Nola egin HTTPS VPN baten bidez lehen eskaera

Lehenengo http:// idazten duen arakatzailea eta https://-ra iristen den birbideratze batek eskaera bat argi eta garbi bidali ondoren, eta VPN batek ez du hori aldatzen. Tunelak hanka babesten du bezerotik irteerako nodoraino; ez du garraio-geruzaren gainetik ezer enkriptatzen, beraz, irteeraren eta jatorriaren arteko behatzaile batek testu arrunteko saltoa ikusten du oraindik. HTTPS lehen eskaera egitea bezeroaren aldeko aldaketa bat da, hiru zati dituena: benetako HTTPS helbidea, arakatzailearen berritze modua eta gunearen politika propioa. Beheko pausoak nik erabiltzen dudan ordena dira, bakoitzak hartu duen ala ez adierazten duen egiaztapenarekin.

1. urratsa: berretsi zein den benetan lehen eskaera

Ezer aldatu baino lehen, begiratu arakatzaileak zer bidaltzen duen. Ireki sareko panela orrialdea birkargatuta dagoen cache hotz batetik eta irakurri lehenengo errenkada: eskema http bada eta egoera 301 edo 308 bada, errenkada horren ondorengo guztia bigarren eskaera bat da. curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' http://example.com-k sekuentzia bera erreproduzitzen du arakatzailetik kanpo eta amaitu duzun URLa inprimatzen du.

Bi emaitza posible dira eta konponketa desberdinak behar dituzte. Guneak ostalari berean HTTPS zerbitzatzen badu, konponbidea HTTP inprimakia argitaratzeari uztea da: eguneratu laster-marka, wiki esteka, mahaigaineko lasterbidea eta jendeak klik egiten duen mezu elektronikoaren txantiloia. Guneak ez badu HTTPS batere zerbitzatzen, ez du arakatzailearen ezarpenik sortuko, eta erantzun zintzoa da helmuga arazoa dela. Ez paperean bigarren kasua salbuespen batekin, kontu-orriko ziurtagiri-salbuespen batek garraio-arazo bat kredentzial-arazo bat bihurtzen baitu. Idatzi zein kasutan zauden ezarpen bat ukitu aurretik.

2. urratsa: aktibatu arakatzailearen HTTPS soilik modua

Bertsio-modua bigarren zatia da, eta moduak ez dira trukagarriak. Egiaztatu zureak zer egiten duen gaitu aurretik: berritu isilean, berritu abisu batekin edo uko egin kargatzeari.

Firefox-en kontrolak about:configren atzean eta pribatutasun-ezarpenen orrian daude, dom.security.https_only_mode aldagai gisa eta gune bakoitzeko salbuespenak giltzarrapoen menutik kudeatzen direlarik. Chrome eta Edge-n ideia bera Ezarpenak, Pribatutasuna eta segurtasuna, Segurtasuna azpian dago, Erabili beti konexio seguruak etiketatuta. Etiketa edozein dela ere, egiaztatu portaera 80 atakan soilik erantzuten duen ostalari baten aurrean, bertsio berritzen eta isilean atzera egiten duen modua ez delako uste duzun babesa gaituta. Firefox HTTPS-en soilik dokumentazioa arakatzaile horren bertsio berritzea, abisua eta salbuespen-jokabidea zehazten du.

3. urratsa: konpondu baliabideak, ez helbide-barra soilik

Bertsio batek huts egiten duenean, irakurri errore zehatza helbide-barraren ordez. HTTPS entzulerik ez duen ostalari batek, ziurtagiriarekin bat ez datorren ostalari-izena eta iraungitako kate batek mezu desberdinak sortzen ditu eta jabe ezberdinenak dira. Lehenengoa bakarrik zerbitzariaren aldeko hutsunea da; bigarrena inoiz eguneratu ez den laster-marka izan ohi da; hirugarrena VPN konexioak garrantzirik ez duen berritze-arazo bat da.

Ez gehitu ziurtagiri-salbuespenik kontu-gune batean VPN aktibatuta dagoelako. Salbuespenak VPN batek saihestu nahi duen atzematea zehazki harrapatuko lukeen egiaztapena desgaitzen du.

Hirugarren zatia orriaren barruan dago, eta jendeak faltan botatzen du. HTTPS bidez kargatzen den orri batek http URL batetik irudiak, letra-tipoak edo script-ak atera ditzake oraindik, eta arakatzaileak blokeatu egingo ditu edo orrialde osorako segurtasun-adierazlea jaitsi egingo du. Ikuskatu huts egindako eskaerak sare-panelean eta konpondu baliabideen erreferentziak jabearengan, helbide-barrak eskaera guztiak deskribatzen dituela suposatu beharrean. Exekutatzen duzun gune batean, horrek esan nahi du CMSn edo txantiloian gordetako URLak zuzentzea arakatzailean berridatzi beharrean. Ezin baduzu iturria aldatu, grabatu eduki mistoa hutsune ezagun gisa, testu arrunteko baliabideak ateratzen dituen orrialde baten gainean giltzarrapo bat seinale faltsua baita.

4. urratsa: zer gehitzen duen HSTSk eta zer ez

HSTS arakatzailearen hobespen bat baino gune politika bat da, eta hemen idatzitako http:// profil berri batean irauten duen mekanismo bakarra da. Arakatzaile batek ostalari baten Strict-Transport-Security goiburua ikusi duenean, geroko eskaerak https-ra berridazten ditu bidali aurretik, hau da, nahi duzun propietatea. Ez du ezer egiten arakatzaileak inoiz bisitatu ez duen ostalari bati, eta ez du ezer egiten aplikazio bera balio duen beste ostalari-izen bati.

Egiaztatu jatorriak zer bidaltzen duen curl -sSI https://example.com | grep -i strict-transport-security-rekin. Falta den goiburua zerbitzariaren aldaketa da eta ez bezero batek instala dezakeen zerbait. Baldin badago, irakurri max-age eta includeSubDomains ezarrita dagoen ala ez, bisiten artean gehienezko adin labur bat iraungitzen baita eta falta den includeSubDomains batek azpidomeinu guztiak babestu gabe uzten dituelako. RFC 6797-k definitzen du erabiltzaile-agente batek politika nola aplikatzen duen eta zer baztertu dezakeen. Aurrekarga aparteko konpromisoa da, beraz, egiaztatu egoera hstspreload.org APIaren bidez domeinu bat zerrendan dagoela agindu aurretik.

Egiaztapena eta atzerapena

Bereratzea merkea da bezeroaren ezarpenetarako eta garestia HSTSrako. HTTPS soilik modua desaktibatzen baduzu, aurreko portaera berehala berrezartzen da; gehienezko adin luze batek ez du egiten, eta dagoeneko jaso duten bisitariek eguneratzen jarraitzen dute iraungi arte.

Beraz, egiaztatu ordena amaitu aurretik. Kargatu berriro cache hotz batetik eta berretsi sareko paneleko lehen eskaera https dela, aurreko birbideratzerik gabe. Ondoren, egiaztatu azpidomeinu bat, includeSubDomains delako politika hauek uste baino estuagoak izaten direlako. Ondoren, egiaztatu hirugarrenen aktiboak ateratzen dituen orri bat, eduki mistoa beste konponbide guztietan bizirik irauten duen akatsa baita.

Hori guztiaren ondoren lehen eskaera oraindik http bada, bezeroa ez da aldagaia: jendeak klik egiten duen esteka da. Bilatu kontrolatzen dituzun tokietan ostalari-izenaren http forma, eguneratu eta berriro probatu cache hotzeko birkargatu berarekin. Mantendu VPN galdera guztian bereizita, tunela eskaera nork ikus dezakeen aldatzen delako eta ez baitu inoiz aldatzen eskaera enkriptatuta dagoen ala ez. Txartela jarri behar den lerroa da lehen eskaera garrantzitsua dena eta birbideratzea jada bidalitako eskaera baten ordainagiria baino ez dela.