Hvernig á að gera HTTPS að fyrstu beiðni í gegnum VPN

Vafri sem skrifar http:// fyrst og lendir á https:// eftir að tilvísun hefur þegar sent eina beiðni á hreinu og VPN breytir því ekki. Göngin ver fótinn frá viðskiptavininum að útgönguhnútnum; það dulkóðar ekki neitt fyrir ofan flutningslagið, þannig að áhorfandi á milli útgangsins og upprunans sér enn látlausan texta hoppa. Að gera HTTPS að fyrstu beiðninni er breyting á viðskiptavinum með þremur hlutum: raunverulegu HTTPS heimilisfangi, uppfærslustillingu vafrans og eigin stefnu síðunnar. Skrefin hér að neðan eru pöntunin sem ég nota, hvert með ávísuninni sem segir þér hvort það tók.

Skref 1: Staðfestu hver fyrsta beiðnin er í raun og veru

Áður en þú breytir einhverju skaltu skoða hvað vafrinn sendir. Opnaðu netspjaldið með síðunni endurhlaða úr köldu skyndiminni og lestu fyrstu röðina: ef kerfið er http og staðan er 301 eða 308, er allt eftir þá röð önnur beiðni. curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' http://example.com endurskapar sömu röð utan vafrans og prentar slóðina sem þú endaðir á.

Tvær niðurstöður eru mögulegar og þær þurfa mismunandi lagfæringar. Ef síðan þjónar HTTPS á sama hýsingaraðila er leiðréttingin sú að hætta að birta HTTP eyðublaðið: uppfærðu bókamerkið, wiki tengilinn, skjáborðsflýtileiðina og tölvupóstsniðmátið sem fólk smellir á. Ef síðan þjónar alls ekki HTTPS mun engin vafrastilling búa hana til og heiðarlega svarið er að áfangastaðurinn sé vandamálið. Ekki blaðra yfir annað tilvikið með undantekningu, vegna þess að vottorðundantekning á reikningssíðu breytir flutningsvanda í skilríkisvandamál. Skrifaðu niður hvaða tilvik þú ert í áður en þú snertir stillingu.

Skref 2: kveiktu á HTTPS-eini stillingu vafrans

Uppfærsluhamurinn er seinni hluti og stillingarnar eru ekki skiptanlegar. Athugaðu hvað þitt gerir áður en þú virkjar það: uppfærðu hljóðlaust, uppfærðu með viðvörun eða neitaðu að hlaða.

Í Firefox eru stjórntækin fyrir aftan about:config og á persónuverndarstillingasíðunni, með dom.security.https_only_mode sem rofi og undantekningar fyrir hverja síðu sem er stjórnað af hengilásvalmyndinni. Í Chrome og Edge er sama hugmynd undir Stillingar, Persónuvernd og öryggi, Öryggi, merkt Notaðu alltaf öruggar tengingar. Hver sem merkimiðinn er, staðfestu hegðunina gagnvart hýsil sem svarar aðeins á höfn 80, vegna þess að stilling sem uppfærist og fellur síðan hljóðlaust til baka er ekki vörnin sem þú heldur að þú hafir virkjað. Firefox HTTPS-Only skjölin lýsa uppfærslu, viðvörun og undantekningarhegðun fyrir þann vafra.

Skref 3: laga tilföngin, ekki bara veffangastikuna

Þegar uppfærsla mistekst skaltu lesa nákvæma villu í stað heimilisfangastikunnar. Gestgjafi án HTTPS hlustanda, hýsingarheiti sem passar ekki við vottorðið og útrunninn keðja framleiða mismunandi skilaboð og tilheyra mismunandi eigendum. Aðeins það fyrsta er bil á miðlarahlið; annað er venjulega bókamerki sem var aldrei uppfært; það þriðja er endurnýjunarvandamál sem VPN-tengingin kemur málinu ekkert við.

Ekki bæta vottorðaundanþágu við reikningssíðu vegna þess að kveikt er á VPN. Undantekningin slekkur á ávísuninni sem hefði náð nákvæmlega þeirri hlerun sem VPN er ætlað að koma í veg fyrir.

Þriðji hlutinn er inni á síðunni og það er sá sem fólk saknar. Síða sem hleðst yfir HTTPS getur samt dregið myndir, leturgerðir eða forskriftir af http vefslóð og vafrinn mun annað hvort loka á þær eða lækka öryggisvísirinn fyrir alla síðuna. Skoðaðu misheppnaðar beiðnir á netborðinu og lagfærðu tilvísanir til aðfanga hjá eiganda þeirra frekar en að gera ráð fyrir að vistfangastikan lýsi hverri beiðni. Á vef sem þú rekur þýðir það að leiðrétta vistaðar vefslóðir í CMS eða sniðmátinu í stað þess að endurskrifa þær í vafranum. Ef þú getur ekki breytt upprunanum skaltu skrá blandaða efnið sem þekkt bil, vegna þess að hengilás yfir síðu sem dregur tilföng án texta er rangt merki.

Skref 4: hverju HSTS bætir við og hvað ekki

HSTS er síðastefna frekar en vafravalkostur og það er eina aðferðin hér sem lifir af slegið http:// á nýtt snið. Þegar vafri hefur séð Strict-Transport-Security haus fyrir gestgjafa endurskrifar hann síðar beiðnir á https áður en hann sendir þær, sem er nákvæmlega eignin sem þú vilt. Það gerir ekkert fyrir hýsil sem vafrinn hefur aldrei heimsótt, og ekkert fyrir annað hýsilnafn sem þjónar sama forriti.

Athugaðu hvað upprunann sendir með curl -sSI https://example.com | grep -i strict-transport-security. Vantar haus er breyting á netþjóni og ekki eitthvað sem viðskiptavinur getur sett upp. Ef það er til staðar skaltu lesa max-age og hvort includeSubDomains sé stillt, því stuttur hámarksaldur rennur út á milli heimsókna og vantar includeSubDomains skilur hvert undirlén eftir óvarið. RFC 6797 skilgreinir hvernig notendaumboðsmaður beitir stefnunni og hvað hann má hunsa. Forhleðsla er sérstök skuldbinding, svo athugaðu stöðuna í gegnum hstspreload.org API áður en þú lofar einhverjum að lén sé á listanum.

Staðfesting og afturköllun

Til baka er ódýrt fyrir biðlarastillingar og dýrt fyrir HSTS. Slökkt er á HTTPS-eingöngu ham endurheimtir fyrri hegðun strax; langur hámarksaldur gerir það ekki og gestir sem þegar hafa fengið það halda áfram að uppfæra þar til það rennur út.

Staðfestu því í röð áður en þú hringir í það. Endurhlaðaðu úr köldu skyndiminni og staðfestu að fyrsta beiðnin á netborðinu sé https án undangenginnar tilvísunar. Athugaðu síðan undirlén, því includeSubDomains er þar sem þessar reglur reynast venjulega þrengri en gert er ráð fyrir. Athugaðu síðan eina síðu sem dregur til sín eignir frá þriðja aðila, þar sem blandað efni er bilunin sem lifir af hverja aðra lagfæringu.

Ef fyrsta beiðnin er enn http eftir allt þetta, þá er viðskiptavinurinn ekki lengur breytan: hlekkurinn sem fólk smellir á er. Leitaðu á þeim stöðum sem þú stjórnar að http-formi hýsingarheitisins, uppfærðu þá og prófaðu aftur með sömu köldu skyndiminni endurhleðslunni. Hafðu VPN spurninguna aðskilda í gegn, því göngin breyta því hverjir geta séð beiðnina og breytir aldrei hvort beiðnin er dulkóðuð. Línan til að setja inn í miðann er sú að fyrsta beiðnin er sú sem skiptir máli og tilvísun er aðeins kvittun fyrir beiðni sem þegar hefur verið send.