Γιατί δεν μπορείτε να εισάγετε δεδομένα για καθρέφτες χωρίς SSL

Ένας «καθρέφτης» είναι ένα αντίγραφο μιας τοποθεσίας σε ένα διαφορετικό πεδίο/υποσύνολο. Στα τυχερά παιχνίδια, οι καθρέφτες χρησιμοποιούνται συχνά για μπλοκάρισμα. Αν το κάτοπτρο ανοίξει χωρίς HTTPS (SSL/TLS), δεν μπορείτε να εισάγετε δεδομένα εκεί: η σύνδεση διαβάζεται και αλλάζει καθ 'οδόν. Δεν πρόκειται μόνο για «χάκερ σε ένα καφέ», αλλά και για ενδιάμεσους κόμβους - από έναν μολυσμένο δρομολογητή μέχρι έναν πάροχο, έναν πληρεξούσιο και μια επιβλαβή επέκταση.

Τι ακριβώς μπορεί να πάει στραβά χωρίς SSL

1. Κλοπή σύνδεσης και κωδικού πρόσβασης

Το HTTP μεταδίδει τα πάντα "ανοιχτά. "Αρκετά sniffer στο δημόσιο Wi-Fi ή σε ένα router - και ένα λογαριασμό με έναν επιτιθέμενο.

2. Κλοπή συνεδρίας

Συνεδρία cookies χωρίς διαρροή 'Secure' και επιτρέψτε σας να συνδεθείτε χωρίς κωδικό πρόσβασης.

3. Αντικατάσταση σελίδας/λεπτομερειών

Κάθε «ενδιάμεσος» μπορεί να εισάγει διακριτικά ένα ψευδές έντυπο KYC, να αλλάξει τον αριθμό κάρτας/πορτοφολιού για απόσυρση και να αντικαταστήσει τη διεύθυνση υποστήριξης.

4. Υποκατάσταση πληρωμών και «αόρατα» έντυπα

Η έγχυση σεναρίου αλλάζει λεπτομέρειες πληρωμής ή προσθέτει κρυφές αυτόματες υποβολές - τα χρήματα πετάνε «πουθενά».

5. Απογύμνωση SSL

Ακόμα και αν ο «επίσημος» τομέας βρίσκεται στο HTTPS, ένας επιτιθέμενος στο δίκτυο μπορεί να σας αναγκάσει να κατεβάσετε στο HTTP σε έναν καθρέφτη χωρίς HSTS.

6. Ψάρεμα υπό το πρόσχημα κατόπτρου

Κλώνος χωρίς πιστοποιητικό (ή με αυτο-υπογεγραμμένο/αριστερό) μεταμφιέζεται ως κάτοπτρο εργασίας και συλλέγει συνδέσμους, 2FA και δεδομένα καρτών.

Γιατί είναι επίσης παράνομη/δαπανηρή για τον φορέα εκμετάλλευσης

ΕΚΕ DSS: η εισαγωγή δεδομένων καρτών για HTTP αποτελεί άμεση παραβίαση. Τα πρόστιμα και η απόσυρση της απόκτησης απειλούνται.

GDPR/παρόμοιοι νόμοι: PII/KYC by HTTP = επεξεργασία παραβίασης ασφαλείας. Κίνδυνοι προστίμων και συνταγογραφήσεων.

Όροι αδειοδότησης: οι περισσότερες ρυθμιστικές αρχές απαιτούν παντού HTTPS και προστασία των δεδομένων προσωπικού χαρακτήρα/πληρωμής.

Φήμη και ΕΕΔ: μια διαφωνία με έναν παίκτη όταν διαρρέει σε έναν απροστάτευτο καθρέφτη είναι σχεδόν εγγυημένη για να χαθεί.

Τυπικές επιθέσεις σε κάτοπτρα χωρίς SSL - σε δάκτυλα

Evil Twin Wi-Fi: Μια ψεύτικη κουκίδα με το ίδιο όνομα. Όλες οι μεταφορές HTTP διαβάζονται/αλλάζουν.

DNS spoofing: spoofing η απάντηση DNS δεν οδηγεί εκεί που νομίζατε ότι θα ήταν. Είναι δύσκολο να το δεις στο HTTP.

Πάροχος/πληρεξούσιος: εισάγετε τη διαφήμιση/επιβλαβή JS «on the road».

Επέκταση παρασίτων στο πρόγραμμα περιήγησης: αλλάζει τις μορφές και τους αριθμούς των πορτοφολιών μόνο σε σελίδες HTTP.

Δέσμιες πύλες (ξενοδοχεία/αεροδρόμια): πριν από την έγκριση, το HTTPS μπλοκάρεται/αντικαθίσταται και το HTTP είναι ανοικτό - μια ιδανική παγίδα.

«Αλλά υπάρχει επίσης ένα κάστρο»... - αναλύουμε μύθους

Η κλειδαριά του περιηγητή είναι μόνο στο HTTPS. Χωρίς HTTPS, δεν υπάρχει «κλειδαριά» - και αυτή είναι μια κόκκινη σημαία.

Ένα αυτο-υπογεγραμμένο/άκυρο πιστοποιητικό δεν είναι "κανονικό. "Είναι σχεδόν πάντα λάθος ή απόπειρα MITM.

«Δεν υπάρχουν πληρωμές, απλά μια σύνδεση» - μια σύνδεση είναι πιο πολύτιμη από τα χρήματα: τόσο τα χρήματα όσο και τα έγγραφα θα κλαπούν μέσα από αυτό.

Πώς ένας παίκτης μπορεί να διακρίνει ένα ασφαλές πεδίο σε 30-60 δευτερόλεπτα

1. Η διεύθυνση είναι αυστηρά με 'https ://' και' lock 'χωρίς σφάλματα.

2. Γράμμα τομέα προς γράμμα: όχι 'rn' αντί για 'm', κυριλλικά αντί για λατινικά.

3. Κάνοντας κλικ στο «κλείδωμα» → το πιστοποιητικό εκδόθηκε από έμπιστες αρμόδιες αρχές, στο SAN - αυτός είναι ο τομέας.

4. Δεν υπάρχουν προειδοποιήσεις «μη ασφαλούς» ή «μεικτού περιεχομένου» στις σελίδες σύνδεσης/πορτοφολιού.

5. Αμφιβάλλετε - πηγαίνετε από τον σελιδοδείκτη στον κύριο τομέα και πηγαίνετε στους καθρέφτες μόνο από τους εσωτερικούς συνδέσμους του υπουργικού συμβουλίου.

Γρήγορος έλεγχος εντολών (αν μπορείτε να χρησιμοποιήσετε την κονσόλα)

bash
Εμφάνιση αλυσίδας και καθρέφτη SAN openssl s_client - σύνδεσης. παράδειγμα: 443 -servername καθρέφτης. παράδειγμα - showcerts </dev/null 2 >/dev/null    openssl x509 -noout -subject- issuer -dates -ext readyAltName

Check curl - sI κεφαλίδες ασφαλείας https ://mirror. Παράδειγμα    grep - Ei 'αυστηρή ασφάλεια μεταφορών    Περιεχόμενο - Πολιτική ασφάλειας    Επιλογές τύπου x-περιεχομένου    x-frame-options    πρόγονοι του πλαισίου    Πολιτική παραπομπής    set-cookie "

Βεβαιωθείτε ότι το HTTP ανακατευθύνει στο HTTPS curl -http ://mirror. Παράδειγμα

Αν το HTTPS δεν λειτουργεί/ορκίζεται, δεν εισάγουμε τίποτα.

Τι υποχρεούται να κάνει ο φορέας εκμετάλλευσης (τα κάτοπτρα είναι επίσης «ενήλικα»)

1. HTTPS παντού: TLS 1. 2/1. 3, σωστή αλυσίδα, προφόρτωση HSTS (μετά την εξάλειψη της μεικτής περιεκτικότητας).

2. Απαγόρευση περιεχομένου HTTP: αυστηρά CSP, πόροι HTTPS μόνο.

3. Ανακατευθύνετε HTTP→HTTPS σε όλους τους καθρέφτες, την ίδια πολιτική cookie: "Ασφαλής; HttpΜόνο; SameSite '.

4. Παρακολούθηση σήματος CT: νέα έκδοση πιστοποιητικού για «παρόμοιο» τομέα - προειδοποίηση και επαλήθευση.

5. DNS CAA: περιορισμός των CA που μπορούν να εκδίδουν πιστοποιητικά τομέα/υποτομέα.

6. mTLS και κρυπτογράφηση CDN: οι καθρέφτες συχνά κάθονται πίσω από πληρεξούσια - η κυκλοφορία προς την προέλευση είναι επίσης κρυπτογραφημένη.

7. Αυτόματη ανανέωση πιστοποιητικών + καταχωρίσεων: 30/14/7/1 ημέρα πριν από τη λήξη.

8. Προειδοποιητικό πανό κατά τη διάρκεια επιθέσεων: «Ποτέ δεν ζητάμε δεδομένα για το HTTP» + σύνδεσμο στη σελίδα ασφαλείας.

9. Διαδικασίες λήψης για καθρέφτες phishing: καταχωρητής/οικοδεσπότης, λίστες περιηγητών, διαφημιστικά δίκτυα.

10. Passkeys/TOTP + step-up για ευαίσθητες ενέργειες - ακόμα και αν το δίκτυο είναι σε κίνδυνο, δεν θα είστε σε θέση να αποσύρετε χρήματα.

Λίστα επιλογών αναπαραγωγής

Συνδεθείτε μόνο στο https ://και από σελιδοδείκτη.
«Κλειδώστε» χωρίς σφάλματα. πιστοποιητικό για τον ίδιο τομέα.
Μην εισάγετε σύνδεση/CCS/κάρτα εάν ο φυλλομετρητής γράφει Μη ασφαλής ή ορκίζεται στο πιστοποιητικό.
Ενεργοποίηση ειδοποιήσεων 2FA (Passkeys/TOTP) και εισόδου/αλλαγής.
Δημόσια Wi-Fi → μόνο μέσω VPN, διαφορετικά περιμένετε για ένα ασφαλές δίκτυο.
Οποιεσδήποτε αμφιβολίες - πηγαίνετε στον κύριο τομέα και ανοίξτε το τμήμα «Κοινοποιήσεις «/» Ασφάλεια «.

Κατάλογος ελέγχου του αερομεταφορέα

Όλα τα κάτοπτρα στο TLS 1. 2/1. 3, HSTS (+ προφόρτωση), αυστηρή CSP, χωρίς μεικτή περιεκτικότητα.
Single rediret HTTP→HTTPS, cookie 'Secure; HttpΜόνο; SameSite '.
Παρακολούθηση CT, CAA στο DNS, αυτόματη ανανέωση πιστοποιητικών.
Κρυπτογράφηση TLS πίσω από CDN και mTLS σε εσωτερικά/webhooks.
Passkeys/TOTP, step-up to change details/output.
Δημόσιες σελίδες ασφαλείας και συναγερμοί in-app κατά τη διάρκεια επιθέσεων.
Γρήγορες διαδικασίες αφαίρεσης για κλώνους τηλεφώνου.

Συχνές ερωτήσεις (σύντομες)

Μπορείτε να εισάγετε μόνο τη σύνδεση σας, χωρίς κωδικό πρόσβασης - απλά κοιτάξτε

Όχι, δεν είναι. Οποιαδήποτε εισαγωγή στο HTTP μπορεί να διαρρεύσει, και η σύνδεση + ακολουθούμενη από έναν κωδικό πρόσβασης είναι ένα κλασικό πακέτο για κλοπή.

Και αν το πιστοποιητικό είναι «αυτο-υπογεγραμμένο» για μια ώρα - είναι εντάξει

Όχι, δεν είναι. Εμπιστευτείτε μόνο πιστοποιητικά από αναγνωρισμένα CA χωρίς σφάλματα περιηγητή.

Γιατί ήταν σιωπηλός ο ιός μου

Το antivirus δεν πιάνει πάντα MITM/μορφή υποκατάστασης. Υπογραφή αριθ. 1 - Δεν ορκίζεται στο πιστοποιητικό το HTTPS ή ο περιηγητής.

Ένας καθρέφτης χωρίς SSL είναι μια πρόσκληση για να κλέψει ένα λογαριασμό, χρήματα και έγγραφα. Ο κανόνας είναι απλός: δεν υπάρχει έγκυρο HTTPS → δεν εισάγουμε τίποτα. Για παίκτες - μόνο προστατευμένα πεδία από σελιδοδείκτες και ενεργοποιημένα 2FA. Για χειριστές - κάτοπτρα με τα ίδια αυστηρά πρότυπα TLS με την κύρια τοποθεσία: HSTS, CSP, ανακατευθύνσεις, παρακολούθηση CT και γρήγορη αφαίρεση κλώνων τηλεφώνου. Είναι φθηνότερο και ασφαλέστερο από οποιαδήποτε «ενημέρωση» μετά το συμβάν.