Неге SSL-сіз деректерді айнаға енгізуге болмайды

«Айна» - бұл сайттың басқа домен/домен астындағы көшірмесі. Гемблингте айналар бұғаттау кезінде жиі қолданылады. Егер айна HTTPS (SSL/TLS) жоқ ашылса, онда деректерді енгізуге болмайды: қосылым жолда оқылады және өзгертіледі. Бұл тек «дәмханадағы хакерлер» туралы ғана емес, сонымен қатар аралық тораптар туралы - жұқтырылған роутерден бастап провайдерге дейін, прокси және зиянды кеңейту туралы.

SSL-сіз нақты не дұрыс емес болуы мүмкін

1. Логин мен парольді ұрлау

HTTP барлығын «ашық күйге» жібереді. Көпшілік Wi-Fi-да немесе маршрутизаторда sniffer 'a жеткілікті - және жәбірленушінің оқуы.

2. Сессияны айдап әкету (session hijacking)

'Secure' сеанстық кукилері ағып кетеді және сіздің астыңызға құпия сөзсіз кіруге мүмкіндік береді.

3. Бет/деректемелерді ауыстыру

Кез келген «делдал» байқамай KYC жалған пішінін енгізіп, шығару үшін карта/әмиян нөмірін өзгерте алады, қолдау мекенжайын ауыстыра алады.

4. Төлемдерді ауыстыру және «көрінбейтін» нысандар

Скрипттерді инъекциялау төлем деректемелерін өзгертеді немесе жасырын авто-сабмиттерді қосады - ақша «ешқайда» ұшып кетеді.

5. SSL-stripping

Тіпті HTTPS-дегі «ресми» домен болса да, желідегі қаскүнем сізді HSTS-сіз айнада HTTP-ге түсіре алады.

6. Айна тәрізді фишинг

Сертификаты жоқ (немесе өзі қол қойған/сол жағы бар) клон жұмыс айнасы ретінде бүркемеленеді және логиндерді, 2FA мен карта деректерін жинайды.

Неліктен бұл оператор үшін заңсыз/қымбат

PCI DSS: HTTP карталық деректерді енгізу - тікелей бұзушылық. Айыппұлдар мен эквайрингті қайтарып алу қаупі бар.

GDPR/ұқсас заңдар: HTTP бойынша PII/KYC = өңдеу қауіпсіздігін бұзу. Айыппұлдар мен ұйғарымдардың тәуекелдері.

Лицензиялық шарттар: көптеген реттеушілер барлық жерде HTTPS және жеке/төлем деректерін қорғауды талап етеді.

Абыройы мен ADR: Ойыншымен арадағы дау қорғалмаған айнадан шығып кетуі мүмкін.

SSL жоқ айналардағы үлгілік шабуылдар - саусақтарда

Evil Twin Wi-Fi: сол атаудағы жалған нүкте. Барлық HTTP трафигі оқылады/өзгертіледі.

DNS-спуфинг: DNS жауабын ауыстыру сіз ойлаған жерге апармайды. HTTP-де байқау қиын.

Провайдерлік/прокси-инъекция: жарнамалық/зиянды JS «жолда» қою.

Браузердегі кеңейтім-паразит: әмиян пішіндері мен нөмірлерін тек HTTP беттерінде ғана өзгертеді.

Каптив-порталдар (қонақ үйлер/әуежайлар): HTTPS авторизацияланғанға дейін бұғатталады/ауыстырылады, ал HTTP ашық - тамаша тұзақ.

«Бірақ сол жерде құлып...» - аңыздарды талдап жатырмыз

Шолғыштың кілті тек HTTPS-де бар. HTTPS жоқ ешқандай «құлып» жоқ - бұл қызыл ту.

Өздігінен қол қойылған/жалған емес сертификат - «қалыпты» емес. Бұл әрқашан қате немесе MITM әрекеті.

«Онда төлемдер жоқ, жай ғана логин» - ақшадан да құнды логин: ол арқылы ақша да, құжаттар да ұрланады.

Қауіпсіз доменді 30-60 секундта қалай ажыратуға болады

1. Мекен-жайы қатесіз 'https ://' және' кілтімен.

2. Домен әріп-әріп: 'm' орнына ешқандай 'rn', латын әліпбиінің орнына кириллица.

3. «Құлып» түртіңіз → сертификат сенімді ҚО-ға берілді, SAN - дәл осы домен.

4. Кіріс/әмиян беттерінде «Not secure» немесе «Mixed content» деген ескертулер жоқ.

5. Күмән келтірсеңіз, бетбелгіден негізгі доменге өтіп, кабинеттің ішкі сілтемелерінен ғана айнаға көшіңіз.

Жылдам тексеру пәрмендері (егер консольге кіре алсаңыз)

bash
SAN openssl s_client -connect mirror тізбегін көрсету. example:443 -servername mirror. example -showcerts </dev/null 2>/dev/null      openssl x509 -noout -subject -issuer -dates -ext subjectAltName

curl -sI https ://mirror қауіпсіздік тақырыптарын тексеру. example      grep -Ei 'strict-transport-security    content-security-policy    x-content-type-options    x-frame-options    frame-ancestors    referrer-policy    set-cookie'

HTTP HTTPS curl -I http ://mirror. example

Егер HTTPS жұмыс істемесе/ант берсе, ештеңе енгізбейміз.

Оператор не істеуге міндетті (айналар да «ересек»)

1. HTTPS барлық жерде: TLS 1. 2/1. 3, түзету тізбегі, HSTS preload (mixed content жойылғаннан кейін).

2. HTTP мазмұнына тыйым салу: қатаң CSP, тек HTTPS ресурстары.

3. Барлық айналардағы HTTP → HTTPS редирект, cookie саясаты бірдей: 'Secure; HttpOnly; SameSite`.

4. CT-бренд мониторингі: «ұқсас» доменге жаңа сертификат беру - алерт және тексеру.

5. CAA DNS жазбалары: қандай CS домен/домен астындағы куәліктерді бере алатынын шектеу.

6. mTLS және шифрлау «CDN»: айналар көбінесе прокси артында отырады - origin дейінгі трафик та шифрланады.

7. Автоматтандырылған сертификаттар + алерталар: 30/14/7/1 күннің аяқталуына дейін.

8. Шабуыл кезінде баннер ескерту: «Біз ешқашан HTTP деректерін сұрамаймыз» + қауіпсіздік бетіне сілтеме.

9. Фишингтік айналар үшін Takedown процедуралары: тіркеуші/хост, браузерлік блок-парақтар, жарнама желілері.

10. Passkeys/TOTP + step-up сезімтал әрекеттерде - желіні сындырған кезде де ақшаны шығару мүмкін емес.

Ойыншының чек парағы

Тек https ://және бетбелгіден кіру.
«Құлып» қатесіз; сол доменнің куәлігі.
Егер браузер Not secure жазса немесе сертификатқа ант берсе, логинді/АКҚ/картаны енгізбеңіз.
2FA (Passkeys/TOTP) және кіріс/өзгерістер туралы хабарламаларды қосу.
Көпшілік Wi-Fi → тек VPN арқылы, әйтпесе қауіпсіз желіні күтіңіз.
Кез келген күдік - негізгі доменге өтіп, «Хабарландырулар «/» Қауіпсіздік »бөлімін ашыңыз.

Оператордың чек парағы

TLS 1-дегі барлық айналар. 2/1. 3. HSTS (+ preload), қатаң CSP, ешқандай mixed content.
HTTP → HTTPS бірыңғай редирект, cookie 'Secure; HttpOnly; SameSite`.
CT-мониторинг, DNS-дегі CAA, сертификаттарды автоматты түрде шығару.
CDN және mTLS үшін TLS шифрлау.
Passkeys/TOTP, деректемелерді ауыстыру/шығару үшін step-up.
Ашық бет «Қауіпсіздік» және шабуыл кезінде in-app ескерту.
Фишингтік клондардың жылдам takedown процедуралары.

FAQ (қысқаша)

Тек логин енгізуге болады, құпия сөзсіз - жай ғана көруге бола ма?

Жоқ. HTTP-ке кез келген енгізу ағып кетуі мүмкін, ал логин + құпия сөз - ұрлау үшін классикалық байланыс.

Ал егер бір сағатқа «өзі қол қойған» сертификат болса - бұл жарайды ма?

Жоқ. Шолғышта қатесіз жалпы танылған ЦС сертификаттарына ғана сеніңіз.

Неге менің антивирус үндемеді?

Антивирус әрқашан MITM/пішінді ауыстыруды ұстай алмайды. № 1 белгісі - HTTPS жоқ немесе браузер сертификатқа ант береді.

SSL жоқ айна - бұл шотты, ақшаны және құжаттарды ұрлауға шақыру. Ереже қарапайым: дұрыс HTTPS → жоқ. Ойыншылар үшін - тек 2FA қосылған бетбелгілерден қорғалған домендер. Операторлар үшін - негізгі сайт сияқты қатаң TLS стандарттары бар айналар: HSTS, CSP, редакторлар, CT-мониторинг және фишингтік клондарды тез алып тастау. Бұл оқиғадан кейінгі кез келген «ұшуды талдаудан» арзан және қауіпсіз.