Neden SSL olmadan aynalara veri giremiyorsunuz?

"Ayna", bir sitenin farklı bir etki alanı/alt etki alanındaki bir kopyasıdır. Kumarda, aynalar genellikle engelleme için kullanılır. Ayna HTTPS (SSL/TLS) olmadan açılırsa, oraya veri giremezsiniz: bağlantı okunur ve yolda değişir. Bu sadece'bir kafedeki bilgisayar korsanları'ile ilgili değil, aynı zamanda enfekte bir yönlendiriciden bir sağlayıcıya, bir proxy'ye ve zararlı bir uzantıya kadar ara düğümlerle de ilgilidir.

SSL olmadan tam olarak ne yanlış gidebilir

1. Giriş ve şifre hırsızlığı

HTTP her şeyi "açıkça" iletir. Herkese açık Wi-Fi'de veya bir yönlendiricide yeterince sniffer - ve bir saldırganla bir hesap.

2. Oturum kaçırma

'Güvenli' sızıntısı olmayan oturum çerezleri ve şifre olmadan giriş yapmanıza izin verir.

3. Sayfa/detayların değiştirilmesi

Herhangi bir "aracı", sahte bir KYC formu ekleyebilir, para çekme için kart/cüzdan numarasını değiştirebilir ve destek adresini değiştirebilir.

4. Ödeme ikamesi ve "görünmez" formlar

Komut dosyası enjeksiyonu ödeme ayrıntılarını değiştirir veya gizli otomatik gönderimler ekler - para "hiçbir yere" uçar.

5. SSL-sıyırma

"Resmi" alan adı HTTPS'de olsa bile, ağdaki bir saldırgan sizi HSTS'siz bir aynada HTTP'ye zorlayabilir.

6. Ayna kisvesi altında phishing

Sertifikası olmayan bir klon (veya kendinden imzalı/solda) kendisini çalışan bir ayna olarak gizler ve girişleri, 2FA ve kart verilerini toplar.

Operatör için neden yasadışı/pahalı?

PCI DSS: HTTP'ye kart verilerini girmek doğrudan bir ihlaldir. Para cezaları ve edinimin geri çekilmesi tehdit altındadır.

GDPR/benzer yasalar: HTTP tarafından PII/KYC = işleme güvenlik ihlali. Ceza ve reçete riskleri.

Lisanslama koşulları: Çoğu düzenleyici her yerde HTTPS ve kişisel/ödeme verilerinin korunmasını gerektirir.

İtibar ve ADR: Korunmasız bir aynaya sızdırıldığında bir oyuncuyla olan anlaşmazlığın kaybedilmesi neredeyse garanti edilir.

SSL'siz aynalara tipik saldırılar - parmaklarda

Evil Twin Wi-Fi: Aynı adı taşıyan sahte bir nokta. Tüm HTTP trafiği okunur/değiştirilir.

DNS sahteciliği: DNS yanıtının sahteciliği, düşündüğünüz yere yönlendirmez. HTTP'de görmek zor.

Sağlayıcı/proxy enjeksiyonu: reklam/zararlı JS "yolda" ekleyin.

Tarayıcıdaki parazit uzantısı: Cüzdanların formlarını ve sayılarını yalnızca HTTP sayfalarında değiştirir.

Esir portallar (oteller/havaalanları): yetkilendirmeden önce, HTTPS engellenir/değiştirilir ve HTTP açıktır - ideal bir tuzak.

"Ama bir de şato var"... - mitleri analiz ediyoruz

Tarayıcı kilidi sadece HTTPS üzerindedir. HTTPS olmadan, "kilit" yoktur - ve bu kırmızı bir bayraktır.

Kendinden imzalı/geçersiz sertifika "normal" değildir. Neredeyse her zaman ya bir hata ya da bir MITM girişimidir.

"Hiçbir ödeme yok, sadece bir giriş" - bir giriş paradan daha değerlidir: hem para hem de belgeler çalınacaktır.

Bir oyuncu güvenli bir etki alanını 30-60 saniyede nasıl ayırt edebilir?

1. Adres kesinlikle 'https ://'ve' kilit'ile hatasız.

2. Domain letter-to-letter:'m 'yerine' rn 'yok, Latince yerine Kiril.

3. "Kilit'e tıklamak - sertifika SAN'da güvenilir CA'lar tarafından verildi - bu alan adıdır.

4. Giriş/cüzdan sayfalarında "Güvenli değil" veya "Karışık içerik" uyarıları yoktur.

5. Şüphe - yer iminden ana alana gidin ve aynalara sadece kabinin iç bağlantılarından gidin.

Hızlı kontrol komutları (konsolu kullanabiliyorsanız)

bash
Zinciri ve SAN openssl s_client -connect aynasını göster. Örnek: 443 -servername ayna. Örnek -showcerts </dev/null 2 >/dev/null    openssl x509 -noout -subject -issuer -dates -ext subjectAltName

Curl -sI güvenlik başlıklarını kontrol edin https ://mirror. örnek    Grep -Ei 'sıkı-taşıma-güvenlik    İçerik-güvenlik-politikası    x-content-type-options    x-frame-options    Çerçeve-ataları    yönlendirici-politika    Set-cookie '

HTTP'nin HTTPS curl -I http ://mirror'a yönlendirildiğinden emin olun. örnek

HTTPS çalışmazsa/yemin ederse, hiçbir şey girmeyiz.

Operatör ne yapmakla yükümlüdür (aynalar da "yetişkin'dir)

1. Her yerde HTTPS: TLS 1. 2/1. 3, doğru zincir, HSTS ön yüklemesi (karışık içeriğin ortadan kaldırılmasından sonra).

2. HTTP içeriğini yasaklayın: katı CSP, yalnızca HTTPS kaynakları.

3. Tüm aynalar, aynı çerez politikası üzerinde HTTP> HTTPS yönlendirin: 'Güvenli; HttpOnly; SameSite '.

4. CT marka izleme: "benzer'bir etki alanı için bir sertifikanın yeni verilmesi - uyarı ve doğrulama.

5. DNS CAA kayıtları: hangi CA'ların etki alanı/alt etki alanı sertifikaları verebileceğini kısıtlar.

6. mTLS ve CDN şifrelemesi: Aynalar genellikle proxy'lerin arkasına oturur - orijine giden trafik de şifrelenir.

7. Sertifikaların otomatik yenilenmesi + uyarılar: Sona ermeden 30/14/7/1 gün önce.

8. Saldırılar sırasında uyarı başlığı: "Asla HTTP'de veri istemiyoruz" + güvenlik sayfasına bağlantı.

9. Kimlik avı aynaları için yayından kaldırma prosedürleri: kayıt sorumlusu/hoster, tarayıcı blok listeleri, reklam ağları.

10. Hassas eylemlerde Geçiş Anahtarları/TOTP + adımı - ağ tehlikeye girse bile, para çekemezsiniz.

Oyuncu kontrol listesi

Yalnızca https ://adresinden ve yer iminden giriş yapın.
Hatasız "Kilit"; aynı etki alanı için sertifika.
Tarayıcı güvenli değil yazıyorsa veya sertifikaya küfür ediyorsa oturum açma/CCS/kartı girmeyin.
2FA (Passkeys/TOTP) ve giriş/değişiklik bildirimlerini etkinleştirin.
Yalnızca VPN üzerinden halka açık Wi-Fi, aksi takdirde güvenli bir ağ bekleyin.
Herhangi bir şüphe - ana etki alanına gidin ve "Bildirimler "/" Güvenlik "bölümünü açın.

Operatörün kontrol listesi

TLS 1'deki tüm aynalar. 2/1. 3, HSTS (+ ön yükleme), sıkı CSP, karışık içerik yok.
Tek yönlendirme HTTP> HTTPS, çerez 'Güvenli; HttpOnly; SameSite '.
CT izleme, DNS'de CAA, sertifikaların otomatik yenilenmesi.
Dahili/webhook'larda CDN ve mTLS'nin arkasında TLS şifrelemesi.
Geçiş Anahtarları/TOTP, ayrıntıları/çıkışı değiştirmek için adım atın.
Saldırılar sırasında güvenlik genel sayfası ve uygulama içi uyarılar.
Kimlik avı klonları için hızlı kaldırma prosedürleri.

SSS (kısa)

Şifre olmadan yalnızca giriş bilgilerinizi girebilirsiniz - sadece bakın?

Hayır. HTTP üzerindeki herhangi bir girdi sızabilir ve giriş + ardından bir şifre hırsızlık için klasik bir pakettir.

Ve sertifika bir saatliğine "kendinden imzalı'ise - sorun olur mu?

Hayır. Tarayıcı hataları olmadan tanınan CA'lardan yalnızca sertifikalara güvenin.

Antivirüsüm neden sessizdi?

Antivirüs her zaman MITM/form ikamesini yakalamaz. 1 Numaralı İmzala - HTTPS yok veya tarayıcı sertifikaya yemin ediyor.

SSL'siz bir ayna, bir hesabı, parayı ve belgeleri çalmak için bir davettir. Kural basit: geçerli bir HTTPS yok - hiçbir şey girmiyoruz. Oyuncular için - yalnızca yer imlerinden korunan alanlar ve etkin 2FA. Operatörler için - ana site ile aynı sıkı TLS standartlarına sahip aynalar: HSTS, CSP, yönlendirmeler, CT izleme ve kimlik avı klonlarının hızlı bir şekilde kaldırılması. Olaydan sonra herhangi bir "bilgilendirme'den daha ucuz ve daha güvenlidir.