SSL없이 미러에 데이터를 입력할 수없는 이유

"미러" 는 다른 도메인/하위 도메인에있는 사이트의 사본입니다. 도박에서 거울은 종종 차단에 사용됩니다. HTTPS없이 미러가 열리면 데이터를 입력 할 수 없습니다. 연결을 읽고 도중에 변경됩니다. 이것은 "카페의 해커" 뿐만 아니라 감염된 라우터에서 공급자, 프록시 및 유해한 확장에 이르기까지 중간 노드에 관한 것입니다.

SSL없이 정확히 무엇이 잘못 될 수 있습니까?

1. 로그인 및 비밀번호 도난

HTTP는 모든 것을 공개적으로 전송합니다 "공공 Wi-Fi 또는 라우터에 충분한 스나이퍼 및 공격자가있는 계정.

2. 세션 하이재킹

'안전한' 누출없이 쿠키를 세션하고 비밀번호없이 로그인 할 수 있습니다.

3. 페이지/세부 사항의 대체

모든 "중개자" 는 잘못된 KYC 양식을 신중하게 삽입하고 인출을 위해 카드/지갑 번호를 변경하며 지원 주소를 교체 할 수 있습니다.

4. 지불 대체 및 "보이지 않는" 형태

스크립트 주입은 지불 세부 정보를 변경하거나 숨겨진 자동 제출물을 추가합니다.

5. SSL- 스트리핑

"공식" 도메인이 HTTPS에 있더라도 네트워크의 공격자는 HSTS없이 거울에서 HTTP로 강제로 전환 할 수 있습니다.

6. 거울의 모습으로 피싱

인증서가없는 클론 (또는 자체 서명/왼쪽) 은 작업 거울로 위장하고 로그인, 2FA 및 카드 데이터를 수집합니다.

운영자에게도 불법/비용이 드는 이유

PCI DSS: HTTP에 카드 데이터를 입력하는 것은 직접적인 위반입니다. 벌금과 인수 철회가 위협 받고 있습니다.

GDPR/유사한 법률: HTTP에 의한 PII/KYC = 보안 위반 처리. 벌금 및 처방전의 위험.

라이센스 조건: 대부분의 규제 기관은 모든 곳에서 HTTPS와 개인/지불 데이터 보호가 필요합니다.

명성과 ADR: 보호되지 않은 거울에 누출 된 플레이어와의 분쟁은 거의 손실 될 수 있습니다.

SSL없이 거울에 대한 일반적인 공격-손가락에

Evil Twin Wi-Fi: 같은 이름의 가짜 점. 모든 HTTP의 트래픽을 읽거나 변경합니다.

디렉터리 스푸핑: 스푸핑은 원하는대로 이어지지 않습니다. HTTP에서보기가 어렵습니다.

공급자/프록시 주입: "도로에 광고/유해한 JS를 삽입하십시오".

브라우저의 기생충 확장: HTT 페이지에서만 지갑의 양식과 수를 변경합니다.

포획 포털 (호텔/공항): 승인 전에 HTTPS가 차단/교체되고 HTTP가 열려 있습니다. 이상적인 트랩입니다.

"하지만 성도 있습니다"... -우리는 신화를 분석

브라우저 잠금 장치는 HTTPS에만 있습니다. HTTPS가 없으면 "잠금" 이 없으며 이는 적기입니다.

자체 서명/유효하지 않은 인증서는 "정상이 아닙니다. "거의 항상 실수 나 MITM 시도입니다.

"지불이없고 로그인 만 있으면됩니다" -로그인은 돈보다 더 가치가 있습니다. 돈과 문서를 통해 도난 당할 것입니다.

플레이어가 30-60 초 안에 보안 도메인을 구별 할 수있는 방법

1. 주소는 오류없이 'https ://' 및 "잠금" 으로 엄격하게 표시됩니다.

2. 도메인 문자 간 편지: 'm' 대신 'rn', 라틴어 대신 키릴 문자가 없습니다.

3. "잠금" → 클릭시 SAN에서 신뢰할 수있는 CA가 인증서를 발급했습니다. 이것이 도메인입니다.

4. 로그인/지갑 페이지에는 "안전하지 않음" 또는 "혼합 콘텐츠" 경고가 없습니다.

5. 의심-북마크에서 메인 도메인으로 이동하여 캐비닛의 내부 링크에서만 미러로 이동하십시오.

빠른 확인 명령 (콘솔을 사용할 수있는 경우)

bash
(PHP 3 = 3.0.6, PHP 4) 예: 443-servername mirror. 예 -showcerts </devs/null 2 >/dev/null    openssl x509-noout-tative -issuer -dates-tex subjectAltName

컬 -sI 보안 헤더를 확인하십시오 https ://mirror. 예    grep -Ei의 엄격한 운송 보안    콘텐츠 보안 정책    x 컨텐츠 유형 옵션    x- 프레임 옵션    프레임 조상    추천 정책    세트 쿠키 '

HTTP가 HTTPS 컬 -http ://mirror로 리디렉션되는지 확인하십시오. 예

HTTPS가 작동/맹세하지 않으면 아무것도 입력하지 않습니다.

운영자가해야 할 일 (거울은 "성인" 이기도 함)

1. 어디에서나 HTTPS: TLS 1. 2/1. 3, 올바른 체인, HSTS 프리로드 (혼합 함량 제거 후).

2. STP 컨텐츠 금지: 엄격한 CSP, HTTPS 리소스 만 해당.

3. 모든 거울에서 HTTPS를 리디렉션했습니다. 동일한 쿠키 정책: '안전; HttpOnly; SameSite '.

4. CT 브랜드 모니터링: "유사한" 도메인에 대한 인증서의 새로운 발행-경고 및 검증.

5. DNA CAA 레코드: 도메인/하위 도메인 인증서를 발행 할 수있는 CA를 제한합니다.

6. mTLS 및 CDNA 암호화: 미러는 종종 프록시 뒤에 있습니다. 원산지 트래픽도 암호화됩니다.

7. 인증서 자동 갱신 + 경고: 만료 전날 30/14/7/1 일.

8. 공격 중 경고 배너: "우리는 HTTP에 대한 데이터를 요구하지 않습니다" + 보안 페이지 링크.

9. 피싱 미러의 테이크 다운 절차: 레지스트라/호스터, 브라우저 블록 목록, 광고 네트워크.

10. 민감한 동작에 대한 Passkeys/TOTP + 스텝 업-네트워크가 손상되었더라도 돈을 인출 할 수 없습니다.

플레이어 체크리스트

https ://및 책갈피에서만 로그인하십시오.
오류없이 "잠금"; 동일한 도메인에 대한 인증서.
브라우저가 인증서를 작성하지 않거나 맹세하는 경우 로그인/CCS/카드를 입력하지 마십시오.
2FA (Passkeys/TOTP) 및 입력/변경 알림 사용.
VPN을 통해서만 공개 Wi-Fi → 그렇지 않으면 안전한 네트워크를 기다리십시오.
의심의 여지가 있으면 메인 도메인으로 이동하여 "알림 "/" 보안" 섹션을 엽니 다.

운영자 점검표

TLS의 모든 거울 1. 2/1. 3, HSTS (+ 프리로드), 엄격한 CSP, 혼합 된 내용이 없습니다.
단일 리디렉션 TH → HTTPS, 쿠키 보안; HttpOnly; SameSite '.
CT 모니터링, DNS의 CAA, 인증서의 자동 갱신.
내부/웹 후크의 CDN과 mTLS 뒤에있는 TLS 암호화.
Passkeys/TOTP, 세부 사항/출력을 변경하기위한 스텝 업.
공격 중 보안 공개 페이지 및 인앱 경고.
피싱 클론에 대한 빠른 게시 중단 절차.

FAQ (짧은)

암호없이 로그인 만 입력 할 수 있습니다. 그냥 보시겠습니까?

아니요, 그렇지 않습니다. HTTP에 대한 모든 입력이 누출 될 수 있으며 로그인 + 다음에 비밀번호가 표시됩니다.

인증서가 한 시간 동안 "자체 서명" 되면 괜찮습니까?

아니요, 그렇지 않습니다. 브라우저 오류없이 인식 된 CA의 인증서 만 신뢰하십시오.

내 안티 바이러스가 왜 침묵 했습니까?

안티 바이러스가 항상 MITM/형태 대체를 잡는 것은 아닙니다. 서명 번호 1-인증서에서 HTTPS 또는 브라우저가 맹세하지 않습니다.

SSL이없는 거울은 계정, 돈 및 문서를 훔치기위한 초대입니다. 규칙은 간단합니다. 유효한 HTTPS가 없습니다 → 우리는 아무것도 입력하지 않습니 플레이어의 경우 도메인 만 책갈피로부터 보호하고 2FA를 사용할 수 운영자-HSTS, CSP, 리디렉션, CT 모니터링 및 피싱 클론의 빠른 제거와 같은 기본 사이트와 동일한 엄격한 SL 표준을 가진 미러. 사고 후 "브리핑" 보다 저렴하고 안전합니다.