შერეული შიგთავსი VPN-ის მიღმა: შეაკეთეთ რესურსი და არა გვირაბი

HTTPS გვერდი, რომელიც HTTP-ით ტვირთავს სკრიპტებს, აკეთებს ორ მოთხოვნას დაცვის ორი სხვადასხვა დონით, და საკეტი მხოლოდ პირველს აღწერს. გვირაბი ამას არ ცვლის, რადგან ის იცავს გადამტანს და არა რესურსის საკუთარ სქემას. ბრაუზერი უკვე გიჩვენებთ, რომელი მოთხოვნა ჩავარდა, თუ მისამართის ზოლის ნაცვლად კონსოლს წაიკითხავთ. სამი შემოწმება გადაგიყვანთ ნახევრად მომუშავე გვერდიდან ნამდვილ შეკეთებამდე.

წაიკითხეთ მოთხოვნა და არა მისამართის ზოლი

HTTPS-ით მიღებულ დოკუმენტს შეუძლია ჩვეულებრივი HTTP-ით მიუთითოს სკრიპტზე, სტილის ფურცელზე, შრიფტზე ან ჩარჩოზე. ეს მითითება ცალკე მოთხოვნაა და სწორედ მასზე ჩივის ბრაუზერი. მთავარი დოკუმენტის დაცვა უკან მასში არ ვრცელდება, და ორივე ნაკადის მატარებელი გვირაბი არც ერთ სქემას არ ცვლის. ამიტომ გვერდი ერთდროულად შეიძლება იყოს ნამდვილად უსაფრთხო და ნამდვილად გატეხილი.

რესურსის უბრალოდ ჩაშენებულ ფაილად წოდება მის ჩანაცვლებას უვნებელს არ ხდის.

თუ არაუსაფრთხო სკრიპტის შიგთავსის გზაში შეცვლა და შემდეგ შესრულება შეიძლება, მან შეიძლება შეცვალოს გვერდის ქცევა, რაც უფრო დიდი პრობლემაა, ვიდრე კოსმეტიკური ხარვეზი. სურათები ატარებენ უფრო მცირე, მაგრამ რეალურ რისკს, როცა გზაში იცვლება. საკეტი არაფერზე არ იტყუება. ის პასუხობს უფრო ვიწრო კითხვას, ვიდრე ის, რაც თქვენ დაუსვით.

იცოდეთ, რომელი რესურსები იბლოკება და რომელი ამაღლდება

ბრაუზერები ყველა ტიპის რესურსს ერთნაირად არ ექცევიან. შერეული შიგთავსის სახელმძღვანელო ჰყოფს HTTPS-ზე ამაღლებულ მოთხოვნებს სრულად დაბლოკილ მოთხოვნებისგან: სკრიპტები, სტილის ფურცლები და პროგრამული მოთხოვნები დაბლოკილ მხარეს არიან, ხოლო სურათები და მედია შეიძლება სამაგიეროდ ამაღლდეს ან მოინიშნოს.

ეს განსხვავება ხსნის დამაბნეველ ცნობებს. დაბლოკილი სკრიპტის მქონე გვერდი მთლიანად კარგავს ფუნქციას, ხოლო ამაღლებული სურათის მქონე გვერდი კარგად გამოიყურება და ჩუმად შეცვალა თავისი მოთხოვნა. დოკუმენტირებულ კატეგორიებს გამონაკლისებიც აქვთ, ამიტომ ნუ ჩათვლით, რომ მოცემული ტიპის ყოველი URL წარმატებით ამაღლდება. წაიკითხეთ, რას ამბობს კონსოლი კონკრეტულ მოთხოვნაზე, ნაცვლად იმისა, რომ ფაილის გაფართოებიდან იმსჯელოთ.

დაბლოკილი ვიჯეტი არ არის იმის მტკიცებულება, რომ გვირაბი ჩავარდა. ეს არის მტკიცებულება, რომ ბრაუზერმა თავისი საქმე გააკეთა.

შეაკეთეთ მითითება მის წყაროში

საიტის მფლობელისთვის შეკეთება ეკუთვნის იმ ადგილს, სადაც არაუსაფრთხო URL დაიწერა: შაბლონი, სტილის ფურცელი, URL-ების შემკრები სკრიპტი ან მესამე მხარის კომპონენტი. გვერდის ხილული მისამართის შეცვლა ყველა მათგანს ხელუხლებლად ტოვებს. მოძებნეთ წყაროში ჰოსტი და შეაკეთეთ ყოველი მითითება და არა მხოლოდ ის ერთი, რომელიც კონსოლმა შემთხვევით დაასახელა.

შემდეგ დაადასტურეთ, რომ რესურსი ნამდვილად მიეწოდება HTTPS-ით სწორი იდენტობით, რადგან სქემის შეცვლა ვერ შექმნის სერვისს, რომელიც იქ არასოდეს გამოქვეყნებულა.

grep -rn "http://assets.example" ./templates
curl -sSI https://assets.example/widget.js | head -n 1

თვალყური ადევნეთ გადამისამართებებსაც, რადგან HTTPS-ით დაწყებული მითითება მაინც შეიძლება ღია ტექსტის მიწოდების გზაზე აღმოჩნდეს. სადაც დამოკიდებულებას უბრალოდ არ აქვს უსაფრთხო მიწოდება, წაშალეთ ან შეცვალეთ ის ჩვეულებრივი ცვლილების პროცესით და არა გვერდის ავლის გაგზავნით. მომხმარებლისთვის დატოვეთ ბრაუზერის დაცვები ჩართული და შეატყობინეთ საიტის მფლობელს რესურსის URL, მისი ტიპი და კონსოლის შეტყობინება. არასოდეს გაავრცელოთ მითითებები, რომლებიც თანამშრომლებს ეუბნება, დაუშვან არაუსაფრთხო შიგთავსი ერთი გვერდისთვის, რადგან ეს გამონაკლისი უფრო დიდხანს ცოცხლობს, ვიდრე ის ინციდენტი, რომელმაც ის გამოიწვია.

ხელახლა შეამოწმეთ გვერდი ისე, როგორც მომხმარებლები ეხებიან მას

ივარჯიშეთ ოპერაციებზე, რომლებიც რესურსებს მოთხოვნით ტვირთავს და არა მხოლოდ პირველ დოკუმენტზე. გვერდები ღილაკის დაჭერის შემდეგ იღებენ დამატებით კოდს, მონაცემებს და ჩამოტვირთვებს, და ეს მოთხოვნები ხშირად არაუსაფრთხოა. დაადასტურეთ კონკრეტული მოთხოვნები და ხილული ქცევა დაცვის ჩართულობისას. ტესტი, რომელიც შესუსტებული ბრაუზერის პროფილით იწყება, ვერ გაჩვენებთ, რას ხედავს ჩვეულებრივი მომხმარებელი.

გვირაბს კვლავ აქვს საკუთარი საქმე, და ეს საქმე ქსელური წვდომაა და არა გვერდის მთლიანობა.

როგორც კი ტრაფიკი დატოვებს გვირაბის ბოლო წერტილს, დარჩენილ HTTP მოთხოვნას გადამტანისგან არაფერი მოუგია. შეაკეთეთ რესურსის გზა და დატოვეთ ბრაუზერის აღსრულება ადგილზე. კიდევ ერთი სატრანსპორტო ფენის არაუსაფრთხო დამოკიდებულების შეკეთებად მიჩნევა ის გზაა, რომლითაც გუნდი მიდის დახმარების სამსახურის სკრიპტამდე, რომელიც თიშავს სწორად მომუშავე კონტროლს.