Pourquoi ne pas entrer les données sur les miroirs sans SSL

Un « miroir » est une copie d'un site sur un autre domaine/sous-domaine. Dans le gembling, les miroirs sont souvent utilisés dans les blocages. Si le miroir s'ouvre sans HTTPS (SSL/TLS), vous ne pouvez pas y entrer les données : la connexion est lue et modifiée sur la route. Il ne s'agit pas seulement de « pirates dans un café », mais aussi de nœuds intermédiaires - d'un routeur infecté à un fournisseur, un proxy et une extension nocive.

Exactement ce qui pourrait mal se passer sans SSL

1. Vol d'identifiant et de mot de passe

HTTP rend tout « ouvert ». Il suffit de sniffer 'a dans le Wi-Fi public ou sur le routeur - et le compte de l'intrus.

2. Détournement de session (session hijacking)

Les cookies de session sans 'Secure' fuient et vous permettent de vous connecter en dessous de vous sans mot de passe.

3. Remplacement de page/détails

N'importe quel « intermédiaire » peut insérer discrètement un faux formulaire KYC, changer le numéro de carte/portefeuille pour la sortie, remplacer l'adresse de support.

4. Échange de paiements et formulaires « invisibles »

L'injection de scripts change les détails de paiement ou ajoute des auto-sabmites cachées - l'argent va « nulle part ».

5. SSL-stripping

Même si le domaine « officiel » est sur HTTPS, un intrus sur le réseau peut vous abaisser de force sur HTTP sur un miroir sans HSTS.

6. Phishing sous forme de miroir

Le clone sans certificat (ou avec auto-signé/gauche) est déguisé en miroir de travail et recueille des logins, 2FA et des données de carte.

Pourquoi c'est aussi illégal/cher pour l'opérateur

PCI DSS : la saisie de données de carte sur HTTP est une violation directe. Les amendes et le retrait de l'équation sont menacés.

GDPR/lois similaires : PII/KYC sur HTTP = violation de la sécurité du traitement. Risques d'amendes et de règlements.

Conditions de licence : la plupart des régulateurs exigent HTTPS partout et la protection des données personnelles/de paiement.

Réputation et ADR : une dispute avec un joueur lors d'une fuite sur un miroir non protégé est presque garantie d'être perdu.

Attaques typiques sur des miroirs sans SSL - sur les doigts

Evil Twin Wi-Fi : faux point avec le même nom. Tout le trafic HTTP est lu/modifié.

Spoofing DNS : l'échange de réponse DNS ne mène pas là où vous pensiez. C'est difficile à remarquer sur HTTP.

Injection Provider/Proxy : insertion de JS publicitaire/nocif « sur la route ».

L'extension parasite dans le navigateur : change les formes et les numéros de portefeuille uniquement sur les pages HTTP.

Portails captifs (hôtels/aéroports) : avant l'autorisation HTTPS est bloqué/remplacé, et HTTP est ouvert - le piège parfait.

« Mais c'est là que le château... » - démonter les mythes

Il n'y a de cadenas de navigateur que sur HTTPS. Il n'y a pas de « château » sans HTTPS, et c'est un drapeau rouge.

Un certificat auto-signé/non validé n'est pas « normal ». C'est presque toujours soit une erreur, soit une tentative MITM.

« Il n'y a pas de paiement, juste un login » - le login est plus précieux que l'argent, avec l'argent et les documents volés.

En tant que joueur, distinguer un domaine sécurisé en 30-60 secondes

1. L'adresse est strictement avec 'https ://' et « cadenas » sans erreur.

2. Domaine lettre à lettre : pas de "rn" au lieu de "m', cyrillique au lieu de latin.

3. Cliquez sur le « cadenas » → le certificat est émis par une autorité de certification de confiance, dans le SAN - ce domaine particulier.

4. Il n'y a pas d'alertes « Not secure » ou « Mixed content » sur les pages de connexion/portefeuille.

5. Doutez - passez du signet au domaine principal et passez aux miroirs uniquement à partir des liens internes du bureau.

Commandes de vérification rapide (si vous savez utiliser la console)

bash
Afficher la chaîne et SAN openssl s_client -connect mirror. example:443 -servername mirror. example -showcerts </dev/null 2>/dev/null      openssl x509 -noout -subject -issuer -dates -ext subjectAltName

Vérifiez les titres de sécurité curl -sI https ://mirror. example      grep -Ei 'strict-transport-security    content-security-policy    x-content-type-options    x-frame-options    frame-ancestors    referrer-policy    set-cookie'

Assurez-vous que HTTP redirige vers HTTPS curl -I http ://mirror. example

Si HTTPS ne fonctionne pas/se dispute - nous n'entrons rien.

Ce que l'opérateur doit faire (miroirs aussi « adulte »)

1. HTTPS partout : TLS 1. 2/1. 3, chaîne correcte, HSTS preload (après liquidation du contenu mélangé).

2. Interdiction du contenu HTTP : CSP strict, ressources HTTPS uniquement.

3. Redirect HTTP→HTTPS sur tous les miroirs, même politique de cookies : 'Secure ; HttpOnly; SameSite`.

4. Surveillance CT de la marque : nouvelle émission d'un certificat pour un domaine « similaire » - alert et vérification.

5. Enregistrements CAA dans DNS : limitez les AC qui peuvent émettre des certificats pour le domaine/sous-domaine.

6. mTLS et cryptage « par CDN » : les miroirs sont souvent assis derrière un proxy - le trafic avant origin est également crypté.

7. Renouvellement automatique des certificats + alertes : 30/14/7/1 jour avant l'expiration.

8. Avertissement de bannière pendant la période d'attaque : « Nous ne demandons jamais de données sur HTTP » + lien vers la page de sécurité.

9. Procédures de takedown pour les miroirs de phishing : Enregistreur/hébergeur, flocks de navigateur, réseaux publicitaires.

10. Passkeys/TOTP + step-up sur les actions sensibles - même si vous compromettez le réseau, vous ne pouvez pas retirer de l'argent.

Chèque du joueur

Connexion uniquement par https ://et depuis le signet.
« Château » sans erreur ; certificat pour le même domaine.
Ne pas entrer login/KUS/carte si le navigateur écrit Not secure ou se dispute sur le certificat.
Inclure 2FA (Passkeys/TOTP) et les notifications d'entrées/modifications.
Le Wi-Fi public n'est → que par VPN, sinon attendez un réseau sécurisé.
Tout doute - allez au domaine principal et ouvrez la section Notifications/Sécurité.

Chèque opérateur

Tous les miroirs sur TLS 1. 2/1. 3, HSTS (+ preload), CSP strict, aucun contenu mélangé.
Unique redirect HTTP→HTTPS, cookies 'Secure ; HttpOnly; SameSite`.
Surveillance CT, CAA dans DNS, renouvellement automatique des certificats.
Cryptage TLS par CDN et mTLS sur les sites Internet/internes.
Passkeys/TOTP, step-up pour remplacer les détails/sortie.
La page publique « Sécurité » et les avertissements in-app pendant la période d'attaque.
Procédures de takedown rapide des clones de phishing.

FAQ (court)

Vous ne pouvez entrer qu'un login, sans mot de passe, juste regarder ?

Non. N'importe quelle entrée sur HTTP peut fuiter, et le mot de passe + suivi est un lien classique pour le vol.

Et si le certificat est auto-signé pendant une heure, c'est bon ?

Non. Ne faites confiance qu'aux certificats de l'autorité de certification généralement reconnue, sans erreur de navigateur.

Pourquoi mon antivirus était silencieux ?

Kaspersky Anti-Virus n'attrape pas toujours MITM/remplacement de formulaire. Signe n ° 1 - pas HTTPS ou le navigateur se dispute sur le certificat.

Un miroir sans SSL est une invitation au vol de compte, d'argent et de documents. La règle est simple : il n'y a pas de HTTPS validé → nous n'entrons rien. Pour les joueurs, seuls les domaines protégés des signets et 2FA sont activés. Pour les opérateurs - miroirs avec les mêmes normes dures TLS que le site principal : HSTS, CSP, redirect, surveillance CT et retrait rapide des clones de phishing. C'est moins cher et plus sûr que tout « vol » après l'incident.