Hoe kinne jo HTTPS it earste fersyk meitsje fia in VPN

In browser dy't earst http:// typt en op https:// komt neidat in trochferwizing al ien fersyk yn it dúdlik ferstjoerd hat, en in VPN feroaret dat net. De tunnel beskermet de skonk fan 'e kliïnt nei it útgongsknooppunt; it fersiferet neat boppe de transportlaach, sadat in waarnimmer tusken de útgong en de oarsprong noch altyd de platte tekst hop sjocht. It meitsjen fan HTTPS it earste fersyk is in wiziging oan 'e kant fan' e kliïnt mei trije dielen: in echt HTTPS-adres, de upgrademodus fan 'e browser, en it eigen belied fan' e side. De stappen hjirûnder binne de folchoarder dy't ik brûk, elk mei de kontrôle dy't jo fertelt oft it duorre.

Stap 1: befêstigje wat it earste fersyk eins is

Besjoch wat de browser ferstjoert foardat jo wat feroarje. Iepenje it netwurkpaniel mei de side opnij laden út in kâlde cache en lês de earste rige: as it skema http is en de status is 301 of 308, is alles nei dy rige in twadde fersyk. curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' http://example.com reprodusearret deselde folchoarder bûten de browser en printet de URL wêrop jo telâne binne.

Twa útkomsten binne mooglik en se hawwe ferskillende reparaasjes nedich. As de side HTTPS tsjinnet op deselde host, is de fix it stopjen fan it publisearjen fan it HTTP-formulier: update de blêdwizer, de wiki-keppeling, de fluchtoets op it buroblêd en it e-postsjabloan dat minsken klikke. As de side hielendal gjin HTTPS tsjinnet, sil gjin browserynstelling it oanmeitsje, en it earlike antwurd is dat de bestimming it probleem is. Papierje net oer it twadde gefal mei in útsûndering, om't in sertifikaatútsûndering op in akkountside in transportprobleem konvertearret yn in bewiisprobleem. Skriuw op hokker gefal jo binne foardat jo in ynstelling oanreitsje.

Stap 2: skeakelje de blêder allinich HTTPS-modus yn

De upgrade-modus is it twadde diel, en de modi binne net útwikselber. Kontrolearje wat jo docht foardat jo it ynskeakelje: stil opwurdearje, upgrade mei in warskôging, of wegerje te laden.

Yn Firefox libje de kontrôles efter about:config en yn 'e side fan privacyynstellingen, mei dom.security.https_only_mode as de skeakel en útsûnderingen per side dy't beheard wurde fanút it hangslotmenu. Yn Chrome en Edge sit itselde idee ûnder Ynstellings, Privacy en feiligens, Feiligens, markearre Altyd feilige ferbiningen brûke. Wat it label ek is, ferifiearje it gedrach tsjin in host dy't allinich antwurdet op poarte 80, om't in modus dy't upgrades en dan stil falt werom is net de beskerming dy't jo tinke dat jo ynskeakele hawwe. De Firefox HTTPS-Allinnich dokumintaasje skriuwt it opwurdearring, warskôging en útsûnderingsgedrach foar dy browser.

Stap 3: reparearje de boarnen, net allinich de adresbalke

As in upgrade mislearret, lês dan de krekte flater ynstee fan de adresbalke. In host sûnder HTTPS-harker, in hostnamme dy't net oerienkomt mei it sertifikaat en in ferrûne ketting produsearje ferskate berjochten en hearre ta ferskate eigners. Allinne de earste is in tsjinner-side gat; de twadde is meastal in blêdwizer dy't nea bywurke is; de tredde is in fernijingsprobleem dat de VPN-ferbining irrelevant is foar.

Foegje gjin sertifikaatútsûndering ta oan in akkountside omdat de VPN oan is. De útsûndering skeakelet de kontrôle út dy't krekt de ûnderskepping fan in VPN is bedoeld om te foarkommen.

It tredde diel is binnen de side, en it is dejinge dy't minsken misse. In side dy't laadt oer HTTPS kin noch ôfbyldings, lettertypen of skripts fan in http URL lûke, en de browser sil se blokkearje of de feiligensindikator foar de heule side downgrade. Ynspektearje de mislearre oanfragen yn it netwurkpaniel en reparearje de boarneferwizings by har eigner ynstee fan oan te nimmen dat de adresbalke elk fersyk beskriuwt. Op in side dy't jo útfiere, betsjut dat it korrigearjen fan de opsleine URL's yn 'e CMS of it sjabloan ynstee fan it oerskriuwen yn' e browser. As jo de boarne net feroarje kinne, registrearje dan de mingde ynhâld as in bekende gat, om't in hangslot oer in side dy't plattetekstboarnen lûkt in falsk sinjaal is.

Stap 4: wat HSTS tafoeget, en wat it net docht

HSTS is in sidebelied yn stee fan in browserfoarkar, en it is it ienige meganisme hjir dat in typte http:// op in nij profyl oerlibbet. Sadree't in blêder hat sjoen in Strict-Transport-Security koptekst foar in host, it skriuwt letter fersiken nei https foardat se ferstjoere, dat is krekt it pân dat jo wolle. It docht neat foar in host dy't de browser nea besocht hat, en neat foar in oare hostnamme dy't deselde applikaasje tsjinnet.

Kontrolearje wat de oarsprong stjoert mei curl -sSI https://example.com | grep -i strict-transport-security. In ûntbrekkende koptekst is in serverferoaring en net wat in kliïnt kin ynstallearje. As it oanwêzich is, lês dan max-age en oft includeSubDomains ynsteld is, om't in koarte maksimum leeftyd ferrint tusken besites en in ûntbrekkende includeSubDomains lit elk subdomein net beskerme. RFC 6797 definiearret hoe't in brûkersagint it belied tapast en wat it kin negearje. Foarladen is in aparte ynset, dus kontrolearje de status fia de hstspreload.org API foardat jo ien tasizze dat in domein op 'e list stiet.

Ferifikaasje en weromdraaie

Weromdraaie is goedkeap foar de kliïntynstellingen en djoer foar HSTS. It útskeakeljen fan allinich HTTPS-modus herstelt it foarige gedrach fuortendaliks; in lange maksimale leeftyd net, en besikers dy't it al krigen hawwe, bliuwe opwurdearje oant it ferrint.

Kontrolearje dus yn folchoarder foardat jo it dien neame. Ferfarskje út in kâlde cache en befêstigje it earste fersyk yn it netwurkpaniel is https sûnder foarôfgeande trochferwizing. Kontrolearje dan in subdomein, om't includeSubDomains is wêr't dit belied meastentiids smeller blykt te wêzen dan oannommen. Kontrolearje dan ien side dy't aktiva fan tredden lûkt, om't mingde ynhâld de mislearring is dy't elke oare reparaasje oerlibbet.

As it earste fersyk dêrnei noch http is, is de klant net langer de fariabele: de keppeling dy't minsken klikke is. Sykje de plakken dy't jo kontrolearje foar de http-foarm fan 'e hostnamme, bywurkje se, en opnij test mei deselde kâld-cache opnij laden. Hâld de VPN-fraach trochinoar apart, om't de tunnel feroaret wa't it fersyk sjen kin en nea feroaret oft it fersyk fersifere is. De rigel om yn it kaartsje te setten is dat it earste fersyk dejinge is dy't fan belang is, en in trochferwizing is allinich in ûntfangst foar in al ferstjoerd fersyk.