Näme üçin SSL bolmasa aýnalara maglumatlary girizip bilmersiňiz?

"Aýna" - başga bir domen/alt domen sahypasynyň göçürmesi. Gemblingde aýnalar köplenç blokirlemekde ulanylýar. Eger aýna HTTPS (SSL/TLS) bolmasa açylsa, onda maglumatlary girizip bolmaz: baglanyşyk ýolda okalýar we üýtgedilýär. Bu diňe bir "kafede hakerler" hakda däl, eýsem ýokaşan marşrutizatordan üpjün edijä, proksi we zyýanly giňelişe çenli aralyk düwünler hakda-da.

SSL bolmasa näme nädogry bolup biler

1. Giriş we paroly ogurlamak

HTTP hemme zady aç-açan iberýär. Jemgyýetçilik Wi-Fi-da ýa-da marşrutizatorda sniffer 'a ýeterlik - we hüjümçiden okuw.

2. Sessiýany ogurlamak (session hijacking)

'Secure' -siz session çerezleri akýar we parolsyz aşagyňyza girmäge mümkinçilik berýär.

3. Sahypany/jikme-jiklikleri çalyşmak

Islendik "araçy" KYC-niň ýalan görnüşini ýuwaşlyk bilen goýup, yzyna almak üçin kartyň/gapjygyň belgisini üýtgedip, goldaw salgysyny çalşyp biler.

4. Tölegleri çalyşmak we "görünmeýän" görnüşler

Skriptleri sanjym etmek töleg jikme-jikliklerini üýtgedýär ýa-da gizlin awto-sabmitleri goşýar - pul "hiç ýere" uçýar.

5. SSL-stripping

HTTPS-de "resmi" domen bar bolsa-da, tordaky hüjümçi sizi HSTS-siz aýnada HTTP-e mejbur edip biler.

6. Aýna fişing

Şahadatnamasyz klon (ýa-da öz-özüni gol çeken/çep) iş aýnasy hökmünde gizlenýär we loginleri, 2FA we kart maglumatlaryny ýygnaýar.

Näme üçin bu hem operator üçin bikanun/gymmat?

PCI DSS: HTTP-e kartoçka maglumatlaryny girizmek - göni düzgün bozma. Jerimeler we ekwaýringi yzyna almak howpy abanýar.

GDPR/şuňa meňzeş kanunlar: HTTP boýunça PII/KYC = gaýtadan işlemegiň howpsuzlygyny bozmak. Jerimeleriň we görkezmeleriň töwekgelçiligi.

Ygtyýarnama şertleri: düzgünleşdirijileriň köpüsi hemme ýerde HTTPS we şahsy/töleg maglumatlaryny goramagy talap edýär.

Abraý we ADR: Goragsyz aýnada syzdyrylanda oýunçy bilen jedelleşmek ýeňiler diýen ýaly.

SSL-siz aýna hüjümleri - barmaklarda

"Evil Twin Wi-Fi": şol bir at bilen galp nokat. HTTP traffiginiň hemmesi okalýar/üýtgedilýär.

DNS-spufing: DNS jogap çalyşmagy pikir edýän ýeriňize eltmeýär. HTTP-de görmek kyn.

Üpjün ediji/proxy-sanjym: mahabat/zyýanly JS-ni "ýolda" goýmak.

Brauzerde parazit giňeltmek: gapjyklaryň görnüşlerini we belgilerini diňe HTTP sahypalarynda üýtgedýär.

Kaptiw-portallary (myhmanhanalar/howa menzilleri): HTTPS ygtyýarlylandyrylmazdan ozal blokirlenýär/çalşylýar, HTTP bolsa açylýar - ajaýyp duzak.

"Ýöne şol bir gala..." - mifleri derňeýäris

Brauzer gulpy diňe HTTPS-de bar. HTTPS bolmasa "gala" ýok - bu gyzyl baýdak.

Öz-özüne gol çekilen/berilmedik şahadatnama "adaty" däl. Bu hemişe diýen ýaly ýalňyşlyk ýa-da MITM synanyşygy.

"Ol ýerde töleg ýok, diňe giriş" - login puldan has gymmatly: onuň üsti bilen pul we resminamalar ogurlanar.

Oýunçy 30-60 sekuntda howpsuz domeni nädip tapawutlandyrmaly

1. Adres gaty 'https ://' we' gulp 'bilen ýalňyşlyksyz.

2. Domen harp-harp: 'm' ýerine 'rn', latyn harpynyň ýerine kiril harpy ýok.

3. "Gulp" basmak → şahadatnama ynanylan CC tarapyndan berildi, SAN-da - hut şu domen.

4. Giriş/gapjyk sahypalarynda "Not secure" ýa-da "Mixed content" duýduryşy ýok.

5. Şübhelenýärsiňiz - nyşandan esasy domene giriň we diňe kabinetiň içerki baglanyşyklaryndan aýnalara geçiň.

Çalt barlamak buýruklary (konsola girip bilseňiz)

bash
SAN openssl s_client -connect mirror example:443 -servername mirror. example -showcerts </dev/null 2>/dev/null      openssl x509 -noout -subject -issuer -dates -ext subjectAltName

curl -sI https ://mirror howpsuzlyk sözbaşylaryny barla. example      grep -Ei 'strict-transport-security    content-security-policy    x-content-type-options    x-frame-options    frame-ancestors    referrer-policy    set-cookie'

HTTP-iň HTTPS curl -I http ://mirror. example

HTTPS işlemese/ant içse, hiç zady girizmeýäris.

Operator näme etmeli (aýnalar hem "ulular ýaly")

1. HTTPS hemme ýerde: TLS 1. 2/1. 3, dogry zynjyr, HSTS preload (mixed content ýatyrylandan soň).

2. HTTP mazmunyny gadagan etmek: berk CSP, diňe HTTPS çeşmeleri.

3. Ähli aýnalarda HTTP → HTTPS redaksiýasy, şol bir kuki syýasaty: 'Secure; HttpOnly; SameSite`.

4. Markanyň CT-monitoringi: "meňzeş" domen üçin täze şahadatnama bermek - alert we barlag.

5. DNS-daky CAA ýazgylary: haýsy CC-leriň domen/alt domen üçin şahadatnama berip biljekdigini çäklendirmek.

6. mTLS we şifrlemek "CDN üçin": aýnalar köplenç proxy üçin oturýar - origine çenli traffik hem şifrlenýär.

7. Şahadatnamalaryň awtomatiki berilmegi + alertler: möhleti gutarmanka 30/14/7/1 gün.

8. Hüjüm wagtynda banner duýduryşy: "Biz hiç haçan HTTP-e maglumat soramaýarys" + howpsuzlyk sahypasyna baglanyşyk.

9. Fişing aýnalary üçin takedown-proseduralary: bellige alyjy/hoster, brauzer blok sahypalary, mahabat torlary.

10. Passkeys/TOTP + step-up duýgur hereketlerde - toruň eglişigi bilen hem pul çykarmak mümkin bolmaz.

Oýunçynyň çek sanawy

Giriş diňe https ://we nyşanyndan.
"Gala" ýalňyşlyksyz; şol bir domen üçin şahadatnama.
Brauzer Not secure ýazsa ýa-da şahadatnama üçin ant içse, giriş/KUS/kartany girizmäň.
2FA (Passkeys/TOTP) we giriş/üýtgeşmeler baradaky habarnamalary goşuň.
Köpçülige açyk Wi-Fi → diňe VPN arkaly, ýogsam howpsuz tora garaşyň.
Islendik şübhe - esasy domene gidiň we "Habarnamalar "/" Howpsuzlyk "bölümini açyň.

Operatoryň çek sanawy

TLS-daky ähli aýnalar 1. 2/1. 3, HSTS (+ preload), berk CSP, mixed content ýok.
HTTP → HTTPS ýeke-täk redaksiýasy, cookie 'Secure; HttpOnly; SameSite`.
CT-gözegçilik, DNS-de CAA, awtoulag şahadatnamalary.
Içerki/webhuklarda CDN we mTLS üçin TLS şifrlemek.
Passkeys/TOTP, jikme-jiklikleri çalyşmak/çykarmak üçin step-up.
Hüjümler wagtynda "Howpsuzlyk" we in-app duýduryş sahypasy.
Fişing klonlarynyň çalt takedown proseduralary.

FAQ (gysgaça)

Diňe giriş, parolsyz girip bilersiňizmi?

Ýok. HTTP-e islendik giriş syzyp biler, giriş paroly bolsa ogurlyk üçin nusgawy baglanyşyk bolup biler.

Bir sagatlap "öz-özüni gol çeken" şahadatnama bolsa - bu gowy?

Ýok. Diňe brauzerde ýalňyşlyksyz umumy ykrar edilen CC şahadatnamalaryna ynanyň.

Näme üçin antivirusym dymdy?

Antivirus elmydama MITM/form çalyşmasyny tutmaýar. 1-nji belgi - HTTPS ýok ýa-da brauzer şahadatnamany käýinýär.

SSL-siz aýna - hasaby, puly we resminamalary ogurlamaga çagyryş. Düzgün ýönekeý: ygtybarly HTTPS ýok → hiç zady girizmeýäris. Oýunçylar üçin - diňe nyşanlardan we 2FA-dan goralýan domenler. Operatorlar üçin - esasy sahypa ýaly berk TLS standartlary bolan aýnalar: HSTS, CSP, baş direktorlar, CT-gözegçilik we fişing klonlaryny çalt aýyrmak. Bu wakadan soň islendik "uçuşlar" -dan arzan we howpsuzdyr.