HTTP frogak aukeratzea: pasabidearen erregistroak edo aplikazioaren erregistroak

Web jarraipena helburu batekin hasten da, ez harrapaketa puntu batekin. Bezero aktiboak zenbatzea, API dei baten denbora neurtzea eta mezu gorputzak irakurtzea froga desberdinak eta pribatutasun erabaki desberdinak eskatzen ditu. HTTPS babestua birbidaltzen duen pasabide batek konexioak ikusten ditu, ez orrialdearen edukia. Geruza okerra aukeratzeak aberatsa dirudien eta ezeri erantzuten ez dion datua ematen du.

Izenda ezazu galdera datu iturria baino lehen

Hasi datuek sostengatu behar duten erabaki operatiboarekin. Erabilgarritasun galderak zenbaketak eta denborak behar ditu, eskaera galderak bideak eta egoera kodeak behar ditu, eta eduki galderak mezu gorputzak behar ditu. Barrurako urrats bakoitzak sentikortasuna eta ingeniaritza konplexutasuna gehitzen ditu. Lortu zerbitzuaren jabeak eta segurtasunaren jabeak audientzia, helburua eta tratamendua onestea bilketa hasi aurretik, tunela ustiatzea ez baita erabaki hori.

Idatzi galdera esaldi bakarrean eta eduki bilketa planaren ondoan. Irismenaren kontrol fidagarri bakarra da.

Zer erakuts dezakeen pasabideak eta zer ez

Behar bezala babestutako HTTPS birbidaltzen duen pasabide batek normalean helbideak, portuak eta bolumenak ikusten ditu, ez eskaera lerroak edo gorputzak.

conntrack -L -d 203.0.113.10 | head
tcpdump -ni vpn0 -c 20 'tcp port 443'

conntrack zerrendak fluxuak eta itzulpenak erakusten ditu, eta harrapaketa laburrak paketeak erakusten ditu aplikazio edukirik irakurgarririk gabe. Hori nahikoa da trafikoa jotzen duen, zenbat eta zein muturren artean erantzuteko. Ez da URL zerrenda bat, eta CONNECT proxy arrunt batek truke zifratua birbidaltzen du aplikazioaren TLS amaitu gabe. Norbait posizio horretatik eskaera bideak agintzen dituenean, galdetu zein osagai deskifratzen duen eta noren konfiantzapean.

Aplikazioaren erregistroek eskaera galderen gehiengoari erantzuten diete

Ustiatzen duzun aplikazio baterako, bere erregistro bateragarriak normalean eskaera mailako galderari erantzuten dio besteen konexioak deskifratu gabe.

curl -sS -o /dev/null -w "%{http_code} %{time_total}\n" https://app.example.com/health
tail -n 5 /var/log/nginx/access.log

Osasun eskaerak erabilgarritasuna bezero baten posiziotik neurtzen du, eta sarbide erregistroak zerbitzariak jada gordetzeko aukeratu dituen eremuak idazten ditu. Aukeratu zereginak behar dituen eremuak eta utzi gainerakoa kanpoan, URL batek ere parametro sentikorrak eraman baititzake. Erregistro lerro bat zerbitzu horri buruzko froga da, ez erabiltzaileak tunelaren bidez iritsi zuen beste zerbitzu bakoitzari buruzkoa. Bilketa estuak atxikipen galdera ere txiki mantentzen du, beraz ezarri eskakizuna sortu zuen pentsamendu esperimentua baino leiho laburragoa.

Interzeptazioa konfiantza diseinu bereizia da

Mezu mailako ikuskapena benetan beharrezkoa bada, TLS interzeptazioak konfiantzazko mutur berri bat eta banatu eta mantendu behar den bezero konfiantza antolamendu bat sortzen ditu. Sertifikatuak itsasten dituzten aplikazioak hautsi egingo dira, eta operadoreak orain gako pribatuak ditu, zeinen babesa edozein zerbitzari gako bezain garrantzitsua baita. Bilketa sertifikatu baliozkotzea ahulduz edo bere sertifikatuak itsasten dituen aplikazio bat adabakiz lantzeak segurtasun kontrol bat erregistro lerro baten truke aldatzen du. Nahiago dokumentatutako ikuskapen diseinu bat, bere konfiantza banaketa jada kudeatzen dena, eta eduki autoritatearen gako pribatua partekatutako ezeren kanpoan.

Bilketa leihoaren amaieran, kendu konfigurazioa eta bere konfiantza materiala haien jabeen bidez, eta ezabatu atxikitako frogak adostutako politikaren arabera. Adierazitako helbururako informazio fidagarri nahikoa da arrakasta irizpidea, ez harrapaketa handiena.