为什么不使用SSL就无法在镜像上输入数据

"镜像"是其他域/子域上站点的副本。在弹出中，镜子通常用于锁定。如果镜像在没有HTTPS （SSL/TLS）的情况下打开,则无法在此处输入数据：连接在路上读取和更改。这不仅涉及"咖啡馆中的黑客"，还涉及中间节点-从受感染的路由器到提供商，代理和有害扩展。

没有SSL可能会出什么问题

1.窃取登录名和密码

HTTP将所有内容传递给"打开"。在公共Wi-Fi或路由器上,sniffer'a就足够了,攻击者也知道了。

2.劫持会议（会议hijacking）

没有"安全"的会话cookie泄漏并允许您无需密码即可登录到您下面。

3.更换页面/道具

任何"中间人"都可以谨慎地插入虚假的KYC表格，更改卡/钱包编号以进行输出，并替换支持地址。

4.替代付款和"隐形"形式

注入脚本会改变付款细节或添加隐藏的自动安全带-金钱将"飞到无处"。

5.SSL-stripping

即使是HTTPS上的"官方"域，网络上的攻击者也可以在没有HSTS的镜像上强行将您放下HTTP。

6.伪装成镜子的网络钓鱼

没有证书的克隆（或具有自签名/左签名）伪装成工作镜，并收集登录名，2FA和卡数据。

为什么这对运营商来说也是违法/昂贵的

PCI DSS：在HTTP上输入卡数据-直接违规。罚款和收购召回将面临。

GDPR/类似法律：通过HTTP的PII/KYC=违反处理安全性。罚款和处方的风险。

许可条款：大多数监管机构要求HTTPS无处不在,并保护个人/支付数据。

声誉和ADR：在未保护的镜子上泄漏时与玩家的争执几乎可以保证会失败。

不含SSL镜像的典型攻击-手指

Evil Twin Wi-Fi：同名的假点。所有HTTP流量都读取/更改。

DNS欺骗：DNS反应的替代不是你想到的。在HTTP上很难发现。

提供商/代理注入：在路上插入广告/有害JS。

浏览器中的扩展寄生虫：仅在HTTP页面上更改钱包的形状和编号。

下降门户（酒店/机场）：在授权之前,HTTPS被阻塞/替换,HTTP被打开是一个完美的陷阱。

"但是那里的城堡……"-解开神话

浏览器锁仅在HTTPS上。没有HTTPS，就没有"锁"-这是红旗。

自签名/非验证证书不是"正常"。这几乎总是错误或MITM尝试。

"没有付款，只是登录"-登录比金钱更有价值：钱和文件都将通过它被盗。

如何在30到60秒内区分安全域

1.该地址严格带有"https：//"和"锁定"，没有错误。

2.字母-字母域：没有"rn"而不是"m"，西里尔字母代替拉丁字母。

3."锁"点击→证书颁发给受信任的CA，在SAN中正是这个域。

4.登录/钱包页面上没有"不安全"或"混合内容"警告。

5.怀疑-退出主域的书签,然后仅从内部文件室链接切换到镜像。

快速验证命令（如果能进入控制台）

bash
显示链和SAN openssl s_client-connect镜。example:443 -servername mirror.example -showcerts </dev/null 2>/dev/null      openssl x509 -noout -subject -issuer -dates -ext subjectAltName

检查curl-sI https： //mirror安全标题。example      grep -Ei 'strict-transport-security    content-security-policy    x-content-type-options    x-frame-options    frame-ancestors    referrer-policy    set-cookie'

确保HTTP重定向到HTTPS curl -I http： //mirror。example

如果HTTPS不起作用/发誓-则不输入任何内容。

操作员必须做什么（镜子也"成年"）

1.HTTPS无处不在：TLS 1。2/1.3、正确链条,HSTS preload（消除溷合内容后）。

2.禁止HTTP内容：严格的CSP,只有HTTPS资源。

3.Redirect HTTP→HTTPS在所有镜子上，相同的Cookie策略： '安全；HttpOnly;SameSite`.

4.品牌的CT监视："相似"域的新证书颁发-警报和验证。

5.DNS中的CAA条目：限制哪个CA可以为域/子域颁发证书。

6.mTLS和CDN后面的加密：镜像通常坐在代理后面-起源之前的流量也被加密。

7.汽车销售证书+Alerta： 30/14/7/1天到期。

8.攻击期间的横幅警告："我们从不要求HTTP上的数据"+安全页链接。

9.网络钓鱼镜像的Takedown过程：记录器/主机,浏览器流程表,广告网络。

10.Passkeys/TOTP+在敏感活动上保持一致-即使网络受到损害，也无法提取资金。

玩家的支票清单

仅通过https：//和书签登录。
"城堡"没有错误；同一域的证书。
如果浏览器写不安全或向证书发誓,请不要输入登录名/KUS/卡。
启用2FA （Passkeys/TOTP）和输入/更改通知。
公共Wi-Fi仅通过VPN →，否则等待安全网络。
任何疑问-进入主域并打开"通知"/"安全"部分。

运营商支票清单

TLS 1上的所有镜子。2/1.3、HSTS（+preload）,严格CSP,没有溷合内容。
Unified Redirect HTTP→HTTPS，Cookie 'Secure；HttpOnly;SameSite`.
CT监视，DNS中的CAA，证书自动销售。
CDN和mTLS背后的TLS加密在内部/网络包中。
Passkeys/TOTP，逐步更换道具/输出。
攻击期间的"安全"公共页面和应用程序内警告。
网络钓鱼克隆的快速取出过程。

常见问题（简称）

只能输入登录,没有密码-只看吗?

没有。HTTP上的任何输入都可能泄漏,并且登录名+紧随其后的密码是盗窃的经典捆绑。

如果"自我签名"一个小时的证书是好的？

没有。仅信任来自公认的CA的证书而不会在浏览器中出现错误。

为什么我的防病毒保持沉默？

防病毒并不总是捕获MITM/表单欺骗。符号1-没有HTTPS或浏览器对证书发誓。

没有SSL的镜像是窃取帐户，金钱和文档的提示。规则很简单：没有有效的HTTPS →没有引入任何东西。对于玩家，只有书签中的受保护域和包含的2FA。对于操作员，镜像具有与主要站点相同的TLS标准：HSTS，CSP，重新导演，CT监视和快速删除网络钓鱼克隆。事件发生后，它比任何"飞行分析"更便宜，更安全。