De ce nu puteți introduce date pe oglinzi fără SSL

O „oglindă” este o copie a unui site pe un domeniu/subdomeniu diferit. În jocurile de noroc, oglinzile sunt adesea folosite pentru blocare. Dacă oglinda se deschide fără HTTPS (SSL/TLS), nu puteți introduce date acolo: conexiunea este citită și se schimbă pe drum. Nu este vorba doar despre „hackeri într-o cafenea”, ci și despre noduri intermediare - de la un router infectat la un furnizor, un proxy și o extensie dăunătoare.

Ce anume poate merge prost fără SSL

1. Furt de autentificare și parolă

HTTP transmite totul "în mod deschis. "Suficient sniffer în public Wi-Fi sau pe un router - și un cont cu un atacator.

2. Deturnarea sesiunii

Cookie-urile de sesiune fără scurgeri „Secure” și vă permit să vă conectați fără parolă.

3. Înlocuirea paginii/detalii

Orice „intermediar” poate introduce discret un formular KYC fals, poate schimba numărul cardului/portofelului pentru retragere și poate înlocui adresa de asistență.

4. Înlocuirea plăților și formularele „invizibile”

Script injecție modifică detaliile de plată sau adaugă ascuns auto-submitts - bani zboară „nicăieri”.

5. SSL-stripping

Chiar dacă domeniul „oficial” este pe HTTPS, un atacator din rețea vă poate forța să coborâți la HTTP pe o oglindă fără HSTS.

6. Phishing sub masca unei oglinzi

O clonă fără certificat (sau cu auto-semnat/stânga) se deghizează într-o oglindă de lucru și colectează date de conectare, 2FA și card.

De ce este, de asemenea, ilegal/scump pentru operator

PCI DSS: introducerea datelor cardului pe HTTP este o încălcare directă. Amenzile şi retragerea achiziţiei sunt ameninţate.

GDPR/legi similare: PII/KYC by HTTP = procesarea încălcării securității. Riscurile de amenzi și prescripții.

Condiții de licențiere: majoritatea autorităților de reglementare solicită HTTPS peste tot și protecția datelor personale/de plată.

Reputația și ADR: o dispută cu un jucător atunci când se scurge pe o oglindă neprotejată este aproape garantată a fi pierdută.

Atacuri tipice asupra oglinzilor fără SSL - pe degete

Evil Twin Wi-Fi: Un punct fals cu același nume. Tot traficul HTTP este citit/schimbat.

DNS spoofing: spoofing răspunsul DNS nu duce în cazul în care te-ai gândit că ar fi. Este greu de văzut pe HTTP.

Furnizor/proxy injection: introduceți publicitatea/JS dăunătoare „pe drum”.

Extensia parazitului în browser: modifică formularele și numerele portofelelor numai pe paginile HTTP.

Portaluri captive (hoteluri/aeroporturi): înainte de autorizare, HTTPS este blocat/înlocuit, iar HTTP este deschis - o capcană ideală.

„Dar există şi un castel”... - analizăm mituri

Browser-ul de blocare este numai pe HTTPS. Fără HTTPS, nu există „blocare” - și acesta este un steag roșu.

Un certificat auto-semnat/nevalid nu este "normal. "Este aproape întotdeauna fie o greșeală, fie o încercare MITM.

„Nu există plăți, doar o autentificare” - o autentificare este mai valoroasă decât banii: atât banii, cât și documentele vor fi furate prin intermediul acesteia.

Cum un jucător poate distinge un domeniu securizat în 30-60 de secunde

1. Adresa este strict cu „https ://” și„ blocare ”fără erori.

2. Domain letter-to-letter: no 'rn' în loc de' m ', chirilic în loc de latină.

3. Făcând clic pe „blocare” → certificatul a fost emis de AC de încredere, în SAN - acesta este domeniul.

4. Nu există avertismente "Nu sunt sigure" sau "Conținut mixt' pe paginile de conectare/portofel.

5. Îndoiți-vă - mergeți de la marcaj la domeniul principal și mergeți la oglinzi numai din legăturile interne ale cabinetului.

Comenzi de verificare rapidă (dacă puteți utiliza consola)

bash
Afișați lanțul și openssl SAN s_client -oglindă conectată. exemplu: 443 -servername oglindă. example -showcerts </dev/null 2 >/dev/null    openssl x509 -nout -subiect -emitent -dates -ext subiectAltName

Verificați anteturile de securitate curl -sI https ://oglindă. exemplu    grep -Ei 'strict-transport-securitate    content-security-policy    x-content-type-options    x-frame-opțiuni    cadre-strămoși    politica de trimitere    set-cookie '

Asigurați-vă că HTTP redirecționează către HTTPS curl -I http ://mirror. exemplu

Dacă HTTPS nu funcționează/jură, nu introducem nimic.

Ce este operatorul obligat să facă (oglinzile sunt, de asemenea, „adulte”)

1. HTTPS peste tot: TLS 1. 2/1. 3, lanț corect, preîncărcare HSTS (după eliminarea conținutului mixt).

2. Interziceți conținutul HTTP: CSP strict, numai resurse HTTPS.

3. Redirecționați HTTP→HTTPS pe toate oglinzile, aceeași politică de cookie: 'Secure; HttpOnly; SameSite '.

4. Monitorizarea mărcii CT: eliberarea unui nou certificat pentru un domeniu „similar” - alertă și verificare.

5. Înregistrările CAA DNS: restricționați care CA pot emite certificate de domeniu/subdomeniu.

6. Criptarea mTLS și CDN: oglinzile stau adesea în spatele proxy-urilor - traficul către origine este, de asemenea, criptat.

7. Reînnoirea automată a certificatelor + alerte: 30/14/7/1 zi înainte de expirare.

8. Banner de avertizare în timpul atacurilor: „Nu cerem niciodată date despre HTTP” + link către pagina de securitate.

9. Proceduri Takedown pentru oglinzi de phishing: registrar/hoster, liste de bloc browser, rețele de anunțuri.

10. Passkeys/TOTP + pas-up pe acțiuni sensibile - chiar dacă rețeaua este compromisă, nu veți putea retrage bani.

Lista de verificare a jucătorului

Conectați-vă numai la https ://și din marcaj.
„Blocare” fără erori; certificat pentru același domeniu.
Nu introduceți autentificarea/CCS/card dacă browserul scrie Nu este sigur sau înjură la certificat.
Activați 2FA (Passkeys/TOTP) și notificările de intrare/schimbare.
Public Wi-Fi → numai prin VPN, altfel așteptați o rețea sigură.
Orice îndoieli - mergeți la domeniul principal și deschideți secțiunea „Notificări „/” Securitate „.

Lista de verificare a operatorului

Toate oglinzile de pe TLS 1. 2/1. 3, HSTS (+ preîncărcare), CSP strict, fără conținut mixt.
HTTP→HTTPS de redirecționare unică, cookie 'Secure; HttpOnly; SameSite '.
Monitorizarea CT, CAA în DNS, reînnoirea automată a certificatelor.
Criptare TLS în spatele CDN și mTLS pe interne/webhooks.
Passkeys/TOTP, pas-up pentru a schimba detalii/ieșire.
Securitate publică pagină și în aplicație alerte în timpul atacurilor.
Proceduri rapide de eliminare a clonelor de phishing.

Întrebări frecvente (scurt)

Puteți introduce doar dvs. de conectare, fără o parolă - doar uite?

Nu, nu este. Orice intrare pe HTTP se poate scurge, iar autentificarea + urmată de o parolă este un pachet clasic pentru furt.

Și dacă certificatul este „auto-semnat” timp de o oră - este OK?

Nu, nu este. Credeți numai certificatele din CA recunoscute fără erori de browser.

De ce antivirusul meu a fost tăcut?

Antivirusul nu prinde întotdeauna MITM/substituție de formă. Semnați nr. 1 - nici un HTTPS sau browser-ul jură la certificat.

O oglindă fără SSL este o invitație de a fura un cont, bani și documente. Regula este simplă: nu există HTTPS valabil → nu introducem nimic. Pentru jucători - numai domenii protejate de marcaje și 2FA activat. Pentru operatori - oglinzi cu aceleași standarde stricte TLS ca site-ul principal: HSTS, CSP, redirecționări, monitorizarea CT și eliminarea rapidă a clonelor de phishing. Este mai ieftin și mai sigur decât orice „debriefing” după incident.