क्यों आप एसएसएल के बिना दर्पण पर डेटा दर्ज नहीं कर सकते

एक "दर्पण" एक अलग डोमेन/उपडोमेन पर एक साइट की एक प्रति है। जुए में, दर्पण का उपयोग अक्सर अवरोधन के लिए किया जाता है। यदि दर्पण HTTPS (SSL/TLS) के बिना खुलता है, तो आप वहाँ डाटा दर्ज नहीं कर सकते: कनेक्शन पढ़ा जाता है और रास्ते में परिवर्तन होता है। यह न केवल "एक कैफे में हैकर्स" के बारे में है, बल्कि मध्यवर्ती नोड्स के बारे में भी है - एक संक्रमित राउटर से एक प्रदाता, एक प्रॉक्सी और एक हानिकारक विस्तार तक।

SSL के बिना वास्तव में क्या गलत हो सकता है

1. लॉगिन और पासवर्ड की चोरी

HTTP सब कुछ "खुले तौर पर प्रसारित कर "सार्वजनिक वाई-फाई में पर्याप्त स्निफर या राउटर पर - और एक हमलावर के साथ एक खाता।

2. सत्र अपहरण

बिना 'सुरक्षित' रिसाव के सत्र कुकीज़और आपको बिना कूटशब्द के लॉगिन करने की अनुमति देता है।

3. पृष्ठ/विवरण का प्रतिस्थापन

कोई भी "मध्यस्थ" विवेकपूर्वक एक झूठा केवाईसी फॉर्म डाल सकता है, निकासी के लिए कार्ड/वॉलेट नंबर बदल सकता है, और समर्थन पते को बदल सकता है।

4. भुगतान प्रतिस्थापन और "अदृश्य" रूप

स्क्रिप्ट इंजेक्शन भुगतान विवरण बदलता है या छिपे हुए ऑटो-सबमिट जोड़ ता है - पैसा उड़ ता है "कहीं नहीं।"

5. एसएसएल-स्ट्रिपिंग

यहां तक कि अगर "आधिकारिक" डोमेन HTTPS पर है, तो नेटवर्क पर एक हमलावर आपको HTS के बिना दर्पण पर HTTP के लिए मजबूर कर सकता है।

6. दर्पण की आड़ में फ़िशिंग

प्रमाणपत्र के बिना एक क्लोन (या एक स्व-हस्ताक्षरित/बाएं के साथ) खुद को एक काम करने वाले दर्पण के रूप में प्रच्छन्न करता है और लॉगिन, 2FA और कार्ड डेटा एकत्

ऑपरेटर के लिए यह भी अवैध/महंगा क्यों है

PCI DSS: HTTP पर कार्ड डेटा दर्ज करना एक सीधा उल्लंघन है। जुर्माना और अधिग्रहण की वापसी की धमकी दी जाती है।

GDPR/इसी तरह के कानून: HTTP द्वारा PII/KYC = प्रसंस्करण सुरक्षा उल्लंघन। जुर्माना और नुस्खे के जोखिम।

लाइसेंसिंग की स्थिति: अधिकांश नियामकों को हर जगह HTTPS और व्यक्तिगत/भुगतान डेटा की सुरक्षा की आवश्यक

प्रतिष्ठा और एडीआर: असुरक्षित दर्पण पर लीक होने पर एक खिलाड़ी के साथ विवाद लगभग खो जाने की गारंटी है।

एसएसएल के बिना दर्पणों पर विशिष्ट हमले - उंगलियों पर

ईविल ट्विन वाई-फाई: एक ही नाम के साथ एक नकली डॉट। सभी HTTP ट्रैफिक पढ़ा/बदला जाता है।

DNS स्पूफिंग: DNS प्रतिक्रिया को खराब करने से ऐसा नहीं होता है जहां आपको लगा कि यह होगा। HTTP पर देखना मुश्किल है।

प्रदाता/प्रॉक्सी इंजेक्शन: विज्ञापन/हानिकारक जेएस "सड़क पर" डालें।

ब्राउज़र में परजीवी विस्तार: केवल HTTP पृष्ठों पर पर्स के रूपों और संख्याओं को बदलता है।

कैप्टिव पोर्टल्स (होटल/हवाई अड्डे): प्राधिकरण से पहले, HTTPS को अवरुद्ध/प्रतिस्थापित किया जाता है, और HTTP खुला होता है - एक आदर्श जाल।

"लेकिन एक महल भी है"... - हम मिथकों का विश्लेषण करते हैं

ब्राउज़र लॉक केवल HTTPS पर है। HTTPS के बिना, कोई "लॉक" नहीं है - और यह एक लाल झंडा है।

एक स्व-हस्ताक्षरित/अवैध प्रमाणपत्र सामान्य नहीं है. "यह लगभग हमेशा या तो एक गलती है या एक MITM प्रयास है।

"कोई भुगतान नहीं है, सिर्फ एक लॉगिन" - एक लॉगिन पैसे से अधिक मूल्यवान है: पैसे और दस्तावेज दोनों इसके माध्यम से चोरी हो जाएंगे।

एक खिलाड़ी 30-60 सेकंड में एक सुरक्षित डोमेन को कैसे भेद सकता है

1. पता बिना त्रुटियों के 'https ://' और "लॉक" के साथ कड़ाई से है.

2. डोमेन अक्षर-से-अक्षर: 'एम' के बजाय 'आरएन' नहीं, लैटिन के बजाय सिरिलिक।

3. "लॉक" पर क्लिक - प्रमाणपत्र विश्वसनीय CAs द्वारा जारी किया गया था, SAN में - यह डोमेन है।

4. लॉगिन/वॉलेट पृष्ठों पर कोई "सुरक्षित नहीं" या "मिश्रित सामग्री" चेतावनी नहीं हैं।

5. इसे संदेह है - बुकमार्क से मुख्य डोमेन पर जाएं और केवल कैबिनेट के आंतरिक लिंक से दर्पण पर जाएं।

त्वरित जांच कमांड (यदि आप कंसोल का उपयोग कर सकते हैं)

बैश
श्रृंखला और SAN openssl s_client -connect दर्पण दिखाएँ। उदाहरण: 443 -servername दर्पण। उदाहरण -showcerts </dev/null 2 >/dev/null    Openssl x509 -noout-subject-issuer -dates -ext  AltName

कर्ल - sI सुरक्षा शीर्षिका https ://मिरर जाँचें. उदाहरण    Grep-Ei 'सख्त-परिवहन-सुरक्षा    सामग्री-सुरक्षा-नी    एक्स-सामग्री-प्रकार-विकल्    एक्स-फ्रेम-विकल्प    फ्रेम-पूर्वज    रेफरर-पॉलिसी    सेट-कुकी '

सुनिश्चित करें कि HTTP पुनर्निर्देशन HTTPS कर्ल - I http ://मिरर पर करें। उदाहरण

यदि HTTPS काम नहीं करता है/शपथ लेता है, तो हम कुछ भी दर्ज नहीं करते हैं।

ऑपरेटर क्या करने के लिए बाध्य है (दर्पण भी "वयस्क" हैं)

1. HTTPS हर जगह: TLS 1। 2/1. 3, सही श्रृंखला, एचएसटीएस प्रीलोड (मिश्रित सामग्री के उन्मूलन के बाद)।

2. प्रतिबंधित HTTP सामग्री: सख्त CSP, HTTPS संसाधन केवल।

3. सभी दर्पणों पर redirect - एक ही कुकी नीति: 'सुरक्षित; Httponly; सेमसाइट '।

4. सीटी ब्रांड मॉनिटरिंग: "समान" डोमेन - अलर्ट और सत्यापन के लिए एक प्रमाणपत्र जारी करना।

5. DNS CAA रिकॉर्ड: प्रतिबंधित करें जो CAs डोमेन/सबडोमेन प्रमाणपत्र जारी कर सकते हैं।

6. mTLS और CDN एन्क्रिप्शन: दर्पण अक्सर प्रॉक्सी के पीछे बैठते हैं - मूल के लिए यातायात भी एन्क्रिप्टेड है।

7. सर्टिफिकेट + अलर्ट का ऑटो नवीनीकरण: समाप्ति से 30/14/7/1 दिन पहले।

8. हमलों के दौरान चेतावनी बैनर: "हम कभी भी HTTP पर डेटा के लिए नहीं पूछते हैं" + सुरक्षा पृष्ठ पर लिंक।

9. दर्पण फ़िशिंग के लिए टेकडाउन प्रक्रियाएं: रजिस्ट्रार/होस्टर, ब्राउज़र ब्लॉक सूची, विज्ञापन नेटवर्क।

10. संवेदनशील क्रियाओं पर Passkeys/TOTP + चरण-अप - भले ही नेटवर्क से समझौता किया गया हो, आप पैसे निकालने में सक्षम नहीं होंगे।

खिलाड़ी चेकलिस्ट

केवल https ://पर और बुकमार्क से लॉग इन करें।
त्रुटियों के बिना "लॉक"; एक ही डोमेन के लिए प्रमाणपत्र।
लॉगिन/सीसीएस/कार्ड दर्ज न करें यदि ब्राउज़र सुरक्षित नहीं लिखता है या प्रमाणपत्र पर शपथ लेता है।
2FA (Passkeys/TOTP) और इनपुट/परिवर्तन सूचनाएँ सक्षम करें।
पब्लिक वाई-फाई - केवल वीपीएन के माध्यम से, अन्यथा एक सुरक्षित नेटवर्क की प्रतीक्षा करें।
कोई भी संदेह - मुख्य डोमेन पर जाएं और "सूचनाएं "/" सुरक्षा "अनुभाग खोलें।

ऑपरेटर की चेकलिस्ट

टीएलएस 1 पर सभी दर्पण। 2/1. 3, एचएसटीएस (+ प्रीलोड), सख्त सीएसपी, कोई मिश्रित सामग्री नहीं।
एकल पुनर्निर्देशित HTTP→HTTPS, कुकी 'सिक्योर; Httponly; सेमसाइट '।
सीटी मॉनिटरिंग, डीएनएस में सीएए, प्रमाणपत्रों का ऑटो-नवीकरण।
आंतरिक/वेबहूक पर सीडीएन और एमटीएलएस के पीछे टीएलएस एन्क्रिप्शन।
Passkeys/TOTP, विवरण/आउटपुट बदलने के लिए चरण-अप।
हमलों के दौरान सुरक्षा सार्वजनिक पृष्ठ और इन-ऐप अलर्ट।
फ़िशिंग क्लोन के लिए त्वरित टेकडाउन प्रक्रियाएँ।

FAQ (छोटा)

आप केवल अपना लॉगइन दर्ज कर सकते हैं, बिना पासवर्ड - बस देखो?

नहीं, यह नहीं है। HTTP पर कोई भी इनपुट लीक हो सकता है, और पासवर्ड के बाद लॉगिन + चोरी के लिए एक क्लासिक बंडल है।

और अगर प्रमाणपत्र एक घंटे के लिए "स्व-हस्ताक्षरित" है - तो क्या यह ठीक है?

नहीं, यह नहीं है। ब्राउज़र त्रुटियों के बिना केवल मान्यता प्राप्त CAs से प्रमाणपत्र पर भरोसा करें।

मेरा एंटीवायरस चुप क्यों था?

एंटीवायरस हमेशा MITM/फॉर्म प्रतिस्थापन को नहीं पकड़ ता है। हस्ताक्षर संख्या 1 - कोई HTTPS या ब्राउज़र प्रमाणपत्र पर शपथ लेता है।

एसएसएल के बिना एक दर्पण एक खाता, पैसा और दस्तावेज चुराने का निमंत्रण है। नियम सरल है: कोई वैध HTTPS नहीं है - हम कुछ भी दर्ज नहीं करते हैं। खिलाड़ियों के लिए - केवल बुकमार्क से संरक्षित डोमेन और सक्षम 2FA। ऑपरेटरों के लिए - मुख्य साइट के समान सख्त टीएलएस मानकों के साथ दर्पण: एचएसटीएस, सीएसपी, पुनर्निर्देशन, सीटी निगरानी और फ़िशिंग क्लोन को त्वरित हटाने। यह घटना के बाद किसी भी "डिब्रीफिंग" की तुलना में सस्ता और सुरक्षित है।