HTTPS-i VPN vasitəsilə ilk sorğuya necə çevirmək olar

İlk olaraq http:// yazan və yönləndirmədən sonra https:// üzərinə düşən brauzer aydın şəkildə bir sorğu göndərib və VPN bunu dəyişmir. Tunel, ayağı müştəridən çıxış düyününə qədər qoruyur; o, nəqliyyat qatının üstündəki heç nəyi şifrələmir, ona görə də çıxış və mənbə arasındakı müşahidəçi hələ də açıq mətn hopunu görür. HTTPS-in ilk sorğunun edilməsi üç hissədən ibarət müştəri tərəfində dəyişiklikdir: həqiqi HTTPS ünvanı, brauzerin təkmilləşdirmə rejimi və saytın öz siyasəti. Aşağıdakı addımlar mənim istifadə etdiyim sıradır, hər birində bunun olub-olmadığını göstərən çek var.

Addım 1: ilk sorğunun əslində nə olduğunu təsdiqləyin

Hər şeyi dəyişməzdən əvvəl brauzerin nə göndərdiyinə baxın. Soyuq keşdən yenidən yüklənmiş səhifə ilə şəbəkə panelini açın və birinci sıranı oxuyun: əgər sxem http və status 301 və ya 308-dirsə, bu sətirdən sonra hər şey ikinci sorğudur. curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' http://example.com brauzerdən kənarda eyni ardıcıllığı təkrarlayır və daxil olduğunuz URL-i çap edir.

İki nəticə mümkündür və onlara müxtəlif düzəlişlər lazımdır. Sayt eyni hostda HTTPS xidmət göstərirsə, həll HTTP formasının dərcini dayandırmaqdır: əlfəcin, wiki keçidini, iş masası qısayolunu və insanların klik etdiyi e-poçt şablonunu yeniləyin. Sayt ümumiyyətlə HTTPS-ə xidmət etmirsə, heç bir brauzer parametri onu yaratmayacaq və dürüst cavab budur ki, təyinat problemdir. İstisna ilə ikinci halı kağıza köçürməyin, çünki hesab səhifəsindəki sertifikat istisnası nəqliyyat problemini etimadnamə probleminə çevirir. Parametrə toxunmazdan əvvəl hansı vəziyyətdə olduğunuzu yazın.

Addım 2: brauzerin yalnız HTTPS rejimini yandırın

Təkmilləşdirmə rejimi ikinci hissədir və rejimlər bir-birini əvəz edə bilməz. Onu aktiv etməzdən əvvəl sizin nə etdiyini yoxlayın: səssizcə təkmilləşdirin, xəbərdarlıqla təkmilləşdirin və ya yükləməkdən imtina edin.

Firefox-da idarəetmələr about:config arxasında və məxfilik parametrləri səhifəsində, keçid olaraq dom.security.https_only_mode və asma kilid menyusundan idarə olunan hər bir sayt istisna olmaqla, mövcuddur. Chrome və Edge-də eyni fikir Parametrlər, Məxfilik və təhlükəsizlik, Təhlükəsizlik, Həmişə təhlükəsiz bağlantılardan istifadə et etiketi altında yerləşir. Etiket nə olursa olsun, yalnız 80-ci portda cavab verən hosta qarşı davranışı yoxlayın, çünki təkmilləşən və sonra səssizcə geri düşən rejim sizin aktivləşdirdiyiniz qoruma deyil. Yalnız Firefox HTTPS sənədləri həmin brauzer üçün təkmilləşdirmə, xəbərdarlıq və istisna davranışını açıqlayır.

Addım 3: yalnız ünvan çubuğunu deyil, resursları düzəldin

Təkmilləşdirmə uğursuz olduqda, ünvan paneli əvəzinə dəqiq xətanı oxuyun. HTTPS dinləyicisi olmayan host, sertifikata uyğun gəlməyən host adı və vaxtı keçmiş zəncir fərqli mesajlar yaradır və fərqli sahiblərə məxsusdur. Yalnız birincisi server tərəfində boşluqdur; ikincisi adətən heç vaxt yenilənməmiş əlfəcindir; üçüncüsü, VPN bağlantısının əhəmiyyətsiz olduğu yenilənmə problemidir.

VPN aktiv olduğu üçün hesab saytına sertifikat istisnası əlavə etməyin. İstisna VPN-in qarşısını almaq üçün nəzərdə tutulmuş müdaxiləni dəqiq tuta biləcək yoxlamanı deaktiv edir.

Üçüncü hissə səhifənin içərisindədir və insanların darıxdığı bir hissədir. HTTPS üzərindən yüklənən səhifə hələ də http URL-dən şəkillər, şriftlər və ya skriptləri çəkə bilər və brauzer ya onları bloklayacaq, ya da bütün səhifə üçün təhlükəsizlik göstəricisini azaldacaq. Şəbəkə panelində uğursuz sorğuları yoxlayın və ünvan çubuğunun hər sorğunu təsvir etdiyini güman etməkdənsə, resurs istinadlarını onların sahibinə düzəldin. İşlətdiyiniz saytda bu, brauzerdə yenidən yazmaq əvəzinə CMS-də və ya şablonda saxlanılan URL-ləri düzəltmək deməkdir. Mənbəni dəyişə bilmirsinizsə, qarışıq məzmunu məlum boşluq kimi qeyd edin, çünki açıq mətn resurslarını çəkən səhifənin üzərindəki asma kilid yanlış siqnaldır.

Addım 4: HSTS nə əlavə edir, nəyi etmir

HSTS brauzer seçimindən daha çox sayt siyasətidir və bu, təzə profildə yazılmış http://-dan sağ çıxan yeganə mexanizmdir. Brauzer host üçün Strict-Transport-Security başlığını gördükdən sonra o, https-ə göndərilməzdən əvvəl sonrakı sorğuları yenidən yazır ki, bu da tam olaraq istədiyiniz xüsusiyyətdir. Brauzerin heç vaxt ziyarət etmədiyi host üçün və eyni tətbiqə xidmət edən fərqli host adı üçün heç nə etmir.

Mənşənin curl -sSI https://example.com | grep -i strict-transport-security ilə nə göndərdiyini yoxlayın. Çatışmayan başlıq server dəyişikliyidir və müştərinin quraşdıra biləcəyi bir şey deyil. Əgər varsa, max-age və includeSubDomains təyin olunub-olunmadığını oxuyun, çünki ziyarətlər arasında qısa bir maksimum yaş başa çatır və əskik includeSubDomains hər bir alt domeni müdafiəsiz qoyur. RFC 6797 istifadəçi agentinin siyasəti necə tətbiq etdiyini və onun nəyə məhəl qoymadığını müəyyən edir. Əvvəlcədən yükləmə ayrıca öhdəlikdir, ona görə də domenin siyahıda olduğunu hər kəsə söz verməzdən əvvəl hstspreload.org API vasitəsilə statusu yoxlayın.

Doğrulama və geri qaytarma

Geri qaytarma müştəri parametrləri üçün ucuz, HSTS üçün isə bahadır. Yalnız HTTPS rejiminin söndürülməsi əvvəlki davranışı dərhal bərpa edir; uzun maksimum yaş yoxdur və onu artıq almış ziyarətçilər müddəti bitənə qədər təkmilləşdirməyə davam edirlər.

Beləliklə, tamamlandı deyə zəng etməzdən əvvəl sıra ilə yoxlayın. Soyuq keşdən yenidən yükləyin və şəbəkə panelindəki ilk sorğunun əvvəlki yönləndirmə olmadan https olduğunu təsdiqləyin. Sonra subdomaini yoxlayın, çünki includeSubDomains bu siyasətlərin adətən güman ediləndən daha dar olduğu yerdir. Sonra üçüncü tərəfin aktivlərini cəlb edən bir səhifəni yoxlayın, çünki qarışıq məzmun bütün digər düzəlişlərdən xilas olan uğursuzluqdur.

Bütün bunlardan sonra ilk sorğu hələ də http-dirsə, müştəri artıq dəyişən deyil: insanların klik etdiyi linkdir. Host adının http forması üçün nəzarət etdiyiniz yerləri axtarın, onları yeniləyin və eyni soyuq keş yenidən yükləmə ilə yenidən sınaqdan keçirin. VPN sualını ayrı saxlayın, çünki Tunel sorğunu görə bilənləri dəyişir və sorğunun şifrələnib-şifrələnib-şifrələnmədiyini heç vaxt dəyişməz. Biletə daxil edilməli olan xətt ondan ibarətdir ki, ilk sorğu vacib olandır və yönləndirmə yalnız artıq göndərilmiş sorğu üçün qəbzdir.