Чаро шумо маълумотро дар оинаҳо бе SSL ворид карда наметавонед

"Оина" нусхаи сайт дар домени/subdomain дигар аст. Дар қимор оинаҳо аксар вақт барои бастан истифода мешаванд. Агар оина бе HTTPS (SSL/TLS) кушода шавад, шумо ба он ҷо маълумот ворид карда наметавонед: пайвастшавӣ хонда мешавад ва дар роҳ тағир меёбад. Ин на танҳо дар бораи "ҳакерҳо дар қаҳвахона", балки дар бораи гиреҳҳои фосилавӣ - аз роутери сироятшуда то провайдер, прокси ва тамдиди зараровар аст.

Бе SSL чӣ метавонад хато кунад

1. Дуздии вуруд ва парол

HTTP ҳама чизро "ошкоро интиқол медиҳад. "Кофии кофӣ дар Wi-Fi ё роутер - ва ҳисоб бо ҳамлагар.

2. Ҷаласаи рабудан

Cookies session бе ихроҷи 'Secure' ва ба шумо имкон медиҳад, ки бе парол ворид шавед.

3. Иваз намудани саҳифа/тафсилот

Ҳар як "миёнарав" метавонад эҳтиёткорона шакли KYC-и бардурӯғро гузорад, рақами корт/ҳамёнро барои бозхонд иваз кунад ва суроғаи дастгирӣ иваз кунад.

4. Ивазкунии пардохт ва шаклҳои "ноаён"

Тазриқи скрипт тафсилоти пардохтро тағир медиҳад ё пешниҳоди пинҳонии худкорро илова мекунад - пашшаҳои пулӣ "дар ҳеҷ куҷо" нестанд.

5. SSL-кашидан

Ҳатто агар домени "расмӣ" дар HTTPS бошад, ҳамлагар дар шабака метавонад шуморо ба HTTP дар оина бидуни HSTS маҷбур кунад.

6. Фишинг зери ниқоби оина

Клон бидуни шаҳодатнома (ё бо имзои худ/чап) худро ҳамчун оинаи корӣ пинҳон мекунад ва воридшавӣ, 2FA ва кортро ҷамъ мекунад.

Чаро он барои оператор ғайриқонунӣ/гарон аст

PCI DSS: ворид кардани маълумот дар бораи корт дар HTTP вайронкунии мустақим аст. Ҷаримаҳо ва бозхонди ба даст овардан таҳдид мекунанд.

GDPR/қонунҳои шабеҳ: PII/KYC аз ҷониби HTTP = коркарди вайронкунии амният. Хатари ҷарима ва дорухат.

Шароити иҷозатномадиҳӣ: аксари танзимгарон HTTPS-ро дар ҳама ҷо ва ҳифзи маълумоти шахсӣ/пардохт талаб мекунанд.

Эътибор ва ADR: баҳс бо бозингар ҳангоми оинаи ҳифзнашуда қариб кафолат дода мешавад.

Ҳамлаҳои маъмулӣ ба оинаҳо бидуни SSL - ба ангуштҳо

Бад дугоник Wi-Fi: Нуқтаи қалбакӣ бо ҳамон ном. Тамоми трафики HTTP хонда/иваз карда шудааст.

Ғоратгарии DNS: ғорат кардани ҷавоби DNS ба он ҷое, ки шумо гумон мекардед, оварда намерасонад. Дар HTTP дидан душвор аст.

Тазриқи провайдер/прокси: реклама/JS зарароварро "дар роҳ" гузоред.

Васеъшавии паразит дар браузер: шаклҳо ва шумораи ҳамёнҳоро танҳо дар саҳифаҳои HTTP иваз мекунад.

Порталҳои асир (меҳмонхонаҳо/фурудгоҳҳо): пеш аз иҷозат додан, HTTPS баста/иваз карда мешавад ва HTTP кушода аст - доми беҳтарин.

"Аммо як қалъа низ ҳаст"... - мо афсонаҳоро таҳлил мекунем

Қулфи браузер танҳо дар HTTPS аст. Бе HTTPS, "қулф" вуҷуд надорад - ва ин парчами сурх аст.

Шаҳодатномаи худсохти/беэътибор "муқаррарӣ" нест. "Ин қариб ҳамеша ё хато аст ё кӯшиши MITM.

"Ягон пардохт нест, танҳо як вуруд" - воридшавӣ аз пул гаронтар аст: ҳам пул ва ҳам ҳуҷҷатҳо тавассути он дуздида мешаванд.

Чӣ гуна бозингар метавонад домени бехатарро дар 30-60 сония фарқ кунад

1. Суроға ба таври қатъӣ бо 'https ://' ва "қулф" бидуни хато аст.

2. Ҳарфи ҳарф ба ҳарф: не 'rn' ба ҷои 'm', кириллӣ ба ҷои лотинӣ.

3. Ангуштзанӣ ба "қулф" → шаҳодатнома аз ҷониби CA-ҳои боэътимод дода шудааст, дар SAN - ин домен аст.

4. Дар саҳифаҳои вуруд/ҳамён ягон огоҳии "Бехатар нест" ё "Мундариҷаи омехта" мавҷуд нест.

5. Шубҳа кунед - аз хатчӯб ба домени асосӣ гузаред ва танҳо аз пайвандҳои дохилии кабинет ба оинаҳо равед.

Фармонҳои санҷиши тез (агар шумо метавонед консолро истифода баред)

bash
Намоиши занҷир ва SAN openssl s_client -connect. мисол: 443 - оинаи номӣ. мисол -showcerts </dev/null 2 >/dev/null    openssl x509 -nout -subject -issuer -dates -ext субъект

Сарлавҳаҳои амнияти curl -SI-ро санҷед https ://оина. намуна    grep -Ei 'қатъии нақлиёт-амният    мундариҷа-амният-сиёсат    x-мундариҷа-намуди-имконот    x-чорчӯба-имконот    чорчӯба-ниёгон    реферат-сиёсат    сет-кук '

Боварӣ ҳосил кунед, ки HTTP ба HTTPS curl -I http ://оина равона мешавад. намуна

Агар HTTPS кор накунад/қасам хӯрад, мо ба ҳеҷ чиз ворид намешавем.

Оператор вазифадор аст, ки чӣ кор кунад (оинаҳо низ "калонсолон" мебошанд)

1. HTTPS дар ҳама ҷо: TLS 1. 2/1. 3, занҷири дуруст, сарбории HSTS (пас аз бартараф кардани мундариҷаи омехта).

2. Мундариҷаи HTTP-ро манъ кунед: танҳо CSP, захираҳои HTTPS.

3. HTTP → HTTPS-ро дар ҳама оинаҳо равона кунед, сиёсати якхелаи кукиҳо: 'Бехатар; Танҳо Http; Ҳамон сайт '.

4. Мониторинги бренди CT: додани шаҳодатномаи нав барои домени "шабеҳ" - ҳушдор ва санҷиш.

5. Сабтҳои DNS CAA: маҳдуд кунед, ки кадом CA-ҳо шаҳодатномаҳои домейн/subdomain дода метавонанд.

6. Шифргузории MTLS ва CDN: оинаҳо аксар вақт дар паси шахсони боэътимод нишастаанд - трафик ба пайдоиш низ рамзгузорӣ шудааст.

7. Таҷдиди худкори сертификатҳо + огоҳиҳо: 30/14/7/1 рӯз пеш аз ба охир расидани мӯҳлат.

8. Парчами огоҳкунанда ҳангоми ҳамлаҳо: "Мо ҳеҷ гоҳ маълумотро дар HTTP намепурсем" + истинод ба саҳифаи амният.

9. Тартиби гирифтани оинаҳои фишинг: бақайдгиранда/хостер, рӯйхати блокҳои браузер, шабакаҳои таблиғотӣ.

10. Passkeys/TOTP + қадам ба қадам дар амалҳои ҳассос - ҳатто агар шабака осеб дида бошад ҳам, шумо пулро гирифта наметавонед.

Рӯйхати бозингарон

Танҳо дар https ://ва аз bookmark ворид шавед.
"Қулф" бе хатогӣ; шаҳодатнома барои ҳамон домен.
Вуруд/CCS/кортро ворид накунед, агар браузер менависад Бехатар нест ё дар сертификат қасам мехӯрад.
2FA (Passkeys/TOTP) ва огоҳиномаҳои вуруд/тағиротро фаъол созед.
Wi-Fi ҷамъиятӣ → танҳо тавассути VPN, вагарна шабакаи бехатарро интизор шавед.
Ҳама гуна шубҳа - ба домени асосӣ равед ва бахши "Огоҳиҳо "/" Амният "-ро кушоед.

Рӯйхати назоратии оператор

Ҳама оинаҳо дар TLS 1. 2/1. 3, HSTS (+ пешакӣ), CSP-и қатъӣ, мундариҷаи омехта нест.
Самти ягонаи HTTP → HTTPS, cookie 'Secure; Танҳо Http; Ҳамон сайт '.
Мониторинги CT, CAA дар DNS, навсозии худкори сертификатҳо.
Рамзгузории TLS дар паси CDN ва m
Гузарвожаҳо/TOTP, қадам ба қадам барои тағир додани тафсилот/натиҷа.
Саҳифаи ҷамъиятии амният ва огоҳиҳои дохили барнома ҳангоми ҳамлаҳо.
Тартиби зуд ба даст овардани клонҳои фишинг.

FAQ (кӯтоҳ)

Шумо танҳо вуруди худро ворид карда метавонед, бе гузарвожа - танҳо нигоҳ кунед?

Не, ин тавр нест. Ҳама гуна вуруд ба HTTP метавонад ихроҷ шавад ва вуруд + ва пас аз он парол як бастаи классикӣ барои дуздӣ мебошад.

Ва агар шаҳодатнома барои як соат "худ имзо" карда шавад - оё ин дуруст аст?

Не, ин тавр нест. Танҳо сертификатҳоро аз CA-ҳои эътирофшуда бе хатогиҳои браузер эътимод кунед.

Чаро антивируси ман хомӯш монд?

Антивирус на ҳамеша ивазкунии MITM/шаклро мегирад. Имзои № 1 - HTTPS ё браузер дар шаҳодатнома қасам ёд намекунад.

Оина бе SSL даъватнома барои дуздии суратҳисоб, пул ва ҳуҷҷатҳо мебошад. Қоида оддӣ аст: HTTPS-и дурусте вуҷуд надорад, ки мо ба ҳеҷ чиз ворид нашавем. Барои бозингарон - танҳо доменҳои ҳифзшуда аз хатчӯбҳо ва 2FA фаъол мебошанд. Барои операторон - оинаҳое, ки стандартҳои қатъии TLS-ро дар сайти асосӣ доранд: HSTS, CSP, масир, мониторинги КТ ва зуд бартараф кардани клонҳои фишинг. Ин нисбат ба ҳама гуна "таназзул" пас аз ин ҳодиса арзонтар ва бехатартар аст.