Რატომ არ შეგიძლიათ შეიყვანოთ მონაცემები სარკეებზე SSL- ის გარეშე

„სარკე“ არის საიტის ასლი სხვა დომენზე/ქვე-დომენზე. ჰემბლინგში, სარკეები ხშირად გამოიყენება საკეტებით. თუ სარკე იხსნება HTTPS (SSL/TLS) გარეშე, აქ მონაცემების შეყვანა შეუძლებელია: კავშირი იკითხება და იცვლება გზაზე. ჩვენ ვსაუბრობთ არა მხოლოდ „კაფეში ჰაკერებზე“, არამედ შუალედურ კვანძებზე - ინფიცირებული როუტერიდან პროვაიდერზე, მარიონეტულ და მავნე გაფართოებაზე.

კონკრეტულად რა შეიძლება წავიდეს ასე SSL- ის გარეშე

1. ლოგინის და პაროლის ქურდობა

HTTP ყველაფერს „ღია“ გადასცემს. საკმარისია sniffer საჯარო Wi-Fi- ში ან როუტერზე - და ანგარიში თავდამსხმელის მიერ.

2. სესიის ქურდობა

სესიის ქუქი-ფაილები „საიდუმლოების“ გარეშე გაჟღენთილია და საშუალებას გაძლევთ თქვენს ქვეშ შევიდეთ პაროლის გარეშე.

3. გვერდის/დეტალების შეცვლა

ნებისმიერ „შუამავალს“ შეუძლია ჩუმად ჩადოს KYC ყალბი ფორმა, შეცვალოს ბარათის/საფულის ნომერი გამოსასვლელად, შეცვალოს დამხმარე მისამართი.

4. გადახდების შემცვლელი და „უხილავი“ ფორმები

სკრიპტების ინექცია ცვლის გადახდის დეტალებს ან მატებს ფარული საბმებს - ფული დაფრინავს „არსად“.

5. SSL-stripping

მაშინაც კი, თუ HTTPS- ზე „ოფიციალური“ დომენი, ქსელში თავდამსხმელს შეუძლია HSTTS- ზე აიძულოს HTTP სარკეზე HSTS- ის გარეშე.

6. ფიშინგი სარკის ქვეშ

კლონი სერტიფიკატის გარეშე (ან თვითნაკეთი/მარცხნივ) შენიღბულია სამუშაო სარკეში და აგროვებს ლოგინებს, 2FA და ბარათის მონაცემებს.

რატომ არის ეს ასევე უკანონოდ/ძვირი ოპერატორისთვის

PCI DSS: ბარათის მონაცემების შეყვანა HTTP პირდაპირ დარღვევაა. მათ ჯარიმები და შეძენის გადახდა ემუქრებათ.

GDPR/მსგავსი კანონები: PII/KYC HTTP = დამუშავების უსაფრთხოების დარღვევა. ჯარიმებისა და მოთხოვნების რისკი.

ლიცენზირებული პირობები: რეგულატორების უმეტესობა მოითხოვს HTTPS- ს ყველგან და დაიცვას პერსონალური/გადახდის მონაცემები.

რეპუტაცია და ADR: დაუცველი სარკეზე გაჟონვის დროს მოთამაშესთან დავა თითქმის გარანტირებული იქნება.

ტიპიური შეტევები სარკეებზე SSL- ის გარეშე - თითებზე

Evil Twin Wi-Fi: იგივე სახელის ყალბი წერტილი. ყველა HTTP ტრაფიკი იკითხება/იცვლება.

DNS შეჯამება: DNS- ის საპასუხო ჩანაცვლება მიდის არა იქ, სადაც ფიქრობდით. ძნელია შეამჩნიოთ HTTP.

პროვაიდერის/მარიონეტული ინექცია: სარეკლამო/მავნე JS ჩანართი „გზაზე“.

გაფართოებული პარაზიტი ბრაუზერში: ცვლის საფულის ფორმებსა და ნომრებს მხოლოდ HTTP გვერდებზე.

კაპიპის პორტალები (სასტუმროები/აეროპორტები): HTTPS- ის ავტორიზაციამდე ისინი ბლოკავს/შეცვლიან, ხოლო HTTP ღიაა - იდეალური ხაფანგი.

„მაგრამ არის ციხე...“ - ჩვენ ვავითარებთ მითებს

ბრაუზერის საკეტი მხოლოდ HTTPS- ზე არის. HTTPS- ის გარეშე არ არსებობს „ციხე“ - და ეს არის წითელი დროშა.

თვითნაკეთი/შეუსაბამო სერთიფიკატი არ არის „ნორმალური“. ეს თითქმის ყოველთვის არის შეცდომა ან MITM- ის მცდელობა.

„არ არის გადახდა, უბრალოდ ლოგინი“ - ლოგინი უფრო ძვირფასია, ვიდრე ფული: მისი საშუალებით მოიპარებენ როგორც ფულს, ისე დოკუმენტებს.

როგორ განასხვავოს მოთამაშემ უსაფრთხო დომენი 30-60 წამში

1. მისამართი მკაცრად 'https ://' და „საკეტი“ შეცდომების გარეშე.

2. ასო-ასო დომენი: არა 'rn' ნაცვლად 'm', კირიული ანბანი ლათინური ანბანის ნაცვლად.

3. „ციხესიმაგრის“ დაწკაპუნებით გაცემული სერთიფიკატი გაცემულია ცენტრალური საბჭოს წარმომადგენლების მიერ, SAN- ში - ეს არის ეს დომენი.

4. შესასვლელი/საფულის გვერდებზე არ არის გაფრთხილებები „არა საიდუმლოება“ ან „Mixed შინაარსი“.

5. ეჭვი გეპარება - სანიშნედან მთავარ დომენში გადადით და სარკეებზე გადადით მხოლოდ კაბინეტის შიდა ბმულებიდან.

სწრაფი აუდიტის ბრძანებები (თუ შეგიძლიათ კონსოლში წასვლა)

bash
აჩვენეთ ჯაჭვი და SAN openssl s _ client-connect mirror. example:443 -servername mirror. example -showcerts </dev/null 2>/dev/null      openssl x509 -noout -subject -issuer -dates -ext subjectAltName

შეამოწმეთ უსაფრთხოების სათაურები curl -sI https ://mirror. example      grep -Ei 'strict-transport-security    content-security-policy    x-content-type-options    x-frame-options    frame-ancestors    referrer-policy    set-cookie'

დარწმუნდით, რომ HTTTPS რექტორი HTTPS curl -I http ://mirror. example

თუ HTTPS არ მუშაობს/იფიცება - ჩვენ არაფერი გვაქვს შემოღებული.

რა უნდა გააკეთოს ოპერატორმა (სარკეებიც „ზრდასრული გზით“)

1. HTTPS ყველგან: TLS 1. 2/1. 3, სწორი ჯაჭვი, HSTS preload (mixed შინაარსის ლიკვიდაციის შემდეგ).

2. HTTP შინაარსის აკრძალვა: მკაცრი CSP, მხოლოდ HTTPS რესურსები.

3. HTTP - HTTPS- ის რედაქცია ყველა სარკეზე, იგივე ქუქი-ფაილების პოლიტიკა: 'Secure; HttpOnly; SameSite`.

4. ბრენდის CT მონიტორინგი: სერტიფიკატის ახალი გაცემა „მსგავსი“ დომენისთვის - ალერტი და შემოწმება.

5. CAA ჩანაწერები DNS- ში: შეზღუდეთ რომელი CS- ს შეუძლია გასცეს სერთიფიკატები დომენის/ქვე-რეგისტრაციისთვის.

6. mTLS და დაშიფვრა „CDN- სთვის“: სარკეები ხშირად ზის მარიონეტებზე - ასევე დაშიფრულია origin- ის ტრაფიკი.

7. სერთიფიკატების ავტო გაცნობა + ალერტა: 30/14/7/1 გასვლამდე.

8. თავდასხმის დროს ბანერის გაფრთხილება: „ჩვენ არასდროს ვთხოვთ მონაცემებს HTTP“ + ბმული უსაფრთხოების გვერდზე.

9. Takedown პროცედურები ფიშინგის სარკეებისთვის: რეგისტრატორი/მასპინძელი, ბრაუზერის ბლოკის ფურცლები, სარეკლამო ქსელები.

10. Passkeys/TOTP + step-up მგრძნობიარე ქმედებებზე - ქსელის კომპრომისითაც კი, ფულის ამოღება შეუძლებელია.

მოთამაშის ჩეკის სია

შესვლა მხოლოდ https ://და სანიშნედან.
„ციხე“ შეცდომების გარეშე; სერთიფიკატი იმავე დომენისთვის.
არ შეიყვანოთ ლოგინი/KUS/ბარათი, თუ ბრაუზერი წერს Not Secure ან იფიცებს სერთიფიკატს.
ჩართეთ 2FA (Passkeys/TOTP) და შეყვანის/ცვლილებების შეტყობინებები.
საზოგადოებრივი Wi-Fi მხოლოდ VPN- ის საშუალებით არის, წინააღმდეგ შემთხვევაში დაელოდეთ უსაფრთხო ქსელს.
ნებისმიერი ეჭვი - გადადით მთავარ დომენში და გახსენით „შეტყობინებების „/“ უსაფრთხოების “განყოფილება.

ოპერატორის ჩეკების სია

ყველა სარკე TLS 1-ზე. 2/1. 3, HSTS (+ preload), მკაცრი CSP, არ არის mixed შინაარსი.
HTTTPS- ის ერთიანი გამოცემა, ქუქი-ფაილები; HttpOnly; SameSite`.
CT მონიტორინგი, CAA DNS- ში, სერთიფიკატების ავტომატური გაჯანსაღება.
TLS დაშიფვრა CDN და mTLS შიდა/ვებჰუკებზე.
Passkeys/TOTP, step-up ჩანაცვლება დეტალები/დასკვნა.
საზოგადოებრივი გვერდი „უსაფრთხოება“ და გაფრთხილებები შეტევების დროს.
სწრაფი takedown ფიშინგის კლონების პროცედურები.

FAQ (მოკლედ)

შეგიძლიათ შეიყვანოთ მხოლოდ ლოგინი, პაროლის გარეშე - უბრალოდ შეხედეთ?

არა. ნებისმიერი HTTP შეყვანა შეიძლება გაჟონვა, ხოლო login + პაროლის შემდეგ არის კლასიკური ლიგატი ქურდობისთვის.

და თუ სერთიფიკატი „თვითგამოცხადებული“ ერთი საათის განმავლობაში არის დაახლოებით?

არა. ენდობით მხოლოდ ზოგადად აღიარებული CC- ს სერთიფიკატებს ბრაუზერში შეცდომების გარეშე.

რატომ დუმდა ჩემი ანტივირუსი?

ანტივირუსი ყოველთვის არ იჭერს MITM/ფორმის შეცვლას. ნიშანი 11 - არ არსებობს HTTPS ან ბრაუზერი იფიცებს სერთიფიკატს.

სარკე SSL- ის გარეშე არის მოწვევა ანგარიშის, ფულის და დოკუმენტების ქურდობისთვის. წესი მარტივია: არ არსებობს ნამდვილი HTTPS, ჩვენ არაფერს ვაწარმოებთ. მოთამაშეებისთვის - მხოლოდ დაცული სანიშნეების დომენები და ჩართულია 2FA. ოპერატორებისთვის - სარკეები იგივე TLS მკაცრი სტანდარტებით, როგორც მთავარი საიტი: HSTS, CSP, რედაქციები, CT მონიტორინგი და ფიშინგის კლონების სწრაფი ამოღება. ეს იაფი და უსაფრთხოა, ვიდრე ინციდენტის შემდეგ ნებისმიერი „ფრენის ანალიზი“.