為什麼不使用SSL就無法在鏡像上輸入數據

「鏡像」是其他域/子域上站點的副本。在彈出中，鏡子通常用於鎖定。如果鏡像在沒有HTTPS （SSL/TLS）的情況下打開,則無法在此處輸入數據：連接在路上讀取和更改。這不僅涉及「咖啡館中的黑客」，還涉及中間節點-從受感染的路由器到提供商，代理和有害擴展。

沒有SSL可能會出什麼問題

1.竊取登錄名和密碼

HTTP將所有內容傳遞給「打開」。在公共Wi-Fi或路由器上,sniffer'a就足夠了,攻擊者也知道了。

2.劫持會議（會議hijacking）

沒有「安全」的會話cookie泄漏並允許您無需密碼即可登錄到您下面。

3.更換頁面/道具

任何「中間人」都可以謹慎地插入虛假的KYC表格，更改卡/錢包編號以進行輸出，並替換支持地址。

4.替代付款和「隱形」形式

註入腳本會改變付款細節或添加隱藏的自動安全帶-金錢將「飛到無處」。

5.SSL-stripping

即使是HTTPS上的「官方」域，網絡上的攻擊者也可以在沒有HSTS的鏡像上強行將您放下HTTP。

6.偽裝成鏡子的網絡釣魚

沒有證書的克隆（或具有自簽名/左簽名）偽裝成工作鏡，並收集登錄名，2FA和卡數據。

為什麼這對運營商來說也是違法/昂貴的

PCI DSS：在HTTP上輸入卡數據-直接違規。罰款和收購召回將面臨。

GDPR/類似法律：通過HTTP的PII/KYC=違反處理安全性。罰款和處方的風險。

許可條款：大多數監管機構要求HTTPS無處不在,並保護個人/支付數據。

聲譽和ADR：在未保護的鏡子上泄漏時與玩家的爭執幾乎可以保證會失敗。

不含SSL鏡像的典型攻擊-手指

Evil Twin Wi-Fi：同名的假點。所有HTTP流量都讀取/更改。

DNS欺騙：DNS反應的替代不是你想到的。在HTTP上很難發現。

提供商/代理註入：在路上插入廣告/有害JS。

瀏覽器中的擴展寄生蟲：僅在HTTP頁面上更改錢包的形狀和編號。

下降門戶（酒店/機場）：在授權之前,HTTPS被阻塞/替換,HTTP被打開是一個完美的陷阱。

「但是那裏的城堡……」-解開神話

瀏覽器鎖僅在HTTPS上。沒有HTTPS，就沒有「鎖」-這是紅旗。

自簽名/非驗證證書不是「正常」。這幾乎總是錯誤或MITM嘗試。

「沒有付款，只是登錄」-登錄比金錢更有價值：錢和文件都將通過它被盜。

如何在30到60秒內區分安全域

1.該地址嚴格帶有「https：//」和「鎖定」，沒有錯誤。

2.字母-字母域：沒有「rn」而不是「m」，西裏爾字母代替拉丁字母。

3.「鎖」點擊→證書頒發給受信任的CA，在SAN中正是這個域。

4.登錄/錢包頁面上沒有「不安全」或「混合內容」警告。

5.懷疑-退出主域的書簽,然後僅從內部文件室鏈接切換到鏡像。

快速驗證命令（如果能進入控制臺）

bash
顯示鏈和SAN openssl s_client-connect鏡。example:443 -servername mirror.example -showcerts </dev/null 2>/dev/null      openssl x509 -noout -subject -issuer -dates -ext subjectAltName

檢查curl-sI https： //mirror安全標題。example      grep -Ei 'strict-transport-security    content-security-policy    x-content-type-options    x-frame-options    frame-ancestors    referrer-policy    set-cookie'

確保HTTP重定向到HTTPS curl -I http： //mirror。example

如果HTTPS不起作用/發誓-則不輸入任何內容。

操作員必須做什麼（鏡子也「成年」）

1.HTTPS無處不在：TLS 1。2/1.3、正確鏈條,HSTS preload（消除混合內容後）。

2.禁止HTTP內容：嚴格的CSP,只有HTTPS資源。

3.Redirect HTTP→HTTPS在所有鏡子上，相同的Cookie策略： '安全；HttpOnly;SameSite`.

4.品牌的CT監視：「相似」域的新證書頒發-警報和驗證。

5.DNS中的CAA條目：限制哪個CA可以為域/子域頒發證書。

6.mTLS和CDN後面的加密：鏡像通常坐在代理後面-起源之前的流量也被加密。

7.汽車銷售證書+Alerta： 30/14/7/1天到期。

8.攻擊期間的橫幅警告：「我們從不要求HTTP上的數據」+安全頁鏈接。

9.網絡釣魚鏡像的Takedown過程：記錄器/主機,瀏覽器流程表,廣告網絡。

10.Passkeys/TOTP+在敏感活動上保持一致-即使網絡受到損害，也無法提取資金。

玩家的支票清單

僅通過https：//和書簽登錄。
「城堡」沒有錯誤；同一域的證書。
如果瀏覽器寫不安全或向證書發誓,請不要輸入登錄名/KUS/卡。
啟用2FA （Passkeys/TOTP）和輸入/更改通知。
公共Wi-Fi僅通過VPN →，否則等待安全網絡。
任何疑問-進入主域並打開「通知「/」安全」部分。

運營商支票清單

TLS 1上的所有鏡子。2/1.3、HSTS（+preload）,嚴格CSP,沒有混合內容。
Unified Redirect HTTP→HTTPS，Cookie 'Secure；HttpOnly;SameSite`.
CT監視，DNS中的CAA，證書自動銷售。
CDN和mTLS背後的TLS加密在內部/網絡包中。
Passkeys/TOTP，逐步更換道具/輸出。
攻擊期間的「安全」公共頁面和應用程序內警告。
網絡釣魚克隆的快速取出過程。

常見問題（簡稱）

只能輸入登錄,沒有密碼-只看嗎?

沒有。HTTP上的任何輸入都可能泄漏,並且登錄名+緊隨其後的密碼是盜竊的經典捆綁。

如果「自我簽名」一個小時的證書是好的？

沒有。僅信任來自公認的CA的證書而不會在瀏覽器中出現錯誤。

為什麼我的防病毒保持沈默？

防病毒並不總是捕獲MITM/表單欺騙。符號1-沒有HTTPS或瀏覽器對證書發誓。

沒有SSL的鏡像是竊取帳戶，金錢和文檔的提示。規則很簡單：沒有有效的HTTPS →沒有引入任何東西。對於玩家，只有書簽中的受保護域和包含的2FA。對於操作員，鏡像具有與主要站點相同的TLS標準：HSTS，CSP，重新導演，CT監視和快速刪除網絡釣魚克隆。事件發生後，它比任何「飛行分析」更便宜，更安全。