər. Operatorlar üçün - əsas sayt ilə eyni sərt TLS standartlarına malik güzgülər: HSTS, CSP, redaktorlar, CT monitorinqi və fişinq klonlarının tez çıxarılması. Bu, hadisədən sonra hər hansı bir uçuşdan daha ucuz və təhlükəsizdir.