Elekti HTTP-pruvojn: registroj de la pordego aŭ registroj de la aplikaĵo

Reta gvatado komenciĝas per celo, ne per kaptpunkto. Nombri aktivajn klientojn, mezuri API-alvokon kaj legi mesaĝajn korpojn ĉiu postulas malsamajn pruvojn kaj malsamajn privatecajn decidojn. Pordego, kiu plusendas protektitan HTTPS, vidas konektojn anstataŭ paĝan enhavon. Elekti la malĝustan tavolon donas datumojn, kiuj ŝajnas riĉaj kaj respondas nenion.

Nomu la demandon antaŭ la datenfonto

Komencu per la operacia decido, kiun la datumoj devas subteni. Haveblecaj demandoj bezonas nombrojn kaj tempojn, petaj demandoj bezonas vojojn kaj statokodojn, kaj enhavaj demandoj bezonas mesaĝajn korpojn. Ĉiu paŝo enen aldonas sentemon kaj inĝenieran kompleksecon. Petu de la servoposedanto kaj la sekurecoposedanto aprobon de publiko, celo kaj traktado antaŭ ol komenciĝi la kolektado, ĉar operacii la tunelon ne estas tiu decido.

Skribu la demandon en unu frazo kaj tenu ĝin apud la kolektplano. Ĝi estas la sola fidinda ampleksa kontrolo.

Kion la pordego povas montri kaj kion ne

Pordego, kiu plusendas ĝuste protektitan HTTPS, kutime vidas adresojn, pordojn kaj volumojn, ne petajn liniojn aŭ korpojn.

conntrack -L -d 203.0.113.10 | head
tcpdump -ni vpn0 -c 20 'tcp port 443'

La conntrack-listo montras fluojn kaj tradukojn, kaj la mallonga kaptado montras pakaĵojn sen lega aplikaĵa enhavo. Tio sufiĉas por respondi ĉu trafiko fluas, kiom, kaj inter kiuj finpunktoj. Ĝi ne estas listo de URL-oj, kaj ordinara CONNECT-prokuratoro plusendas la ĉifritan interŝanĝon sen fini la TLS-on de la aplikaĵo. Kiam iu promesas petajn vojojn el tiu pozicio, demandu, kiu komponento malĉifras kaj sub kies fido.

Aplikaĵaj registroj respondas la plejmulton de petaj demandoj

Por aplikaĵo, kiun vi operacias, ĝia propra subtenata registrado kutime respondas la demandon je peta nivelo sen malĉifri la konektojn de aliaj.

curl -sS -o /dev/null -w "%{http_code} %{time_total}\n" https://app.example.com/health
tail -n 5 /var/log/nginx/access.log

La sano-peto mezuras haveblecon el pozicio de kliento, kaj la alirregistro notis la kampojn, kiujn la servilo jam elektis konservi. Elektu la kampojn, kiujn la tasko bezonas, kaj lasu la reston eksteren, ĉar eĉ URL povas porti sentemajn parametrojn. Registra linio estas pruvo pri tiu servo, ne pri ĉiu alia servo, kiun la uzanto atingis tra la tunelo. Teni la kolektadon mallarĝa ankaŭ tenas la retenadan demandon malgranda, do starigu fenestron pli mallongan ol la pensa eksperimento, kiu produktis la postulon.

Interceptado estas aparta fiddezajno

Se mesaĝnivela inspektado estas vere necesa, TLS-interceptado kreas novan fidatan finpunkton kaj klientan fidaranĝon, kiun oni devas distribui kaj prizorgi. Aplikaĵoj, kiuj fiksas atestilojn, rompiĝos, kaj la operacianto nun tenas privatajn ŝlosilojn, kies protekto gravas tiom kiom ajna servila ŝlosilo. Igi la kolektadon funkcii malfortigante atestilvalidigon, aŭ flikante aplikaĵon, kiu fiksas siajn atestilojn, komercas sekurecokontrolon por registra linio. Preferu dokumentitan inspektdezajnon, kies fida distribuo jam estas administrata, kaj tenu la privatan ŝlosilon de la aŭtoritato ekster ĉio kunhavigita.

Je la fino de la kolektfenestro, forigu la agordon kaj ĝian fidmaterialon per iliaj posedantoj, kaj forigu retenitajn pruvojn laŭ la interkonsentita politiko. Sufiĉa fidinda informo por la deklarita celo estas la sukceskriterio, ne la plej granda ebla kaptado.