Ինչպես դարձնել HTTPS-ը առաջին հարցումը VPN-ի միջոցով

Զննարկիչը, որը նախ մուտքագրում է http:// և վերահղումից հետո հայտնվում է https://-ում, արդեն մեկ հարցում է ուղարկել հստակ, և VPN-ը դա չի փոխում։ Թունելը պաշտպանում է ոտքը հաճախորդից մինչև ելքի հանգույց; այն չի գաղտնագրում տրանսպորտային շերտի վերևում գտնվող որևէ բան, ուստի դիտորդը ելքի և սկզբնաղբյուրի միջև դեռ տեսնում է պարզ տեքստի հոպը։ HTTPS-ն առաջին հարցում դարձնելը հաճախորդի կողմից կատարված փոփոխությունն է՝ բաղկացած երեք մասից՝ իրական HTTPS հասցե, բրաուզերի արդիականացման ռեժիմ և կայքի սեփական քաղաքականություն։ Ստորև բերված քայլերը իմ օգտագործած հերթականությունն են, որոնցից յուրաքանչյուրը ստուգում է, որը ցույց է տալիս, թե արդյոք դա տեղի ունեցավ:

Քայլ 1. հաստատեք, թե որն է իրականում առաջին հարցումը

Որեւէ բան փոխելուց առաջ տեսեք, թե ինչ է ուղարկում զննարկիչը։ Բացեք ցանցի վահանակը սառը քեշից վերբեռնված էջով և կարդացեք առաջին տողը: եթե սխեման http է, իսկ կարգավիճակը՝ 301 կամ 308, այդ տողից հետո ամեն ինչ երկրորդ հարցում է։ curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' http://example.com վերարտադրում է նույն հաջորդականությունը զննարկիչից դուրս և տպում է URL-ը, որում հայտնվել եք:

Հնարավոր է երկու արդյունք, և դրանք տարբեր ուղղումների կարիք ունեն։ Եթե կայքը ծառայում է HTTPS-ին միևնույն հոսթում, ապա խնդիրն այն է, որ դադարեցվի HTTP ձևի հրապարակումը: թարմացրեք էջանիշը, վիքի հղումը, աշխատասեղանի դյուրանցումը և էլփոստի ձևանմուշը, որը մարդիկ սեղմում են։ Եթե կայքը ընդհանրապես չի սպասարկում HTTPS, ապա դիտարկիչի ոչ մի կարգավորում այն չի ստեղծի, և անկեղծ պատասխանն այն է, որ խնդիրը նպատակակետն է։ Երկրորդ դեպքի վրա բացառությամբ մի գրեք, քանի որ հաշվի էջի վկայականի բացառությունը փոխադրման խնդիրը վերածում է հավատարմագրման խնդրի։ Գրեք, թե որ պատյանում եք գտնվում, նախքան կարգավորումը դիպչելը:

Քայլ 2. միացրեք դիտարկիչի միայն HTTPS ռեժիմը

Թարմացման ռեժիմը երկրորդ մասն է, և ռեժիմները փոխարինելի չեն։ Ստուգեք, թե ինչ է անում ձերը, նախքան այն միացնելը: թարմացրեք անաղմուկ, թարմացրե՛ք նախազգուշացումով կամ հրաժարվեք բեռնումից:

Firefox-ում կառավարներն աշխատում են about:config-ի հետևում և գաղտնիության կարգավորումների էջում՝ dom.security.https_only_mode որպես անջատիչ և յուրաքանչյուր կայքի բացառությունները կառավարվում են կողպեքի մենյուից։ Chrome-ում և Edge-ում նույն գաղափարը դրված է Կարգավորումներ, Գաղտնիություն և անվտանգություն, Անվտանգություն, պիտակավորված Միշտ օգտագործեք անվտանգ կապեր։ Ինչ էլ որ լինի պիտակը, ստուգեք վարքագիծը հոսթի դեմ, որը պատասխանում է միայն 80-րդ նավահանգիստում, քանի որ ռեժիմը, որը թարմացվում է, այնուհետև լուռ հետ է ընկնում, այն պաշտպանությունը չէ, որը դուք կարծում եք, որ միացրել եք։ Firefox-ի միայն HTTPS-ի փաստաթղթերը նկարագրում են թարմացման, նախազգուշացման և բացառության վարքագիծը այդ դիտարկիչի համար:

Քայլ 3. ուղղել ռեսուրսները, ոչ միայն հասցեագոտին

Երբ բարելավումը ձախողվում է, հասցեի տողի փոխարեն կարդացեք ճշգրիտ սխալը։ Հոսթը՝ առանց HTTPS ունկնդիրի, սերտիֆիկատին չհամապատասխանող հոսթի անվանումը և ժամկետանց շղթան արտադրում են տարբեր հաղորդագրություններ և պատկանում են տարբեր սեփականատերերին։ Միայն առաջինը սերվերի կողմից բաց է: երկրորդը սովորաբար էջանիշ է, որը երբեք չի թարմացվել: երրորդը նորացման խնդիր է, որի հետ VPN կապն անտեղի է:

Մի ավելացրեք վկայագրի բացառություն հաշվի կայքում, քանի որ VPN-ը միացված է։ Բացառությունն անջատում է ստուգումը, որը կբացահայտեր հենց VPN-ի խափանումը, որը նախատեսված է կանխելու:

Երրորդ մասը գտնվում է էջի ներսում, և դա այն մեկն է, որը մարդիկ բաց են թողնում։ Էջը, որը բեռնվում է HTTPS-ով, դեռ կարող է նկարներ, տառատեսակներ կամ սկրիպտներ քաշել http URL-ից, և զննարկիչը կա՛մ կարգելափակի դրանք, կա՛մ կնվազեցնի անվտանգության ցուցիչը ամբողջ էջի համար։ Ստուգեք ձախողված հարցումները ցանցի վահանակում և ուղղեք ռեսուրսի հղումները դրանց սեփականատիրոջը, այլ ոչ թե ենթադրելով, որ հասցեագոտում նկարագրվում է յուրաքանչյուր հարցումը։ Ձեր աշխատած կայքում դա նշանակում է, որ դրանք զննարկիչում վերագրանցելու փոխարեն շտկեք պահված URL-ները CMS-ում կամ ձևանմուշում։ Եթե չեք կարող փոխել աղբյուրը, ձայնագրեք խառը բովանդակությունը որպես հայտնի բաց, քանի որ պարզ տեքստային ռեսուրսներ ներգրավող էջի վրա կողպեքը կեղծ ազդանշան է:

Քայլ 4. ինչ է ավելացնում HSTS-ը և ինչը՝ ոչ

HSTS-ը կայքի քաղաքականություն է, այլ ոչ թե դիտարկիչի նախապատվություն, և դա միակ մեխանիզմն է այստեղ, որը պահպանում է մուտքագրված http://-ը թարմ պրոֆիլում։ Երբ զննարկիչը տեսել է Strict-Transport-Security վերնագիրը հոսթի համար, այն վերագրում է ավելի ուշ հարցումները https-ին նախքան դրանք ուղարկելը, ինչը հենց ձեր ուզած հատկությունն է։ Այն ոչինչ չի անում հոսթի համար, որը զննարկիչը երբեք չի այցելել, և ոչինչ չի անում նույն հավելվածը սպասարկող այլ հոսթի անվան համար:

Ստուգեք, թե ինչ է ուղարկում սկզբնաղբյուրը curl -sSI https://example.com | grep -i strict-transport-security-ով։ Բացակայող վերնագիրը սերվերի փոփոխություն է և ոչ թե հաճախորդը կարող է տեղադրել։ Եթե այն առկա է, կարդացեք max-age և արդյոք դրված է includeSubDomains, քանի որ այցելությունների միջև լրանում է կարճ առավելագույն տարիք, և բացակայող includeSubDomains-ը թողնում է բոլոր ենթադոմեյնները անպաշտպան։ RFC 6797-ը սահմանում է, թե ինչպես է օգտվողի գործակալը կիրառում քաղաքականությունը և ինչ կարող է անտեսել։ Նախաբեռնումը առանձին պարտավորություն է, ուստի ստուգեք կարգավիճակը hstspreload.org API-ի միջոցով՝ նախքան որևէ մեկին խոստանալը, որ տիրույթը ցանկում է:

Ստուգում և հետադարձում

Վերադարձը էժան է հաճախորդի կարգավորումների համար և թանկ է HSTS-ի համար։ Միայն HTTPS ռեժիմն անջատելը անմիջապես վերականգնում է նախկին վարքագիծը: երկար առավելագույն տարիքը չի նշանակում, և այցելուները, ովքեր արդեն ստացել են այն, շարունակում են թարմացնել մինչև ժամկետի ավարտը:

Այնպես որ, նախքան այն ավարտված կոչելը, ստուգեք հերթականությունը։ Վերբեռնեք սառը քեշից և հաստատեք, որ ցանցի վահանակում առաջին հարցումը https է, առանց նախորդ վերահղման։ Այնուհետև ստուգեք ենթադոմեյնը, քանի որ includeSubDomains-ն այն վայրն է, որտեղ այս քաղաքականությունները սովորաբար ավելի նեղ են, քան ենթադրվում էր։ Այնուհետև ստուգեք մեկ էջ, որը ներգրավում է երրորդ կողմի ակտիվները, քանի որ խառը բովանդակությունը այն ձախողումն է, որը պահպանվում է յուրաքանչյուր այլ ուղղման մեջ:

Եթե այդ ամենից հետո առաջին հարցումը դեռևս http է, հաճախորդն այլևս փոփոխական չէ: այն հղումը, որը մարդիկ սեղմում են։ Ձեր կողմից վերահսկվող վայրերում որոնեք հոսթի անվան http ձևը, թարմացրեք դրանք և նորից փորձարկեք նույն սառը քեշի վերաբեռնմամբ։ VPN-ի հարցը առանձին պահեք ամբողջ ընթացքում, քանի որ թունելը փոխում է, թե ով կարող է տեսնել հարցումը և երբեք չի փոխում, թե արդյոք հարցումը գաղտնագրված է։ Տոմսի մեջ դնելու տողն այն է, որ առաջին հարցումը կարևոր է, իսկ վերահղումը միայն արդեն ուղարկված հարցման անդորրագիր է: