چرا شما نمی توانید داده ها را در آینه بدون SSL وارد کنید

«آینه» یک کپی از یک سایت در دامنه/زیر دامنه های مختلف است. در قمار، آینه ها اغلب برای مسدود کردن استفاده می شوند. اگر آینه بدون HTTPS (SSL/TLS) باز شود، نمی توانید داده ها را در آنجا وارد کنید: اتصال خوانده می شود و در راه تغییر می کند. این نه تنها در مورد «هکرها در یک کافه» است، بلکه در مورد گره های متوسط - از یک روتر آلوده به یک ارائه دهنده، یک پروکسی و یک پسوند مضر است.

چه چیزی می تواند بدون SSL اشتباه باشد

1. سرقت ورود و رمز عبور

HTTP همه چیز را «آشکارا» انتقال می دهد. "به اندازه کافی sniffer در Wi-Fi عمومی و یا بر روی یک روتر - و یک حساب کاربری با یک مهاجم.

2. ربودن جلسه

کوکی های جلسه بدون نشت «امن» و به شما اجازه ورود به سیستم بدون رمز عبور.

3. تعویض صفحه/جزئیات

هر «واسطه» می تواند با احتیاط یک فرم KYC جعلی وارد کند، شماره کارت/کیف پول را برای برداشت تغییر دهد و آدرس پشتیبانی را جایگزین کند.

4. جایگزینی پرداخت و فرم های «نامرئی»

تزریق اسکریپت تغییر جزئیات پرداخت و یا اضافه کردن پنهان خودکار submitts - پول مگس «هیچ جا».

5. SSL سلب کردن

حتی اگر دامنه «رسمی» در HTTPS باشد، یک مهاجم در شبکه می تواند شما را به HTTP در یک آینه بدون HSTS مجبور کند.

6. فیشینگ تحت پوشش یک آینه

یک کلون بدون گواهی (یا با خود امضا/چپ) خود را به عنوان یک آینه کار می کند و logins، 2FA و داده های کارت را جمع آوری می کند.

چرا آن را نیز غیر قانونی/گران قیمت برای اپراتور

PCI DSS: وارد کردن اطلاعات کارت در HTTP نقض مستقیم است. جریمه و انصراف از خرید تهدید می شود.

GDPR/قوانین مشابه: PII/KYC توسط HTTP = نقض امنیت پردازش. خطرات جریمه و نسخه.

شرایط صدور مجوز: اکثر تنظیم کننده ها نیاز به HTTPS در همه جا و حفاظت از اطلاعات شخصی/پرداخت دارند.

اعتبار و ADR: اختلاف با یک بازیکن هنگامی که در یک آینه محافظت نشده نشت می کند، تقریبا تضمین می شود که از بین برود.

حملات معمول به آینه بدون SSL - در انگشتان دست

Evil Twin Wi-Fi: یک نقطه جعلی با همین نام. تمام ترافیک HTTP خوانده می شود/تغییر می کند.

جعل DNS: جعل پاسخ DNS به جایی که فکر می کردید منجر نمی شود. دیدن آن در HTTP سخت است.

تزریق ارائه دهنده/پروکسی: درج تبلیغات/مضر JS «در جاده».

Parasite extension در مرورگر: شکل و تعداد کیف پول ها را فقط در صفحات HTTP تغییر می دهد.

پورتال های اسیر (هتل ها/فرودگاه ها): قبل از مجوز، HTTPS مسدود/جایگزین می شود، و HTTP باز است - یک تله ایده آل است.

«اما همچنین یک قلعه وجود دارد»... - ما اسطوره ها را تجزیه و تحلیل می کنیم

قفل مرورگر تنها در HTTPS است. بدون HTTPS، هیچ قفل وجود ندارد - و این یک پرچم قرمز است.

گواهی خود امضا/نامعتبر «عادی» نیست. تقریبا همیشه یک اشتباه یا تلاش MITM است.

«هیچ پرداختی وجود ندارد، فقط یک ورود» - ورود به سیستم با ارزش تر از پول است: هر دو پول و اسناد از طریق آن به سرقت رفته است.

چگونه یک بازیکن می تواند یک دامنه امن را در 30-60 ثانیه تشخیص دهد

1. آدرس به شدت با «https ://» و« قفل »بدون خطا است.

2. حرف به حرف دامنه: بدون 'rn' به جای 'm'، سیریلیک به جای لاتین.

3. با کلیک بر روی «قفل» → گواهی توسط CA های قابل اعتماد صادر شده است، در SAN - این دامنه است.

4. هیچ هشدار «امن نیست» یا «محتوای مخلوط» در صفحات ورود/کیف پول وجود ندارد.

5. شک کنید - از نشانه به دامنه اصلی بروید و فقط از لینک های داخلی کابینت به آینه بروید.

دستورات بررسی سریع (اگر شما می توانید از کنسول استفاده کنید)

بش کن
نمایش زنجیره ای و SAN openssl s_client آینه اتصال. مثال: 443 - آینه سرور. مثال -showcerts </dev/null 2 >/dev/null    OpenSSL x509 -noout -subject -issuer -dates -ext subjectAltName

بررسی سرآیند امنیتی حلقه -sI https ://mirror. به عنوان مثال    grep -Ei 'سخت حمل و نقل امنیت    سیاست امنیت محتوا    x-content-type-options را انتخاب کنید    گزینه های x-frame    قاب اجداد    سیاست ارجاع دهنده    مجموعه آشپزی '

اطمینان حاصل کنید که HTTP به HTTPS curl -I http ://mirror هدایت می شود. به عنوان مثال

اگر HTTPS کار نمی کند/قسم می خورد، ما هر چیزی را وارد کنید.

اپراتور موظف به انجام چه کاری است (آینه ها نیز «بزرگسالان» هستند)

1. HTTPS در همه جا: TLS 1. 2/1. 3، زنجیره صحیح، پیش بارگذاری HSTS (پس از حذف محتوای مخلوط).

2. محتوای HTTP را ممنوع کنید: CSP سخت، فقط منابع HTTPS.

3. HTTP → HTTPS را در همه آینه ها هدایت کنید، همان سیاست کوکی: "امن ؛ HttpOnly ؛ «همان سایت»

4. نظارت بر نام تجاری CT: صدور گواهینامه جدید برای دامنه «مشابه» - هشدار و تأیید.

5. DNS CAA records: محدود کردن اینکه کدام CA ها می توانند گواهینامه های دامنه/زیر دامنه را صادر کنند.

6. رمزگذاری mTLS و CDN: آینه ها اغلب در پشت پروکسی ها قرار می گیرند - ترافیک به مبدا نیز رمزگذاری شده است.

7. تمدید خودکار گواهینامه + هشدار: 30/14/7/1 روز قبل از انقضا.

8. بنر هشدار در طول حملات: «ما هرگز برای اطلاعات در HTTP درخواست» + لینک به صفحه امنیتی.

9. روش های حذف آینه های فیشینگ: ثبت کننده/میزبان، لیست بلوک های مرورگر، شبکه های تبلیغاتی.

10. Passkeys/TOTP + اقدام به اقدامات حساس - حتی اگر شبکه به خطر افتاده باشد، شما قادر به برداشت پول نخواهید بود.

چک لیست بازیکن

فقط در https ://و از bookmark وارد شوید.
«قفل» بدون خطا ؛ گواهی برای همان دامنه.
آیا ورود/CCS/کارت را وارد کنید اگر مرورگر می نویسد امن نیست و یا سوگند در گواهی.
فعال کردن 2FA (Passkeys/TOTP) و ورودی/تغییر اطلاعیه ها.
عمومی Wi-Fi → فقط از طریق VPN، در غیر این صورت برای یک شبکه امن صبر کنید.
هر گونه شک و تردید - به دامنه اصلی بروید و بخش «اطلاعیه ها «/» امنیت «را باز کنید.

چک لیست اپراتور

همه آینه ها در TLS 1. 2/1. 3، HSTS (+ پیش بارگذاری)، CSP سخت، بدون محتوای مخلوط.
تنها تغییر مسیر HTTP → HTTPS، cookie 'Secure ؛ HttpOnly ؛ «همان سایت»
نظارت بر CT، CAA در DNS، تمدید خودکار گواهینامه ها.
رمزگذاری TLS پشت CDN و mTLS در داخلی/webhooks.
Passkeys/TOTP، گام به گام برای تغییر جزئیات/خروجی.
صفحه عمومی امنیتی و هشدارهای درون برنامه در هنگام حملات.
روش های حذف سریع برای کلون های فیشینگ.

سوالات متداول (کوتاه)

شما فقط می توانید ورود خود را بدون رمز عبور وارد کنید - فقط نگاه کنید ؟

نه، اينطور نيست هر ورودی در HTTP می تواند نشت کند، و login + به دنبال یک رمز عبور یک بسته کلاسیک برای سرقت است.

و اگر گواهی «خود امضا» برای یک ساعت - آیا این درست است ؟

نه، اينطور نيست فقط به گواهینامه های CA شناخته شده بدون خطای مرورگر اعتماد کنید.

چرا آنتی ویروس خاموش است ؟

آنتی ویروس همیشه MITM/فرم را جایگزین نمی کند. نشانه شماره 1 - بدون HTTPS یا مرورگر در گواهی قسم می خورد.

آینه بدون SSL یک دعوت نامه برای سرقت حساب، پول و اسناد است. قانون ساده است: هیچ HTTPS معتبری وجود ندارد → ما چیزی را وارد نمی کنیم. برای بازیکنان - فقط دامنه ها را از بوک مارک ها محافظت کرده و 2FA را فعال کنید. برای اپراتورها - آینه هایی با همان استانداردهای TLS دقیق به عنوان سایت اصلی: HSTS، CSP، تغییر مسیر، نظارت بر CT و حذف سریع کلون های فیشینگ. این ارزان تر و امن تر از هر «گزارشگیری» پس از حادثه است.