Эмне үчүн SSL жок күзгүгө маалыматтарды киргизүү мүмкүн эмес

"Күзгү" - бул башка домендеги/поддомендеги сайттын көчүрмөсү. Гемблингде күзгүлөр көбүнчө кулпулоодо колдонулат. Эгерде күзгү HTTPS (SSL/TLS) жок ачылса, анда маалыматтарды киргизүү мүмкүн эмес: байланыш окулат жана жолдо өзгөрөт. Кеп "кафедеги хакерлер" жөнүндө гана эмес, ошондой эле аралык түйүндөр жөнүндө - жуккан роутерден провайдерге, прокси жана зыяндуу кеңейтүүгө чейин.

SSL жок так эмне туура эмес болот

1. Логин жана паролду уурдоо

HTTP баарын "ачык" өткөрөт. Жетиштүү sniffer 'a коомдук Wi-Fi же роутер менен - жана кол менен окуу.

2. Угон сессия (session hijacking)

'Secure' жок сессия кукилери агып кетет жана сиздин астыңызга сырсөзсүз кирүүгө мүмкүндүк берет.

3. Баракты/реквизиттерди алмаштыруу

Ар бир "ортомчу" байкабай KYC жалган түрүн киргизүү, чыгаруу үчүн карта/капчык номерин өзгөртүү, колдоо дарегин алмаштыруу мүмкүн.

4. Төлөмдөрдү алмаштыруу жана "көрүнбөгөн" формалар

Сценарийлерди киргизүү төлөм реквизиттерин өзгөртөт же жашыруун авто-сабмиттерди кошот - акча "эч жакка" учуп кетет.

5. SSL-stripping

HTTPS боюнча "расмий" домен болсо да, тармак чабуулчу күч менен HSTS жок күзгү боюнча HTTP сени түшүрүп алат.

6. күзгү жамынып Fishing

Сертификатсыз клон (же өзүн-өзү кол койгон/сол менен) жумушчу күзгүгө жамынып, логиндерди, 2FA жана карта маалыматтарын чогултат.

Эмне үчүн бул дагы мыйзамсыз/кымбат оператор үчүн

PCI DSS: HTTP карта маалыматтарды киргизүү - түздөн-түз бузуу. Айып пул жана эквайрингди кайра чакыртып алуу коркунучу бар.

GDPR/окшош мыйзамдар: PII/KYC боюнча HTTP = иштетүү коопсуздугун бузуу. Айыптардын жана көрсөтмөлөрдүн тобокелдиктери.

Лицензиялык шарттар: көпчүлүк жөнгө салуучулар бардык жерде HTTPS жана жеке/төлөм маалыматтарын коргоону талап кылышат.

кадыр-баркы жана ADR: корголбогон күзгү боюнча агып оюнчу менен талаш дээрлик жоголуп кепилдик берилет.

SSL жок күзгү боюнча типтүү кол салуулар - манжалары

Evil Twin Wi-Fi: ошол эле аты менен жасалма чекит. Бардык HTTP жол окулат/өзгөрөт.

DNS-спуфинг: DNS жооп алмаштыруу сиз ойлогон жерде туура эмес алып келет. HTTP байкоо кыйын.

Провайдер/прокси-инъекция: жарнамалык/зыяндуу JS "жолдо" киргизүү.

Кеңейтүү-браузерде мите: HTTP-беттеринде гана капчыктардын формаларын жана номерлерин өзгөртөт.

Каптив порталдары (мейманканалар/аэропорттор): HTTPS авторизацияланганга чейин блоктолот/алмаштырылат, ал эми HTTP ачык - идеалдуу тузак.

"Бирок ошол эле сепил бар..." - уламыштарды талдоо

Браузер кулпусу HTTPS гана бар. HTTPS жок эч кандай "кулпу" жок - бул кызыл желек.

Өзүн-өзү кол койгон/эмес күбөлүк - "нормалдуу" эмес. Бул дээрлик ар дайым ката же MITM аракет болуп саналат.

"Ал жерде эч кандай төлөмдөр жок, жөн гана логин" - логин акчага караганда баалуу: ал аркылуу акча да, документтер да уурдалат.

Оюнчу 30-60 секунданын ичинде коопсуз доменди айырмалай алат

1. Дареги катуу 'https ://' жана "кулпу" катасыз.

2. Домен тамга-тамга: эч кандай 'rn' ордуна 'm', латын арибинин ордуна кириллица.

3. Click "кулпу" → күбөлүк ишенимдүү CS тарабынан берилген, SAN - бул домен болуп саналат.

4. Кирүү/капчык беттеринде "Not secure" же "Mixed content" деген эскертүүлөр жок.

5. Күмөн - негизги доменге кыстармадан кирип, кабинеттин ички шилтемелеринен гана күзгүлөргө өтүңүз.

Fast текшерүү буйруктары (эгер консолун билсе)

bash
чынжырды жана SAN openssl s_client -connect mirror көрсөтүү. example:443 -servername mirror. example -showcerts </dev/null 2>/dev/null      openssl x509 -noout -subject -issuer -dates -ext subjectAltName

Коопсуздук аталыштарын текшерүү curl -sI https ://mirror. example      grep -Ei 'strict-transport-security    content-security-policy    x-content-type-options    x-frame-options    frame-ancestors    referrer-policy    set-cookie'

HTTP HTTPS curl -I http ://mirror. example

HTTPS иштебесе/сөгүнсө - эч нерсе киргизбейбиз.

Оператор эмне кылууга милдеттүү (күзгү да "бойго жеткен")

1. HTTPS бардык жерде: TLS 1. 2/1. 3, туура чынжыр, HSTS preload (mixed content жоюу кийин).

2. HTTP мазмунуна тыюу салуу: катуу CSP, гана HTTPS-ресурстар.

3. Бардык күзгүлөрдө HTTP → HTTPS Redirect, бирдей cookie саясаты: 'Secure; HttpOnly; SameSite`.

4. CT-бренд мониторинг: "окшош" доменге жаңы күбөлүк берүү - алерт жана текшерүү.

5. CAA DNS жазуулар: кайсы CS домен/поддомендер боюнча күбөлүктөрдү бере алат чектөө.

6. mTLS жана шифрлөө "CDN үчүн": күзгүлөр көбүнчө прокси үчүн отурат - origin чейин трафик да шифрленет.

7. Auto сатуу күбөлүктөрү + Алерт: 30/14/7/1 күн аяктаганга чейин.

8. Кол салуу учурундагы баннер-эскертүү: "Биз эч качан HTTP боюнча маалыматтарды сурабайбыз" + коопсуздук баракчасына шилтеме.

9. Фишинг күзгүлөрү үчүн Takedown процедуралары: регистратор/хостер, браузердик блоктор, жарнамалык тармактар.

10. Passkeys/TOTP + step-up сезимтал иш-аракеттер боюнча - ал тургай, тармак компромисс акча алуу мүмкүн эмес.

Оюнчунун чек тизмеси

Кирүү https ://жана кыстарма аркылуу гана.
"Castle" ката жок; ошол эле домен үчүн күбөлүк.
Эгер браузер Not secure жазып же күбөлүк ант болсо, логин/KUS/картаны киргизүү эмес.
2FA (Passkeys/TOTP) жана кирүү/өзгөртүү жөнүндө эскертмелерди киргизүү.
Коомдук Wi-Fi → гана VPN аркылуу, болбосо коопсуз тармак күтүп.
Ар кандай шектенүү - негизги доменге барып, "Билдирүүлөр "/" Коопсуздук "бөлүмүн ачыңыз.

Оператордун чек тизмеси

TLS бардык күзгүлөр 1. 2/1. 3, HSTS (+ preload), катуу CSP, эч кандай аралаш мазмун.
HTTP → HTTPS бирдиктүү редирект, cookie 'Secure; HttpOnly; SameSite`.
CT мониторинг, DNS CAA, Auto-сатуу күбөлүктөрү.
CDN жана mTLS үчүн TLS шифрлөө ички/вебхуктарда.
Passkeys/TOTP, реквизиттерди алмаштыруу/чыгаруу үчүн кадам.
Коомдук бет "Коопсуздук" жана кол салуу учурунда in-app эскертүү.
Fast takedown фишинг клондорунун жол-жоболору.

FAQ (кыска)

Сиз гана логин, сырсөзсүз киргизе аласыз - жөн гана карап?

Жок. HTTP боюнча ар бир киргизүү агып мүмкүн, жана логин + кийин сырсөз - классикалык уурулук байламтасы.

Ал эми бир саатка "өзүн-өзү кол койгон" сертификат болсо - бул туура?

Жок. Браузерде ката кетирбестен, жалпы таанылган CC сертификаттарына гана ишениңиз.

Эмне үчүн менин антивирусу унчукпай калды?

Антивирус дайыма эле MITM/форманы алмаштырууну кармай бербейт. белги № 1 - жок HTTPS же браузер күбөлүк ант берет.

SSL жок күзгү эсеп, акча жана документтерди уурдоо үчүн чакыруу болуп саналат. Эреже жөнөкөй: эч кандай тастыкталган HTTPS → эч нерсе кирбейт. Оюнчулар үчүн - корголгон кыстарма домендери жана 2FA камтылган. Операторлор үчүн - негизги сайт менен бирдей катуу TLS стандарттары бар күзгүлөр: HSTS, CSP, редакторлор, CT-мониторинг жана фишинг клондорун тез алып салуу. Бул окуядан кийин ар кандай "талдоо" арзан жана коопсуз болуп саналат.