Blandað efni bak við VPN: lagaðu auðlindina, ekki göngin

HTTPS-síða sem hleður skriftum yfir HTTP gerir tvær beiðnir með tveimur mismunandi verndarstigum, og hengilásinn lýsir aðeins þeirri fyrstu. Göng breyta því ekki, því þau verja flutningsaðilann en ekki eigin fyrirmynd auðlindarinnar. Vafrinn segir þér þegar hvaða beiðni mistókst, ef þú lest stjórnborðið í stað staðsetningarslárinnar. Þrjár athuganir færa þig frá síðu sem virkar að hluta yfir í raunverulega viðgerð.

Lestu beiðnina, ekki staðsetningarslárna

Skjal sem sótt er yfir HTTPS getur vísað í skriftu, stílblað, leturgerð eða ramma yfir venjulegt HTTP. Sú tilvísun er sérstök beiðni, og það er hana sem vafrinn kvartar undan. Vernd aðalskjalsins færist ekki aftur inn í hana, og göngin sem flytja báða strauma breyta hvorugri fyrirmyndinni. Síðan getur því verið sannarlega örugg og sannarlega biluð á sama tíma.

Að kalla auðlindina einfaldlega innfelda skrá gerir uppsetningu hennar ekki skaðlausa.

Ef hægt er að breyta óöruggu skriftuefni á leiðinni og keyra það síðan getur það breytt hegðun síðunnar, sem er stærra vandamál en snyrtileg bilun. Myndir bera minni en raunverulega áhættu þegar þeim er breytt á leiðinni. Hengilásinn lýgur ekki um neitt. Hann svarar þrengri spurningu en þeirri sem þú lagðir fyrir hann.

Vitaðu hvaða auðlindir eru blokkaðar og hverjar eru uppfærðar

Vafrar meðhöndla ekki hverja tegund auðlindar á sama hátt. leiðbeiningarnar um blandað efni aðskilja beiðnir sem eru uppfærðar í HTTPS frá beiðnum sem eru blokkaðar alfarið, þar sem skriftur, stílblöð og fortritabeiðnir eru á blokkaðri hliðinni á meðan myndir og miðlar geta í staðinn verið uppfærð eða merkt.

Sá munur útskýrir ruglingslegu skýrslurnar. Síða með blokkaða skriftu tapar eiginleika alfarið, á meðan síða með uppfærða mynd lítur vel út og hefur hljóðlega breytt beiðni sinni. Skjalfestu flokkarnir hafa líka undantekningar, svo ekki gera ráð fyrir að hver URL af tiltekinni tegund verði uppfærð með góðum árangri. Lestu hvað stjórnborðið segir um tilteknu beiðnina í stað þess að rökstyðja út frá skráarendingu.

Blokkað græja er ekki sönnun þess að göngin hafi brugðist. Það er sönnun þess að vafrinn hafi gert sitt.

Lagaðu tilvísunina við upptök hennar

Fyrir eiganda vefsins á viðgerðin heima þar sem óörugga URL-slóðin var skrifuð: sniðmát, stílblað, skrifta sem setur saman URL-slóðir eða íhlutur frá þriðja aðila. Að breyta sýnilegu slóð síðunnar lætur allt þetta ósnert. Leitaðu í upptökunum að hýsilnum og lagaðu hverja tilvísun, ekki bara þá einu sem stjórnborðið nefndi fyrir tilviljun.

Staðfestu svo að auðlindin sé sannarlega veitt yfir HTTPS með gildri auðkenningu, því fyrirmyndarskipti geta ekki skapað þjónustu sem aldrei var birt þar.

grep -rn "http://assets.example" ./templates
curl -sSI https://assets.example/widget.js | head -n 1

Fylgdu einnig endurbeiningum, því tilvísun sem byrjar á HTTPS getur samt lent á afhendingarleið í hreinu textaformi. Þar sem fylgni hefur einfaldlega enga örugga afhendingu skaltu fjarlægja hana eða skipta henni út í gegnum venjulegt breytingarferli í stað þess að senda hjáleið. Fyrir notanda skaltu láta vernd vafrans vera virka og tilkynna eiganda vefsins URL auðlindarinnar, tegund hennar og skilaboð stjórnborðsins. Dreifðu aldrei leiðbeiningum sem segja starfsfólki að leyfa óöruggt efni fyrir eina síðu, því sú undantekning lifir lengur en atvikið sem olli henni.

Prófaðu síðuna aftur eins og notendur snerta hana

Æfðu aðgerðirnar sem hlaða auðlindum eftir þörf, ekki bara fyrsta skjalið. Síður sækja viðbótarkóða, gögn og niðurhal eftir að hnappur er ýttur, og þær beiðnir eru oft þær óöruggu. Staðfestu tilteknu beiðnirnar og sýnilega hegðun með verndina enn virka. Próf sem byrjar með slakaðri vafrastillingu getur ekki sýnt þér hvað venjulegur notandi sér.

Göngin hafa enn sitt eigið verk, og það verk er netaðgangur en ekki heilleiki síðunnar.

Þegar umferðin yfirgefur endapunkt ganganna hefur engin eftirstandandi HTTP-sókn grætt neitt frá flutningsaðilanum. Lagaðu slóð auðlindarinnar og haltu framfylgd vafrans á sínum stað. Að meðhöndla enn eitt flutningslagið sem viðgerð á óöruggri fylgni er hvernig teymi endar með hjálparborðsskriftu sem slökkvar á stjórninni sem virkaði rétt.