HTTPS-ті VPN арқылы бірінші сұрауды қалай жасауға болады

Алдымен http:// теретін және қайта бағыттау бір сұрауды анық түрде жібергеннен кейін https:// мекенжайына түсетін шолғыш және VPN оны өзгертпейді. Туннель аяқты клиенттен шығу түйініне дейін қорғайды; ол тасымалдау қабатының үстіндегі ешнәрсені шифрламайды, сондықтан шығу мен бастапқы нүкте арасындағы бақылаушы әлі де ашық мәтіндік секіруді көреді. HTTPS бірінші сұрауын жасау үш бөліктен тұратын клиенттік өзгерту болып табылады: нақты HTTPS мекенжайы, шолғыштың жаңарту режимі және сайттың жеке саясаты. Төмендегі қадамдар мен қолданатын рет болып табылады, олардың әрқайсысында орындалған-өтпегенін көрсететін чек бар.

1-қадам: бірінші сұраудың шын мәнінде не екенін растаңыз

Бірдеңені өзгертпес бұрын, браузер не жіберетінін қараңыз. Салқын кэштен қайта жүктелген бетпен желілік панельді ашыңыз және бірінші жолды оқыңыз: егер схема http болса және күй 301 немесе 308 болса, осы жолдан кейінгі барлық нәрсе екінші сұрау болып табылады. curl -sS -o /dev/null -w '%{http_code} %{url_effective}\n' http://example.com браузерден тыс бірдей ретті шығарады және сіз пайдаланған URL мекенжайын басып шығарады.

Екі нәтиже болуы мүмкін және оларға әртүрлі түзетулер қажет. Егер сайт бір хостта HTTPS қызметін көрсетсе, түзету HTTP пішінін жариялауды тоқтату болып табылады: бетбелгіні, вики сілтемесін, жұмыс үстеліндегі таңбашаны және адамдар басқан электрондық пошта үлгісін жаңарту. Егер сайт мүлдем HTTPS қызметін көрсетпесе, браузердің ешбір параметрі оны жасамайды және шынайы жауап баратын жер мәселе болып табылады. Ерекшелікпен екінші жағдайды қағазға түсірмеңіз, себебі тіркелгі бетіндегі куәлік ерекшелік тасымалдау мәселесін тіркелгі деректері мәселесіне түрлендіреді. Параметрді түртпес бұрын, қай жағдайда екеніңізді жазыңыз.

2-қадам: браузердің тек HTTPS режимін қосыңыз

Жаңарту режимі екінші бөлік болып табылады және режимдер өзара ауыстырылмайды. Оны қоспас бұрын сіздің не істейтінін тексеріңіз: үнсіз жаңартыңыз, ескертумен жаңартыңыз немесе жүктеуден бас тартыңыз.

Firefox-та басқару элементтері about:config артында және құпиялылық параметрлері бетінде, қосқыш ретінде dom.security.https_only_mode және құлып мәзірінен басқарылатын әр сайт үшін ерекше жағдайлар болады. Chrome және Edge жүйелерінде бірдей идея Параметрлер, Құпиялылық және қауіпсіздік, Қауіпсіздік бөлімдерінде «Әрқашан қауіпсіз қосылымдарды пайдаланыңыз» деп белгіленген. Белгі қандай болмасын, тек 80 портында жауап беретін хостқа қатысты әрекетті тексеріңіз, себебі жаңартылатын, содан кейін үнсіз қайтатын режим сіз қосқан деп ойлайтын қорғаныс емес. Тек HTTPS-Firefox құжаттамасы шолғыштың жаңартуын, ескертуін және ерекше жағдайды сипаттайды.

3-қадам: мекенжай жолағын ғана емес, ресурстарды түзетіңіз

Жаңарту сәтсіз болғанда, мекенжай жолағын емес, дәл қатені оқыңыз. HTTPS тыңдаушысы жоқ хост, сертификатқа сәйкес келмейтін хост атауы және мерзімі өтіп кеткен тізбек әртүрлі хабарларды шығарады және әртүрлі иелерге тиесілі. Тек біріншісі сервер жағындағы бос орын; екіншісі, әдетте, ешқашан жаңартылмаған бетбелгі; үшіншісі - VPN қосылымына қатысы жоқ жаңарту мәселесі.

Тіркелгі сайтына куәлік ерекшелігін қоспаңыз, себебі VPN қосулы. Ерекшелік VPN алдын алуға арналған тосқауылды дәл анықтайтын тексеруді өшіреді.

Үшінші бөлік беттің ішінде және бұл адамдар сағынатын бөлігі. HTTPS арқылы жүктелетін бет әлі де http URL мекенжайынан суреттерді, қаріптерді немесе сценарийлерді ала алады және браузер оларды блоктайды немесе бүкіл бет үшін қауіпсіздік көрсеткішін төмендетеді. Желілік тақтадағы сәтсіз сұрауларды тексеріңіз және мекенжай жолағы әрбір сұрауды сипаттайды деп ойламай, олардың иесіне ресурс сілтемелерін түзетіңіз. Сіз іске қосқан сайтта бұл браузерде қайта жазудың орнына CMS немесе үлгіде сақталған URL мекенжайларын түзетуді білдіреді. Дереккөзді өзгерте алмасаңыз, аралас мазмұнды белгілі бос орын ретінде жазыңыз, себебі ашық мәтін ресурстарын тартатын беттегі құлып жалған сигнал болып табылады.

4-қадам: HSTS не қосады, нені қоспайды

HSTS - шолғыш таңдауы емес, сайт саясаты және бұл жаңа профильде терілген http:// арқылы аман қалатын жалғыз механизм. Браузер хост үшін Strict-Transport-Security тақырыбын көргеннен кейін, ол https жүйесіне кейінгі сұрауларды жібермес бұрын қайта жазады, бұл дәл сіз қалаған сипат. Ол браузер ешқашан кірмеген хост үшін және бір қолданбаға қызмет көрсететін басқа хост атауы үшін ештеңе істемейді.

Бастауыш curl -sSI https://example.com | grep -i strict-transport-security арқылы не жіберетінін тексеріңіз. Жетіспейтін тақырып серверді өзгерту болып табылады және клиент орната алатын нәрсе емес. Егер ол бар болса, max-age және includeSubDomains орнатылғанын оқыңыз, себебі кірулер арасында қысқа максималды жас аяқталады және жоқ includeSubDomains әрбір ішкі доменді қорғаусыз қалдырады. RFC 6797 пайдаланушы агентінің саясатты қалай қолданатынын және ол нені елемеуі мүмкін екенін анықтайды. Алдын ала жүктеу - бұл бөлек міндет, сондықтан тізімде домен бар деп ешкімге уәде бермес бұрын, күйді hstspreload.org API арқылы тексеріңіз.

Тексеру және кері қайтару

Кері қайтару клиент параметрлері үшін арзан және HSTS үшін қымбат. Тек HTTPS режимін өшіру алдыңғы әрекетті дереу қалпына келтіреді; ұзақ максимум жасы болмайды және оны алған келушілер мерзімі біткенше жаңартуды жалғастырады.

Сондықтан қоңырау шалмас бұрын, оның орындалғанын ретімен тексеріңіз. Суық кэштен қайта жүктеңіз және желілік панельдегі бірінші сұраудың алдыңғы бағыттаусыз https екенін растаңыз. Содан кейін ішкі доменді тексеріңіз, себебі includeSubDomains - бұл саясаттар әдетте болжанғаннан тар болып шығады. Одан кейін үшінші тарап активтерін тартатын бір бетті тексеріңіз, себебі аралас мазмұн кез келген басқа түзетуден аман қалатын ақаулық болып табылады.

Егер бірінші сұрау әлі де http болса, клиент енді айнымалы емес: адамдар басатын сілтеме. Хост атауының http пішіні үшін сіз басқаратын орындарды іздеңіз, оларды жаңартыңыз және бірдей суық кэшті қайта жүктеу арқылы қайта тексеріңіз. VPN сұрағын бөлек ұстаңыз, себебі туннель сұрауды көре алатын адамдарды өзгертеді және сұраудың шифрланған-шифрланбағанын ешқашан өзгертпейді. Билетке енгізілетін жол бірінші сұрау маңызды болып табылады, ал қайта бағыттау тек жіберілген сұраудың түбіртегі болып табылады.