Sut i Wneud HTTPS y Cais Cyntaf Trwy VPN

Mae porwr sy'n teipio http:// yn gyntaf ac yn glanio ar https:// ar ôl ailgyfeirio eisoes wedi anfon un cais yn glir, ac nid yw VPN yn newid hynny. Mae'r twnnel yn amddiffyn y goes o'r cleient i'r nod ymadael; nid yw'n amgryptio unrhyw beth uwchben yr haen gludo, felly mae sylwedydd rhwng yr allanfa a'r tarddiad yn dal i weld y hop plaintext. Mae gwneud HTTPS y cais cyntaf yn newid ochr y cleient gyda thair rhan: cyfeiriad HTTPS go iawn, modd uwchraddio'r porwr, a pholisi'r wefan ei hun. Y camau isod yw'r drefn rwy'n ei defnyddio, pob un â'r siec sy'n dweud wrthych a gymerodd.

Cam 1: cadarnhau beth yw'r cais cyntaf mewn gwirionedd

Cyn newid unrhyw beth, edrychwch ar yr hyn y mae'r porwr yn ei anfon. Agorwch y panel rhwydwaith gyda'r dudalen wedi'i hail-lwytho o storfa oer a darllenwch y rhes gyntaf: os yw'r cynllun yn http a'r statws yn 301 neu 308, mae popeth ar ôl y rhes honno yn ail gais. Mae curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' http://example.com yn atgynhyrchu'r un dilyniant y tu allan i'r porwr ac yn argraffu'r URL y daethoch chi arno.

Mae dau ganlyniad yn bosibl ac mae angen atebion gwahanol arnynt. Os yw'r wefan yn gwasanaethu HTTPS ar yr un gwesteiwr, yr ateb yw rhoi'r gorau i gyhoeddi'r ffurflen HTTP: diweddaru'r nod tudalen, dolen wiki, llwybr byr y bwrdd gwaith a'r templed e-bost y mae pobl yn ei glicio. Os nad yw'r wefan yn gwasanaethu HTTPS o gwbl, ni fydd unrhyw osodiad porwr yn ei greu, a'r ateb gonest yw mai'r cyrchfan yw'r broblem. Peidiwch â phapuro dros yr ail achos ag eithriad, oherwydd mae eithriad tystysgrif ar dudalen cyfrif yn trosi problem cludiant yn broblem credential. Ysgrifennwch ym mha achos rydych chi ynddo cyn i chi gyffwrdd â gosodiad.

Cam 2: trowch fodd HTTPS yn unig y porwr ymlaen

Y modd uwchraddio yw'r ail ran, ac nid yw'r moddau yn gyfnewidiol. Gwiriwch beth mae'ch un chi'n ei wneud cyn i chi ei alluogi: uwchraddiwch yn dawel, uwchraddiwch gyda rhybudd, neu gwrthodwch lwytho.

Yn Firefox mae'r rheolyddion yn byw y tu ôl i about:config ac yn y dudalen gosodiadau preifatrwydd, gyda dom.security.https_only_mode fel yr eithriadau switsh ac fesul-safle a reolir o'r ddewislen clo clap. Yn Chrome ac Edge mae'r un syniad yn eistedd o dan Gosodiadau, Preifatrwydd a diogelwch, Diogelwch, wedi'i labelu Defnyddiwch gysylltiadau diogel bob amser. Beth bynnag fo'r label, gwiriwch yr ymddygiad yn erbyn gwesteiwr sydd ond yn ateb ar borthladd 80, oherwydd nid modd sy'n uwchraddio ac yna'n cwympo'n ôl yn dawel yw'r amddiffyniad rydych chi'n meddwl eich bod wedi'i alluogi. Mae dogfennaeth Firefox HTTPS-Only yn nodi'r ymddygiad uwchraddio, rhybuddio ac eithriadau ar gyfer y porwr hwnnw.

Cam 3: trwsio'r adnoddau, nid y bar cyfeiriad yn unig

Pan fydd uwchraddiad yn methu, darllenwch yr union wall yn lle'r bar cyfeiriad. Mae gwesteiwr heb wrandäwr HTTPS, enw gwesteiwr nad yw'n cyd-fynd â'r dystysgrif a chadwyn sydd wedi dod i ben yn cynhyrchu negeseuon gwahanol ac yn perthyn i wahanol berchnogion. Dim ond y cyntaf yw bwlch ochr y gweinydd; mae'r ail fel arfer yn nod tudalen na chafodd ei ddiweddaru erioed; mae'r trydydd yn broblem adnewyddu y mae'r cysylltiad VPN yn amherthnasol iddi.

Peidiwch ag ychwanegu eithriad tystysgrif i wefan cyfrif oherwydd bod y VPN ymlaen. Mae'r eithriad yn analluogi'r siec a fyddai wedi dal yr union ryng-gipiad y mae VPN i fod i'w atal.

Mae'r drydedd ran y tu mewn i'r dudalen, a dyma'r un y mae pobl yn ei golli. Gall tudalen sy'n llwytho dros HTTPS ddal i dynnu delweddau, ffontiau neu sgriptiau o URL http, a bydd y porwr naill ai'n eu rhwystro neu'n israddio'r dangosydd diogelwch ar gyfer y dudalen gyfan. Archwiliwch y ceisiadau a fethwyd yn y panel rhwydwaith a thrwsiwch y cyfeiriadau adnoddau at eu perchennog yn hytrach na thybio bod y bar cyfeiriad yn disgrifio pob cais. Ar wefan rydych chi'n ei rhedeg, mae hynny'n golygu cywiro'r URLau sydd wedi'u storio yn y CMS neu'r templed yn lle eu hailysgrifennu yn y porwr. Os na allwch newid y ffynhonnell, cofnodwch y cynnwys cymysg fel bwlch hysbys, oherwydd bod clo clap dros dudalen sy'n tynnu adnoddau testun plaen yn arwydd ffug.

Cam 4: beth mae HSTS yn ei ychwanegu, a beth nad yw'n ei ychwanegu

Polisi gwefan yw HSTS yn hytrach na dewis porwr, a dyma'r unig fecanwaith yma sy'n goroesi http:// wedi'i deipio ar broffil newydd. Unwaith y bydd porwr wedi gweld pennawd Strict-Transport-Security ar gyfer gwesteiwr, mae'n ailysgrifennu ceisiadau diweddarach i https cyn eu hanfon, sef yr union eiddo rydych chi ei eisiau. Nid yw'n gwneud dim i westeiwr nad yw'r porwr erioed wedi ymweld ag ef, a dim byd ar gyfer enw gwesteiwr gwahanol sy'n gwasanaethu'r un rhaglen.

Gwiriwch beth mae'r tarddiad yn ei anfon gyda curl -sSI https://example.com | grep -i strict-transport-security. Mae pennawd coll yn newid gweinydd ac nid yn rhywbeth y gall cleient ei osod. Os yw'n bresennol, darllenwch max-age ac a yw includeSubDomains wedi'i osod, oherwydd mae uchafswm oedran byr yn dod i ben rhwng ymweliadau ac mae cynnwys Is-barthau sydd ar goll yn gadael pob is-barth heb ei amddiffyn. Mae RFC 6797 yn diffinio sut mae asiant defnyddiwr yn cymhwyso'r polisi a'r hyn y gall ei anwybyddu. Mae Preload yn ymrwymiad ar wahân, felly gwiriwch statws trwy'r API hstspreload.org cyn addo unrhyw un bod parth ar y rhestr.

Dilysu a dychwelyd

Mae dychwelyd yn ôl yn rhad ar gyfer gosodiadau'r cleient ac yn ddrud i HSTS. Mae diffodd modd HTTPS yn unig yn adfer yr ymddygiad blaenorol ar unwaith; nid yw oedran hir, ac mae ymwelwyr sydd eisoes wedi'i dderbyn yn parhau i uwchraddio nes iddo ddod i ben.

Felly gwiriwch mewn trefn cyn ei alw wedi'i wneud. Ail-lwythwch o storfa oer a chadarnhewch mai'r cais cyntaf yn y panel rhwydwaith yw https heb unrhyw ailgyfeiriad blaenorol. Yna gwiriwch is-barth, oherwydd includeSubDomains yw lle mae'r polisïau hyn fel arfer yn troi allan i fod yn gulach na'r hyn a dybiwyd. Yna gwiriwch un dudalen sy'n tynnu asedau trydydd parti, gan mai cynnwys cymysg yw'r methiant sy'n goroesi pob atgyweiriad arall.

Os mai http yw'r cais cyntaf o hyd ar ôl hynny i gyd, nid y cleient yw'r newidyn bellach: y ddolen y mae pobl yn clicio arni yw. Chwiliwch y lleoedd rydych chi'n eu rheoli am ffurf http yr enw gwesteiwr, diweddarwch nhw, ac ail-brofi gyda'r un ail-lwytho storfa oer. Cadwch y cwestiwn VPN ar wahân drwyddo draw, oherwydd mae'r twnnel yn newid pwy all weld y cais a byth yn newid a yw'r cais wedi'i amgryptio. Y llinell i'w rhoi yn y tocyn yw mai'r cais cyntaf yw'r un sy'n bwysig, a dim ond derbynneb am gais a anfonwyd eisoes yw ailgyfeiriad.