מדוע אינך יכול להזין נתונים על מראות ללא SSL

”מראה” הוא העתק של אתר בתחום אחר. בהימורים, מראות משמשות לעתים קרובות לחסימה. אם המראה נפתחת ללא HTTPS (SSL/TLS), לא ניתן להכניס לשם נתונים: החיבור נקרא ומשתנה בדרך. זה לא רק על ”האקרים בבית קפה”, אלא גם על צמתים ביניים - מנתב נגוע לספק, מיופה כוח וסיומת מזיקה.

מה בדיוק יכול להשתבש ללא SSL

1. גניבת התחברות וסיסמה

HTTP משדר הכל "בגלוי. "מספיק לרחרח באינטרנט אלחוטי ציבורי או על נתב - וחשבון עם תוקף.

2. חטיפת מושב

הפעלת עוגיות ללא ”דליפה מאובטחת” ולאפשר לך להתחבר ללא סיסמה.

3. החלפת דף/פרטים

כל ”מתווך” יכול באופן דיסקרטי להכניס טופס כוזב של KYC, לשנות את מספר הכרטיס/ארנק עבור משיכה, ולהחליף את כתובת התמיכה.

4. החלפת תשלום וצורות ”בלתי נראות”

הזרקת התסריט משנה את פרטי התשלום או מוסיפה הגשות אוטומטיות נסתרות - הכסף טס ”לשום מקום”.

5. חשפנות SSL

גם אם תחום ה ”רשמי” נמצא ב-HTTPS, תוקף ברשת יכול להכריח אותך לרדת ל-HTTP על מראה ללא HSTS.

6. לדוג תחת המסווה של מראה

שיבוט ללא תעודה (או עם חתימה עצמית/שמאל) מסווה את עצמו כמראה עובדת ואוסף קשרים, 2FA ונתוני כרטיס.

למה זה גם לא חוקי/יקר למפעיל

PCI DSS: הזנת נתוני כרטיס על HTTP היא הפרה ישירה. קנסות ומשיכת רכישות מאוימים.

GDPR/חוקים דומים: PII/KYC by HTTP = הפרת אבטחת עיבוד. סיכונים של קנסות ומרשמים.

תנאי רישוי: רוב הרגולטורים דורשים HTTPS בכל מקום והגנה על מידע אישי/תשלום.

מוניטין ו ADR: סכסוך עם שחקן כאשר דלף על מראה לא מוגנת כמעט מובטח לאיבוד.

התקפות אופייניות על מראות ללא SSL - על אצבעות

נקודה מזויפת עם אותו שם. כל תנועת HTTP נקראה/שונתה.

זיוף תגובת DNS לא מוביל לאן שחשבת. קשה לראות על HTTP.

הזרקת ספק/פרוקסי: הכנס פרסום/JS מזיק ”על הכביש”.

הרחבה טפילית בדפדפן: משנה את הצורות והמספרים של הארנקים רק בדפי HTTP.

פורטלים שבויים (מלונות/שדות תעופה): לפני האישור, HTTPS חסום/מוחלף, ו-HTTP פתוח - מלכודת אידיאלית.

”אבל יש גם טירה”... - אנחנו מנתחים מיתוסים

נעילת הדפדפן היא רק על HTTPS. ללא HTTPS, אין ”מנעול” - וזה דגל אדום.

תעודה חתומה/לא תקפה היא לא "נורמלית. "זה כמעט תמיד או טעות או ניסיון של MITM.

”אין תשלומים, רק התחברות” - התחברות יקרה יותר מכסף: הכסף והמסמכים יגנבו באמצעותה.

איך שחקן יכול להבחין תחום מאובטח בתוך 30-60 שניות

1. הכתובת היא אך ורק עם 'https ://' ו ”לנעול” ללא שגיאות.

2. אין ”רן” במקום ”m”, קירילי במקום לטיני.

3. לחיצה על "מנעול" = התעודה הונפקה על ידי מלש "קים מהימנים, ב SAN - זהו התחום.

4. אין אזהרות ”לא מאובטחות” או ”תוכן מעורב” בדפי ההתחברות/ארנק.

5. ספק אם - לעבור מהסימניה לתחום הראשי וללכת למראות רק מהקישורים הפנימיים של הארון.

פקודות בדיקה מהירה (אם אתה יכול להשתמש בקונסולה)

Bash
הצג שרשרת ו ־ SAN opensl s_client דוגמא: מראה 443-servername. דוגמה - showcerts </dev/null 2 >/dev/null    Openssl x509-nout-subsout-issuer-dates-excress  Altname

בדוק כותרות אבטחה curl-si https ://מראה. דוגמא    Grep-Ei 'קפדנית-תחבורה-אבטחה    מדיניות ביטחון-תוכן    אופציות מסוג X-תוכן    x-frame-אפשרויות    אבות המסגרת    מדיניות הפניה    להגדיר-cookiew &pos

ודא כי HTTP מופנה אל curl HTTTP- I http ://מראה. דוגמא

אם HTTPS לא עובד/נשבע, אנחנו לא נכנסים לשום דבר.

מה על המפעיל לעשות (המראות הן גם ”בוגרות”)

1. HTTPS בכל מקום: TLS 1. 2/1. 3, שרשרת נכונה, HSTS מראש (לאחר חיסול של תוכן מעורב).

2. תוכן HTTP: CSP קפדני, משאבי HTTPS בלבד.

3. הפנה HTTP * HTTPS על כל המראות, אותה מדיניות עוגיות: "מאובטח; HttpOnly; אתר חיסול ".

4. ניטור מותג CT: הוצאה חדשה של תעודה עבור תחום ”דומה” - התראה ואימות.

5. רשומות DNS CAA: הגבילו אילו CAs יכולים להנפיק תעודות domain/subdomain.

6. הצפנת MTLS ו ־ CDN: מראות לעתים קרובות יושבות מאחורי פרוקסי - תנועה למקורה מוצפנת אף היא.

7. חידוש אוטומטי של תעודות + התראות: 30/14/7/1 יום לפני התפוגה.

8. כרזת אזהרה במהלך התקפות: ”אנחנו אף פעם לא מבקשים מידע על HTTP” + קישור לדף אבטחה.

9. הליכי השתלטות על מראות פישינג: רשם/מארח, רשימות בלוקים בדפדפן, רשתות פרסום.

10. Passkeys/TOTP + שלב על פעולות רגישות - גם אם הרשת נפגעת, לא תוכל למשוך כסף.

רשימת שחקנים

[ ] להיכנס רק ב https ://ומסימניה.

[ ] ”לנעול” ללא טעויות; תעודה לאותו תחום.

[ ] אל תרשום התחברות/כרטיס CCS/Card אם הדפדפן כותב לא מאובטח או נשבע בתעודה.

[ ] לאפשר 2FA (Passkeys/TOTP) והודעות קלט/שינוי.

[ ] Fublic Wi-Fi = "רק דרך VPN, אחרת לחכות לרשת מאובטחת.

[ ] כל ספקות - ללכת לתחום הראשי ולפתוח את ”הודעות ”/” ביטחון ”סעיף.

רשימת הבדיקות של המרכזName

[ ] כל המראות על TLS 1. 2/1. 3, HSTS (+ premload), CSP קפדני, ללא תוכן מעורב.

[ ] Single Revirect HTTP # HTTPS, Cookie 'Secure; HttpOnly; אתר חיסול ".

[ ניטור CT ], CAA ב DNS, חידוש אוטומטי של תעודות.

[ ] הצפנת TLS מאחורי CDN ו-mTLS

[ ] Passkeys/TOTP, צעד למעלה לשינוי פרטים/פלט.

[ ] עמוד אבטחה ציבורי והתראות באפליקציה במהלך התקפות.

[ ] הליכי תפיסה מהירה עבור שיבוטי דיג.

FAQ (קצר)

אתה יכול להכניס רק את ההתחברות שלך, בלי סיסמה - רק להסתכל?

לא, זה לא כל קלט על HTTP יכול לדלוף, והתחברות + ואחריה סיסמה היא צרור קלאסי לגניבה.

ואם התעודה ”חתומה” לשעה, זה בסדר?

לא, זה לא תעודות אמון בלבד ממכ "מים מוכרים ללא שגיאות בדפדפן.

למה האנטי וירוס שלי היה שקט?

אנטי וירוס לא תמיד תופס החלפה של MITM/צורה. חתום מס '1 - אין HTTPS או הדפדפן נשבע בתעודה.

מראה ללא SSL היא הזמנה לגנוב חשבון, כסף ומסמכים. הכלל הוא פשוט: אין HTTPS תקף. לשחקנים - רק תחומים מוגנים מסימניות ומאפשרות 2FA. עבור מפעילים - מראות בעלות תקני TLS קפדניים כמו האתר הראשי: HSTS, CSP, הפניות מחדש, ניטור CT והסרה מהירה של שיבוטי זיג. זה זול ובטוח יותר מכל ”תחקיר” לאחר האירוע.