কিভাবে একটি ভিপিএন এর মাধ্যমে HTTPS কে প্রথম অনুরোধ করা যায়

একটি ব্রাউজার যা প্রথমে http:// টাইপ করে এবং একটি পুনঃনির্দেশের পরে https:// এ অবতরণ করে তা ইতিমধ্যেই স্পষ্টভাবে একটি অনুরোধ পাঠিয়েছে এবং একটি VPN এটি পরিবর্তন করে না। টানেলটি ক্লায়েন্ট থেকে প্রস্থান নোড পর্যন্ত পা রক্ষা করে; এটি পরিবহন স্তরের উপরে কিছু এনক্রিপ্ট করে না, তাই প্রস্থান এবং উত্সের মধ্যে একজন পর্যবেক্ষক এখনও প্লেইনটেক্সট হপ দেখতে পান। HTTPS-কে প্রথম অনুরোধ করা হল তিনটি অংশ সহ একটি ক্লায়েন্ট-সাইড পরিবর্তন: একটি বাস্তব HTTPS ঠিকানা, ব্রাউজারের আপগ্রেড মোড এবং সাইটের নিজস্ব নীতি৷ নিচের ধাপগুলো হল আমি যে অর্ডারটি ব্যবহার করি, প্রত্যেকটি চেক সহ যা আপনাকে বলে যে এটি নেওয়া হয়েছে কিনা।

ধাপ 1: প্রথম অনুরোধটি আসলে কী তা নিশ্চিত করুন

কিছু পরিবর্তন করার আগে, ব্রাউজারটি কী পাঠায় তা দেখুন। একটি কোল্ড ক্যাশে থেকে পুনরায় লোড করা পৃষ্ঠাটি সহ নেটওয়ার্ক প্যানেলটি খুলুন এবং প্রথম সারিটি পড়ুন: যদি স্কিমটি HTTP হয় এবং স্থিতি 301 বা 308 হয়, তবে সেই সারির পরে সবকিছুই একটি দ্বিতীয় অনুরোধ। curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' http://example.com ব্রাউজারের বাইরে একই ক্রম পুনরুত্পাদন করে এবং আপনি যে URLটি শেষ করেছেন সেটি প্রিন্ট করে৷

দুটি ফলাফল সম্ভব এবং তাদের বিভিন্ন সংশোধনের প্রয়োজন। যদি সাইটটি একই হোস্টে HTTPS পরিবেশন করে, তাহলে সমাধান হল HTTP ফর্ম প্রকাশ করা বন্ধ করা: বুকমার্ক আপডেট করুন, উইকি লিঙ্ক, ডেস্কটপ শর্টকাট এবং ইমেল টেমপ্লেট লোকেরা ক্লিক করে। যদি সাইটটি একেবারেই HTTPS পরিবেশন না করে, তাহলে কোন ব্রাউজার সেটিংস এটি তৈরি করবে না এবং সৎ উত্তর হল গন্তব্য হল সমস্যা। একটি ব্যতিক্রম সহ দ্বিতীয় ক্ষেত্রে কাগজপত্র করবেন না, কারণ একটি অ্যাকাউন্টের পৃষ্ঠায় একটি শংসাপত্রের ব্যতিক্রম একটি পরিবহন সমস্যাকে একটি শংসাপত্র সমস্যায় রূপান্তরিত করে৷ কোন সেটিং স্পর্শ করার আগে আপনি কোন ক্ষেত্রে আছেন তা লিখুন,

ধাপ 2: ব্রাউজারের HTTPS-শুধু মোড চালু করুন

আপগ্রেড মোডটি দ্বিতীয় অংশ, এবং মোডগুলি বিনিময়যোগ্য নয়৷ আপনি এটি সক্ষম করার আগে আপনারটি কী করে তা পরীক্ষা করুন: নীরবে আপগ্রেড করুন, একটি সতর্কতা সহ আপগ্রেড করুন বা লোড করতে অস্বীকার করুন৷

Firefox-এ কন্ট্রোলগুলি about:config এর পিছনে এবং গোপনীয়তা সেটিংস পৃষ্ঠায়, dom.security.https_only_mode সুইচ হিসাবে এবং প্যাডলক মেনু থেকে পরিচালিত প্রতি-সাইট ব্যতিক্রমগুলি সহ। ক্রোম এবং এজ-এ একই ধারণা সেটিংস, গোপনীয়তা এবং সুরক্ষা, সুরক্ষা, সর্বদা নিরাপদ সংযোগ ব্যবহার করুন লেবেলযুক্ত। লেবেল যাই হোক না কেন, এমন একটি হোস্টের বিরুদ্ধে আচরণ যাচাই করুন যা শুধুমাত্র পোর্ট 80-এ উত্তর দেয়, কারণ একটি মোড যা আপগ্রেড করে এবং তারপর নীরবে পিছিয়ে যায় সেটি এমন সুরক্ষা নয় যা আপনি মনে করেন যে আপনি সক্ষম করেছেন৷ Firefox HTTPS-Only ডকুমেন্টেশন সেই ব্রাউজারের জন্য আপগ্রেড, সতর্কতা এবং ব্যতিক্রম আচরণের বানান করে৷

ধাপ 3: সম্পদ ঠিক করুন, শুধু ঠিকানা বার নয়

যখন একটি আপগ্রেড ব্যর্থ হয়, ঠিকানা বারের পরিবর্তে সঠিক ত্রুটিটি পড়ুন। কোন HTTPS শ্রোতা ছাড়া একটি হোস্ট, একটি হোস্টনাম যা শংসাপত্রের সাথে মেলে না এবং একটি মেয়াদ উত্তীর্ণ চেইন বিভিন্ন বার্তা তৈরি করে এবং বিভিন্ন মালিকের অন্তর্গত। শুধুমাত্র প্রথমটি একটি সার্ভার-সাইড ফাঁক; দ্বিতীয়টি সাধারণত একটি বুকমার্ক যা কখনও আপডেট করা হয়নি; তৃতীয়টি হল একটি পুনর্নবীকরণ সমস্যা যার সাথে VPN সংযোগ অপ্রাসঙ্গিক।

ভিপিএন চালু থাকার কারণে অ্যাকাউন্ট সাইটে কোনো সার্টিফিকেট ব্যতিক্রম যোগ করবেন না। ব্যতিক্রমটি সেই চেকটিকে নিষ্ক্রিয় করে দেয় যা একটি VPN প্রতিরোধ করার জন্য ঠিক যে বাধাটি ধরা পড়েছিল।

তৃতীয় অংশটি পৃষ্ঠার ভিতরে রয়েছে এবং এটি এমন একটি যা লোকেরা মিস করে। HTTPS-এর উপর লোড হওয়া একটি পৃষ্ঠা এখনও একটি HTTP URL থেকে ছবি, ফন্ট বা স্ক্রিপ্ট টেনে আনতে পারে এবং ব্রাউজার হয় সেগুলিকে ব্লক করবে বা পুরো পৃষ্ঠার নিরাপত্তা সূচককে ডাউনগ্রেড করবে। নেটওয়ার্ক প্যানেলে ব্যর্থ অনুরোধগুলি পরিদর্শন করুন এবং ঠিকানা বার প্রতিটি অনুরোধ বর্ণনা করে এমন অনুমান না করে তাদের মালিকের কাছে সংস্থান উল্লেখগুলি ঠিক করুন৷ আপনি চালান এমন একটি সাইটে, এর অর্থ হল ব্রাউজারে পুনরায় লেখার পরিবর্তে CMS বা টেমপ্লেটে সংরক্ষিত URLগুলি সংশোধন করা৷ আপনি যদি উৎস পরিবর্তন করতে না পারেন, তবে মিশ্র বিষয়বস্তু একটি পরিচিত ফাঁক হিসাবে রেকর্ড করুন, কারণ একটি পৃষ্ঠার উপর একটি প্যাডলক যা প্লেইনটেক্সট সংস্থানগুলিকে টেনে আনে তা একটি মিথ্যা সংকেত৷

পদক্ষেপ 4: HSTS কি যোগ করে এবং কি করে না

এইচএসটিএস একটি ব্রাউজার পছন্দের পরিবর্তে একটি সাইট নীতি, এবং এখানে এটিই একমাত্র পদ্ধতি যা একটি নতুন প্রোফাইলে http:// টাইপ করা টিকে থাকে। একবার একটি ব্রাউজার একটি হোস্টের জন্য Strict-Transport-Security শিরোনাম দেখেছে, এটি পাঠানোর আগে এটি https-এ পরবর্তী অনুরোধগুলিকে পুনরায় লিখবে, যা ঠিক আপনার পছন্দের সম্পত্তি। ব্রাউজারটি কখনও পরিদর্শন করেনি এমন হোস্টের জন্য এটি কিছুই করে না এবং একই অ্যাপ্লিকেশন পরিবেশন করে এমন একটি ভিন্ন হোস্টনামের জন্য কিছুই করে না৷

curl -sSI https://example.com | grep -i strict-transport-security দিয়ে মূল কী পাঠায় তা পরীক্ষা করুন। একটি অনুপস্থিত শিরোনাম হল একটি সার্ভার পরিবর্তন এবং এমন কিছু নয় যা একটি ক্লায়েন্ট ইনস্টল করতে পারে। যদি এটি উপস্থিত থাকে, তাহলে max-age পড়ুন এবং includeSubDomains সেট করা আছে কি না, কারণ পরিদর্শনের মধ্যে একটি ছোট সর্বোচ্চ-বয়স শেষ হয়ে যায় এবং একটি অনুপস্থিত অন্তর্ভুক্ত সাবডোমেন প্রতিটি সাবডোমেনকে অরক্ষিত রাখে। RFC 6797 সংজ্ঞায়িত করে কিভাবে একজন ব্যবহারকারী এজেন্ট নীতি প্রয়োগ করে এবং এটি কী উপেক্ষা করতে পারে। প্রিলোড একটি পৃথক প্রতিশ্রুতি, তাই ডোমেন তালিকায় রয়েছে এমন কাউকে প্রতিশ্রুতি দেওয়ার আগে hstspreload.org API এর মাধ্যমে স্থিতি পরীক্ষা করুন৷

যাচাই এবং রোলব্যাক

ক্লায়েন্ট সেটিংসের জন্য রোলব্যাক সস্তা এবং HSTS-এর জন্য ব্যয়বহুল৷ শুধুমাত্র HTTPS মোড বন্ধ করা পূর্ববর্তী আচরণ অবিলম্বে পুনরুদ্ধার করে; একটি দীর্ঘ সর্বোচ্চ-বয়স হয় না, এবং যারা ইতিমধ্যেই এটি পেয়েছেন তারা এটির মেয়াদ শেষ না হওয়া পর্যন্ত আপগ্রেড করতে থাকে।

তাই এটিকে সম্পন্ন বলার আগে ক্রমানুসারে যাচাই করুন। একটি কোল্ড ক্যাশে থেকে পুনরায় লোড করুন এবং নেটওয়ার্ক প্যানেলে প্রথম অনুরোধটি নিশ্চিত করুন যেটি পূর্ববর্তী পুনঃনির্দেশ ছাড়াই https। তারপর একটি সাবডোমেন চেক করুন, কারণ অন্তর্ভুক্ত সাবডোমেন যেখানে এই নীতিগুলি সাধারণত অনুমানের চেয়ে সংকীর্ণ হয়৷ তারপরে এমন একটি পৃষ্ঠা দেখুন যা তৃতীয় পক্ষের সম্পদগুলিকে টেনে আনে, যেহেতু মিশ্র বিষয়বস্তু হল ব্যর্থতা যা অন্য সব সমাধান থেকে বেঁচে থাকে।

যদি প্রথম অনুরোধটি সব কিছুর পরেও http থাকে, তাহলে ক্লায়েন্ট আর ভেরিয়েবল থাকে না: লোকেরা যে লিঙ্কটি ক্লিক করে তা হল। হোস্টনামের http ফর্মের জন্য আপনি যে স্থানগুলি নিয়ন্ত্রণ করেন সেগুলি অনুসন্ধান করুন, সেগুলিকে আপডেট করুন এবং একই কোল্ড-ক্যাশে পুনরায় লোড দিয়ে পুনরায় পরীক্ষা করুন৷ VPN প্রশ্নটি সর্বত্র আলাদা রাখুন, কারণ সুড়ঙ্গটি পরিবর্তন করে যারা অনুরোধটি দেখতে পারে এবং অনুরোধটি এনক্রিপ্ট করা কিনা তা কখনই পরিবর্তন করে না৷ টিকিটের লাইনটি হল যে প্রথম অনুরোধটিই গুরুত্বপূর্ণ এবং একটি পুনঃনির্দেশ হল শুধুমাত্র ইতিমধ্যেই পাঠানো একটি অনুরোধের একটি রসিদ৷