VPN arxasında qarışıq məzmun: resursu düzəlt, tuneli yox

HTTP üzərindən skript yükləyən HTTPS səhifəsi iki fərqli qorunma səviyyəsi ilə iki sorğu göndərir və kilid yalnız birincisini təsvir edir. Tunel bunu dəyişmir, çünki o, resursun öz sxemini deyil, daşıyıcını qoruyur. Brauzer hansı sorğunun uğursuz olduğunu artıq sizə deyir, əgər ünvan sətrinə deyil, konsola baxsanız. Üç yoxlama sizi qismən işləyən səhifədən real bərpaya aparır.

Sorğunu oxuyun, ünvan sətrini yox

HTTPS ilə gətirilən sənəd adi HTTP üzərindən skript, üslub vərəqi, şrift və ya çərçivəyə istinad edə bilər. Həmin istinad ayrı bir sorğudur və brauzerin şikayət etdiyi elə odur. Əsas sənədin qorunması ona geriyə keçmir və hər iki axını daşıyan tunel heç bir sxemi dəyişmir. Buna görə səhifə eyni anda həm həqiqətən təhlükəsiz, həm də həqiqətən pozulmuş ola bilər.

Resursu sadəcə daxil edilmiş fayl adlandırmaq onun dəyişdirilməsini zərərsiz etmir.

Təhlükəsiz olmayan skript məzmunu yolda dəyişdirilib sonra icra oluna bilirsə, səhifənin davranışını dəyişə bilər və bu, kosmetik nasazlıqdan daha böyük problemdir. Şəkillər yolda dəyişdirildikdə daha kiçik, lakin real risk daşıyır. Kilid heç nə barədə yalan demir. O, sizin verdiyiniz sualdan daha dar bir suala cavab verir.

Hansı resursların bloklandığını, hansıların yüksəldildiyini bilin

Brauzerlər hər resurs növünə eyni cür yanaşmır. qarışıq məzmun təlimatı HTTPS-ə yüksəldilən sorğuları tamamilə bloklanan sorğulardan ayırır; skriptlər, üslub vərəqləri və proqram sorğuları bloklanan tərəfdə, şəkillər və media isə bunun əvəzinə yüksəldilə və ya işarələnə bilər.

Bu fərq çaşqın hesabatları izah edir. Bloklanmış skripti olan səhifə bir funksiyanı tamamilə itirir, yüksəldilmiş şəkli olan səhifə isə yaxşı görünür və sorğusunu sakitcə dəyişib. Sənədləşdirilmiş kateqoriyaların istisnaları da var, ona görə müəyyən növün hər URL-nin uğurla yüksələcəyini güman etməyin. Fayl uzantısından nəticə çıxarmaq əvəzinə konsolun konkret sorğu haqqında dediklərini oxuyun.

Bloklanmış vidjet tunelin uğursuz olduğuna dəlil deyil. Bu, brauzerin öz işini gördüyünə dəlildir.

İstinadı mənbəyində bərpa edin

Sayt sahibi üçün bərpa təhlükəsiz olmayan URL-nin yazıldığı yerə aiddir: şablon, üslub vərəqi, URL-ləri yığan skript və ya üçüncü tərəf komponenti. Görünən səhifə ünvanını dəyişmək bunların heç birinə toxunmur. Mənbədə hostu axtarın və konsolun təsadüfən adlandırdığı tək istinadı deyil, hər istinadı düzəldin.

Sonra resursun həqiqətən etibarlı kimliklə HTTPS üzərindən verildiyini təsdiqləyin, çünki sxem dəyişikliyi heç vaxt orada dərc olunmamış xidməti yarada bilməz.

grep -rn "http://assets.example" ./templates
curl -sSI https://assets.example/widget.js | head -n 1

Yönləndirmələri də izləyin, çünki HTTPS ilə başlayan istinad yenə də açıq mətnli çatdırılma yoluna düşə bilər. Bir asılılığın sadəcə təhlükəsiz çatdırılması yoxdursa, müvəqqəti həll göndərmək əvəzinə onu adi dəyişiklik prosesi ilə silin və ya əvəz edin. İstifadəçi üçün brauzer qorumalarını aktiv saxlayın və resursun URL-ni, növünü və konsol mesajını sayt sahibinə bildirin. Bir səhifə üçün işçilərə təhlükəsiz olmayan məzmuna icazə verməyi deyən təlimatları heç vaxt yaymayın, çünki o istisna onu doğuran hadisədən daha uzun yaşayır.

Səhifəni istifadəçilərin toxunduğu kimi yenidən yoxlayın

Yalnız ilk sənədi deyil, resursları tələb əsasında yükləyən əməliyyatları da sınayın. Səhifələr düymə basıldıqdan sonra əlavə kod, məlumat və yükləmələr gətirir və bu sorğular çox vaxt təhlükəsiz olmayanlardır. Qorunma aktiv qalarkən konkret sorğuları və görünən davranışı təsdiqləyin. Gevşədilmiş brauzer profili ilə başlayan test normal istifadəçinin gördüyünü sizə göstərə bilməz.

Tunelin hələ də öz işi var və o iş səhifə bütövlüyü deyil, şəbəkə çıxışıdır.

Trafik tunelin son nöqtəsindən çıxdıqdan sonra qalan hər hansı HTTP sorğusu daşıyıcıdan heç nə qazanmamışdır. Resurs yolunu düzəldin və brauzer icrasını yerində saxlayın. Daha bir nəqliyyat qatını təhlükəsiz olmayan asılılığın bərpası kimi qəbul etmək, komandanın düzgün işləyən nəzarəti söndürən yardım masası skripti ilə bitməsinin yoludur.