Ինչու դուք չեք կարող մուտքագրել տվյալները հայելիների վրա առանց SSL

«Հայելի» -ը կայքի պատճենն է մեկ այլ օրինակով/փոխարենը։ Հեմբլինգում հայելիները հաճախ օգտագործվում են արգելափակման ժամանակ։ Եթե հայելիները բացվում են առանց HTTPS (SSL/TSA), դուք չեք կարող մուտքագրել տվյալները, միացումը կարդում և փոխվում է ճանապարհին։ Խոսքը ոչ միայն «սրճարանում հաքերների» մասին է, այլ նաև միջանկյալ հանգույցների մասին 'վարակված ռոուտերից մինչև պրովայդեր, ջրային և վնասակար ընդարձակում։

Ինչ հատուկ կարող է գնալ ոչ այնքան առանց SSL

1. Լոգանքի և գաղտնաբառի գողություն

HTTP-ն փոխանցում է ամեն ինչ «բաց»։ Բավական է iffer 'a հանրային Wi-Fi-ում կամ երթուղիչում, և հարձակվողի մոտ։

2. Նստաշրջանի անկյունը (session hijacking)

Առանց «Secure» -ի նստաշրջանի կտորները դուրս են գալիս և թույլ են տալիս մտնել առանց գաղտնաբառի։

3. Էջ/գրառումներ

Ցանկացած «միջնորդ» կարող է աննկատ տեղադրել KYC կեղծ ձևը, փոխել քարտեզի/դրամապանակի համարը ելքի համար, փոխարինել աջակցության հասցեն։

4. Վճարման փոփոխությունը և «անտեսանելի» ձևերը

Ջութակների միգրացիան փոխում է վճարովի գրառումները կամ ավելացնում է թաքնված մեքենա-սաբմիտները, փողը թռչում է «ոչ մի տեղ»։

5. SSL-stripping

Նույնիսկ եթե HTTPS-ի «պաշտոնական» տիրույթը, ցանցում հարձակվողը կարող է բռնի կերպով իջեցնել ձեզ HTTP-ի վրա առանց HSTS-ի հայելու վրա։

6. Ֆիշինգը հայելու տակ

Կլոնը առանց պարամետրերի (կամ ինքնագնաց/ձախ) դիմակավորված է աշխատանքային հայելիի տակ և հավաքում է տրամաբանություններ, 2FA և քարտեզների տվյալները։

Ինչու է դա նաև անօրինական/թանկ օպերատորի համար

PCI DSS-ն ՝ HTTP-ի քարտային տվյալների մուտքագրումը ուղղակի խախտում է։ Սպառնում են տուգանքներ և էքվիրինգի արձագանք։

GDPR/նմանատիպ օրենքները ՝ PII/KYC-ը HTTP = մշակման անվտանգության խախտումը։ Տուգանքների և պահանջների ռիսկերը։

Պոլիոնային պայմանները 'կարգավորողների մեծամասնությունը պահանջում է HTTPS-ը ամենուր և պաշտպանել անձնական/վճարային տվյալները։

Հեղինակություն և ADR 'խաղացողի հետ բանավեճը անպաշտպան հայելու վրա արտահոսքի ժամանակ գրեթե երաշխավորված կլինի կորցնել։

Տիպիկ հարձակումներ հայելիների վրա առանց SSL 'մատների վրա

Evil Twin Wi-Fi: կեղծ կետը նույն անունով։ Ամբողջ HTTP-ն կարդում/փոխվում է։

ԲԿՄԱ-ի սպուֆինգը 'ՌՖի պատասխանը փոխելը չի տանում այնտեղ, որտեղ դուք մտածում էիք։ HTTP-ի վրա դժվար է նկատել։

Պրովայդեր/112-միգրացիա 'ներդնել գովազդային/վնասակար JS «ճանապարհին»։

Զննարկչի ընդարձակումը փոխում է դրամապանակների ձևերն ու համարները միայն HTP էջերում։

Կապիվ պորտալները (105/օդանավակայաններ), մինչև HTTPS-ի հեղինակային իրավունքը արգելափակում են/փոխարինում, իսկ HTTP-ը բացվում է կատարյալ թակարդը։

«Բայց այնտեղ ամրոցը...» Մենք հասկանում ենք առասպելները

Զննարկչի ամրոցը միայն HTTPS-ում է։ Առանց HTTPS-ի ոչ մի «ամրոց» չկա, և սա կարմիր դրոշ է։

Ինքնահաստատված/անգնահատելի վկայականը «նորմալ» չէ։ Սա գրեթե միշտ սխալ է, կամ MITM-ի փորձը։
«Այնտեղ վճարումներ չկան, պարզապես լոգինը» ավելի արժեքավոր է, քան փողը 'դրա միջոցով գողանալու են և՛ փողը, և՛ փաստաթղթերը։

Ինչպես խաղացողին տարբերել անվտանգ տիրույթը 30-60 վայրկյանում

1. Հասցեն խստորեն «https : //» և« ամրոցը »առանց սխալների։

2. Տառի տիրույթը 'ոչ մի' rn 'փոխարեն' m ', կիրիլացիները լատիներենի փոխարեն։

3. «Ամրոցով» տեսահոլովակը ներկայացված է CS-ի վստահված, SAN-ում հենց այս տիրույթն է։

4. Մուտքի/դրամապանակի էջերում չկան «Dit secure» կամ «Mixed entent» նախազգուշացումները։

5. Դուք կասկածում եք, որ հիմնական տիրույթից հանեք և հայելու անցեք միայն գրասենյակի ներքին հղումներից։

Արագ ստուգման թիմերը (եթե գիտեք, թե ինչպես է վահանակում)

bash
Ցույց տալ շղթան և SAN opronsl s _ client-connase mirror։ example:443 -servername mirror. example -showcerts </dev/null 2>/dev/null      openssl x509 -noout -subject -issuer -dates -ext subjectAltName

Ստուգել curl-sI https ://mirror-ի անվտանգության վերնագրերը։ example      grep -Ei 'strict-transport-security    content-security-policy    x-content-type-options    x-frame-options    frame-ancestors    referrer-policy    set-cookie'

Համոզվեք, որ HTTTPS curl-I http ://mirror։ example

Եթե HTTPS-ը չի աշխատում/երդվում, ոչինչ չենք ներկայացնում։

Ի՞ նչ պետք է անեն օպերատորը (հայելիները նաև «մեծահասակների»)

1. HTTPS ամենուր 'TFC 1։ 2/1. 3, ճիշտ շղթա, HSTS preload (mixed entent լուծարումից հետո)։

2. HTTP բովանդակության արգելքը 'խիստ CSP, միայն HTTPS ռեսուրսները։

3. Redirect HTTPS-ը բոլոր հայելիների վրա, նույն տիկնիկի քաղաքականությունը '"Secure; HttpOnly; SameSite`.

4. CT-ռուսական բրենդի 'նոր ֆորումը տեղադրված է «նման» տիրույթի վրա' ալերտ և ստուգում։

5. CAA-ձայնագրությունները RF-ում 'սահմանափակել, թե որ CS-ները կարող են վկայագրեր տալ տիրույթի/ենթաբաժինների վրա։

6. MTMS-ը և «CDN-ի համար» կոդավորումը, հայելիները հաճախ նստում են կոդավորման համար, մինչև origin-ը նույնպես կոդավորված է։

7. Հավաստագրերի ավտոմատացումը + ալերտները ՝ 30/14/7/1 օր մինչև 2019 թվականը։

8. Հարձակումների ժամանակ նախազգուշացում. <<Մենք երբեք տվյալներ չենք խնդրում HTTP>> + հղում անվտանգության էջին։

9. Takedown-ընթացակարգերը ֆիշինգի հայելիների համար 'գրանցող/հոստեր, զննարկիչ բլոկային թերթիկներ, գովազդային ցանցեր։

10. Passkeys/TOTP + step-up զգայուն դեղամիջոցների վրա, նույնիսկ երբ ցանցը փոխզիջում է, փողը չի հաջողվի։

Խաղացողի չեկի թերթ

Միայն https ://և էջանիշից։
«Ամրոց» առանց սխալների; վկայագիր նույն տիրույթին։
Մի մուտքագրեք լոգինը/KUS/քարտեզը, եթե զննարկիչը գրում է Dist secure կամ պտտվում է վկայագրի վրա։
Միացրեք 2FA (Passkeys/TOTP) և ծանուցումներ մուտքերի/փոփոխությունների մասին։
Հանրային Wi-Fi-ն իրականացվում է միայն CPN-ի միջոցով, հակառակ դեպքում սպասեք անվտանգ ցանցին։
Անկասկած, գնացեք հիմնական տիրոջը և բացեք «Ծանուցում «/» Անվտանգություն »բաժինը։

Օպերատորի չեկի թերթիկը

Բոլոր հայելիները TFC 1-ում։ 2/1. 3, HSTS (+ preload), խիստ CSP, ոչ մի mixed entent։
HTTP/HTTPS, տիկնիկներ 'Secure; HttpOnly; SameSite`.
CT-2019, CAA-ը RF-ում, հավաստագրերի ինքնաբերությունը։
TMS-կոդավորումը CDN-ի և mTSA-ի համար ներքին/webhuks-ում։
Passkeys/TOTP, step-up փոփոխելու համար։
Հանրային էջը «Անվտանգություն» և in-ap նախազգուշացման ժամանակ։
Արագ takedown fishing կլոնների ընթացակարգերը։

FAQ (կարճ)

Դուք կարող եք մուտքագրել միայն լոգինը, առանց գաղտնաբառի, պարզապես տեսնել։

Ոչ։ HTTP-ի ցանկացած մուտքագրում կարող է արտահոսք, իսկ լոգինը + գաղտնաբառի հետքը դասական գողություն է։

Իսկ եթե «ինքնագրավված» վկայականը մեկ ժամվա ընթացքում է։

Ոչ։ Վստահեք միայն այն հավաստագրողներին, ովքեր գիտեն CS-ից առանց զննարկչի սխալների։

Ինչո՞ ւ էր իմ հակավիրուսը լռում։

Հակավիրուսը միշտ չէ, որ բռնում է MITM/փոխարենը ձևին։ Թիվ 1 նշանը 'HTTPS-ը կամ զննարկիչը է վկայականի վրա։

Հայելիները, առանց SSL-ի, հրավիրված են գողանալու հաշիվը, փողը և փաստաթղթերը։ Կանոնը պարզ է. Ոչ վալիդային HTTPS-ը ոչինչ չի ներկայացնում։ Խաղացողների համար միայն պաշտպանված օրինագծեր են և միացված 2FA։ Օպերատորների համար հայելիներ են նույն TFC ստանդարտներով, ինչպես նաև հիմնական կայքը 'HSTS, CSP, redirects, CT-2019 և ֆիշինգի կլոնների արագ հեռացումը։ Սա ավելի էժան է և ավելի ապահով, քան ցանկացած «թռիչքների բաժանումը» հետո։