Gemengde inhoud agter ’n VPN: herstel die hulpbron, nie die tonnel nie

’n HTTPS-bladsy wat skrifte oor HTTP laai, doen twee versoeke met twee verskillende vlakke van beskerming, en die hangslot beskryf net die eerste. ’n Tonnel verander dit nie, want dit beskerm die draer eerder as die hulpbron se eie skema. Die blaaier sê reeds watter versoek misluk het, as jy die konsole lees in plaas van die adresbalk. Drie kontroles neem jou van ’n bladsy wat half werk na ’n werklike herstelling.

Lees die versoek, nie die adresbalk nie

’n Dokument wat oor HTTPS afgelaai word, kan ’n skrip, stilblad, lettertipe of raam oor gewone HTTP verwys. Dié verwysing is ’n aparte versoek, en dit is die een waaroor die blaaier kla. Die hoofdokument se beskerming reis nie terug daarin nie, en die tonnel wat beide strome dra, verander nie een skema nie. Die bladsy kan dus terselfdertyd werklik veilig en werklik stukkend wees.

Om die hulpbron bloot ’n ingeslote lêer te noem, maak nie die vervanging daarvan onskadelik nie.

As onveilige skripinhoud onderweg verander en dan uitgevoer kan word, kan dit verander hoe die bladsy optree, wat ’n groter probleem is as ’n kosmetiese fout. Prente dra ’n kleiner maar werklike risiko wanneer hulle onderweg gewysig word. Die hangslot lieg oor niks. Dit beantwoord ’n smaller vraag as die een wat jy gevra het.

Weet watter hulpbronne geblokkeer en watter opgegradeer word

Blaaiers behandel nie elke tipe hulpbron dieselfde nie. Die leiding oor gemengde inhoud skei versoeke wat na HTTPS opgegradeer word van versoeke wat heeltemal geblokkeer word, met skrifte, stilblaaie en programmatiese versoeke aan die geblokkeerde kant, terwyl prente en media eerder opgegradeer of gemerk kan word.

Dié verskil verduidelik die verwarrende verslae. ’n Bladsy met ’n geblokkeerde skrip verloor ’n funksie heeltemal, terwyl ’n bladsy met ’n opgegradeerde prent goed lyk en sy versoek stilweg verander het. Die gedokumenteerde kategorieë het ook uitsonderings, so moenie aanvaar dat elke URL van ’n gegewe tipe suksesvol sal opgradeer nie. Lees wat die konsole oor die spesifieke versoek sê eerder as om uit ’n lêeruitbreiding te redeneer.

’n Geblokkeerde widget is nie bewys dat die tonnel gefaal het nie. Dit is bewys dat die blaaier sy werk gedoen het.

Herstel die verwysing by sy bron

Vir ’n webwerf-eienaar hoort die herstelling waar die onveilige URL geskryf is: ’n sjabloon, ’n stilblad, ’n skrip wat URL’s saamstel, of ’n derdeparty-komponent. Om die sigbare bladsyadres te verander, laat al daardie dinge ongeraak. Soek die bron vir die gasheer en herstel elke verwysing eerder as net die een wat die konsole toevallig genoem het.

Bevestig dan dat die hulpbron werklik oor HTTPS met geldige identiteit gelewer word, want ’n skema-omruiling kan nie ’n diens tower wat nooit daar gepubliseer is nie.

grep -rn "http://assets.example" ./templates
curl -sSI https://assets.example/widget.js | head -n 1

Volg ook aansture, want ’n verwysing wat met HTTPS begin, kan steeds op ’n gewone-teks afleweringsroete beland. Waar ’n afhanklikheid eenvoudig geen veilige aflewering het nie, verwyder of vervang dit deur die normale veranderingsproses eerder as om ’n noodoplossing te verskeep. Vir ’n gebruiker, laat die blaaierbeskermings aan en rapporteer die hulpbron-URL, sy tipe en die konsoleboodskap aan die eienaar van die webwerf. Moet nooit instruksies versprei wat personeel sê om onveilige inhoud vir een bladsy toe te laat nie, want daardie uitsondering oorleef die voorval wat dit veroorsaak het.

Toets die bladsy weer soos gebruikers dit aanraak

Oefen die bewerkings wat hulpbronne op aanvraag laai, nie net die eerste dokument nie. Bladsye haal bykomende kode, data en aflaaie ná ’n knoppiedruk, en daardie versoeke is dikwels die onveilige een. Bevestig die spesifieke versoeke en die sigbare gedrag met beskerming steeds aan. ’n Toets wat met ’n verslapte blaaierprofiel begin, kan jou nie wys wat ’n normale gebruiker sien nie.

Die tonnel het steeds sy eie werk, en daardie werk is netwerktoegang eerder as bladsy-integriteit.

Sodra verkeer die tonnel se eindpunt verlaat, het enige oorblywende HTTP-versoek niks by die draer gewen nie. Herstel die hulpbronroete en hou die blaaierhandhawing in plek. Om nóg ’n vervoerlaag as ’n herstelling vir ’n onveilige afhanklikheid te behandel, is hoe ’n span uiteindelik met ’n helpdesk-skrip sit wat die beheer uitskakel wat korrek gewerk het.